Splunk

Versão da integração: 50.0

Nota: esta integração usa um ou mais componentes de código aberto. Pode transferir uma cópia do código-fonte completo desta integração a partir do contentor de armazenamento.

A app Splunk prepara registos com todos os alertas e eventos relevantes do Splunk. Existem duas formas de carregar estes registos no Google Security Operations: métodos baseados na obtenção e métodos baseados no envio.

O primeiro método chama-se baseado na obtenção. Ao usar este método, para carregar registos de incidentes para o Google SecOps, tem de configurar o conetor de obtenção do Splunk, que obtém registos de incidentes da app Splunk. Este método não requer nenhuma configuração adicional na app Splunk.

O segundo método chama-se baseado em envio. Com este método, a app Splunk faz chamadas API para o Google SecOps para adicionar um novo registo. Para trabalhar com este método, tem de gerar uma chave da API Google SecOps e adicionar um URI Google SecOps na configuração da app.

Crie uma chave da API:

1. Navegue para Definições > Avançadas > API.

2. Clique no sinal de mais na parte superior direita para adicionar uma nova chave da API.

3. Introduza o nome da chave da API e clique em Criar.

   Nota: para que o método baseado em push funcione, tem de ter um nível de autorizações básico ou de administrador.

4. Copie a chave da API.

Como configurar o Splunk para funcionar com o Google SecOps

Pré-requisitos para ativar ou desativar a autenticação por token

Antes de poder ativar a autenticação por token, tem de cumprir os seguintes requisitos:

• A instância da plataforma Splunk onde quer ativar a autenticação por token não pode funcionar no modo antigo, em que o Splunk Web funciona como um processo separado. Se a plataforma Splunk estiver no modo antigo, a autenticação de tokens não é executada. Para mais informações sobre o modo antigo, consulte o documento Iniciar e parar o Splunk Enterprise no manual de administração do Splunk Enterprise.

• A conta que usa para iniciar sessão na plataforma Splunk tem de ter uma função com a capacidade da plataforma Splunk edit_tokens_settings antes de poder ativar ou desativar a autenticação de tokens.

Ative a autenticação de tokens através do Splunk Web

Quando a autenticação de tokens está desativada, é apresentada a seguinte mensagem na página Tokens no Splunk Web:

Token authentication is currently disabled > To enable token authentication, click Enable Token Authentication.

Conclua os passos seguintes na instância onde quer ativar a autenticação de tokens:

1. Inicie sessão na instância da plataforma Splunk como utilizador administrador ou utilizador que pode gerir as definições de tokens. Não pode usar um token para iniciar sessão no Splunk Web. Tem de indicar um nome de utilizador e uma palavra-passe válidos.

2. Depois de iniciar sessão com êxito, na barra do sistema, selecione Definições > Tokens.

3. Clique em Ativar autenticação de tokens. A instância da plataforma Splunk ativa a autenticação de tokens imediatamente e não é necessário reiniciar a instância.

Use o Splunk Web para criar tokens de autenticação

1. Na barra do sistema, clique em Definições > Tokens.

2. Clique em Novo token.

3. Na caixa de diálogo Novo token, introduza o utilizador da plataforma Splunk para o qual quer criar o token no campo Utilizador.

4. Introduza uma breve descrição da finalidade do token no campo Público-alvo.

5. (Opcional) Na lista Validade, selecione Hora absoluta ou Hora relativa. Esta seleção determina o que introduzir no campo de texto abaixo da lista.

   • Se selecionou Hora absoluta, são apresentados dois campos de texto abaixo da lista.

     1. Introduza uma data válida no primeiro campo. Também pode clicar no campo para selecionar uma data num calendário de pop-up.

     2. Introduza uma hora válida de 24 horas no segundo campo.

   • Caso contrário, é apresentado um campo de texto abaixo da lista pendente.

     1. Introduza uma string que represente o tempo após a hora atual durante o qual quer que o token permaneça válido. Por exemplo, se quiser que o token expire 10 dias a partir de agora, introduza +10d neste campo.

6. (Opcional) Na lista Não antes de, selecione Hora absoluta ou Hora relativa.

   Repita o passo que usou para o controlo de expiração. A hora de início não pode ser anterior à atual nem posterior à hora de validade.

7. Clique em Criar. A janela Novo token atualiza o campo Token para lhe mostrar o token que foi gerado.

8. Selecione todo o texto do token no campo. Consoante o sistema operativo e o navegador, pode clicar no campo Token e, em seguida, clicar três vezes ou premir Ctrl+A ou Command+A no teclado. Confirme que selecionou todo o texto do token. Não existem mais oportunidades para ver o token completo depois de fechar a janela.

9. Copie o texto do campo Token.

10. Cole o token num ficheiro de texto, num email ou noutra forma de comunicação para a pessoa que autorizou a usar o token. Confirme que partilha o token apenas com as pessoas que autorizou a usá-lo. Qualquer pessoa que tenha o token completo pode usá-lo para autenticar.

11. Clique em Fechar.

12. Use um token para configurar a integração do Google SecOps com o Splunk.

Instalação

Cabeçalho de pesquisa único

1. Transfira o pacote TA-Siemplify para o seu computador local. https://splunkbase.splunk.com/app/5010/

2. Instale a app no seu auricular de pesquisa.

   Selecione App: Search & Reporting. É apresentada a caixa de diálogo Carregar uma app.

3. Clique em Escolher ficheiro e selecione o ficheiro da app.

4. Clique em Carregar. Aguarde até que o ficheiro seja carregado.

5. Reinicie o Splunk.

Configure o TA-Siemplify

1. No Splunk Enterprise, aceda à página Apps.

2. Selecione Siemplify.

3. No separador Definições do suplemento, adicione o seguinte:

   Para o método baseado em envio:

   • Defina o URI da API Siemplify para o URI do seu servidor do Google SecOps.
   • Defina o Modo como Modo de envio.
   • No campo Chave da API, introduza o valor do token gerado na secção Chaves da API.

   Para o método baseado na obtenção:

   • Defina o Modo como Modo de extração.

4. Clique em Guardar.

Configuração de alertas

Para enviar dados de alertas e eventos para o Google SecOps, tem de adicionar uma ação de acionador a um alerta do Splunk existente.

Os campos Ambiente, Fornecedor do dispositivo, Produto do dispositivo e Tipo de evento suportam a criação de modelos de eventos. Os modelos de eventos permitem que os campos específicos no Google SecOps sejam definidos dinamicamente com base nos valores no alerta. Para usar modelos de eventos, coloque um nome de campo entre parênteses retos "[ ]". O primeiro evento no alerta vai ser usado para preencher estes campos.

Exemplo: se tiver um alerta que contenha um campo device_vendor com um valor de Microsoft, pode colocar [device_vendor] no parâmetro de configuração Device Vendor e, quando o alerta for enviado para o Google SecOps, o fornecedor será definido como Microsoft.

1. No Splunk, navegue para Alertas.

2. Na lista Editar, selecione Editar alerta.

3. Na secção Ações de acionamento, navegue para Adicionar ações > Enviar alerta para o Siemplify.

4. Configure o alerta da seguinte forma:

   • Nome: o valor definido aqui afeta o nome do alerta.
   • Prioridade: o valor definido aqui afeta a prioridade do registo do Google SecOps.
   • Categoria: usada para definir a família visual.
   • Ambiente: mapeia para o ambiente no Google SecOps. Deixe em branco para não ter ambiente. Os modelos com parênteses retos são suportados.
   • Fornecedor do dispositivo: usado para definir o fornecedor do sistema que envia o evento para o Google SecOps. Se os alertas foram gerados pelo Microsoft Sysmon, use o Microsoft ou um valor no alerta/evento através de modelos.
   • Produto do dispositivo: usado para definir o produto do sistema que envia o evento para o Google SecOps. Se os alertas foram gerados pelo Microsoft Sysmon, este valor deve ser Sysmon ou um valor no alerta/evento através de modelos.
   • Tipo de evento: usado para definir o tipo de evento na secção Configuração de eventos do Google SecOps. Se o alerta estiver à procura de processos maliciosos, o tipo de evento deve ser algo como "Process Found" ou de um valor no alerta/evento através de modelos.
   • Campo de tempo: usado para definir o StartTime e o EndTime do registo do Google SecOps. Se não for fornecido, verifica o campo "_indextime". Se não conseguir encontrar "_indextime", usa a hora em que o alerta foi gerado. Os modelos não são suportados.
   • Expandir campos com vários valores: se definir esta opção como 1, o sistema encontra todos os campos com vários valores e cria campos adicionais que mapeiam cada valor no campo com vários valores. Por exemplo, se um campo de vários valores, src_hosts, contiver um valor de: Server1, Server2, Server3. O sistema cria novos campos de: src_hosts_0: Server1, src_hosts_1: Server2, src_hosts_2: Server3. Esta opção só é suportada quando a opção Trazer todos os dados de eventos está desativada.
   • Trazer todos os dados de eventos: esta definição tenta trazer os eventos não processados que compõem um alerta que contém um comando de transformação (chart, timechart, stats, top, rare, contingency, highlight). Para suportar esta alteração, é necessário alterar o Splunk Search Head.

5. Para ativar eventos não processados a partir de pesquisas de transformação, copie: $SPLUNK_HOME/etc/apps/TA-siemplify/default/savedsearches.conf para $SPLUNK_HOME/etc/apps/TA-siemplify/local/savedsearches.conf Editar: $SPLUNK_HOME/etc/apps/TA-siemplify/local/savedsearches.conf Descomentar: #dispatch.buckets =1

6. Guarde o ficheiro e reinicie o Splunk para que estas definições entrem em vigor.

Resolução de problemas

Para alterar o nível do registo para DEBUG, conclua os seguintes passos:

1. No Splunk Web, selecione a sua aplicação.

2. Aceda a Definições > Definições do servidor > Registo do servidor.

3. Para o parâmetro Nível de registo, selecione DEBUG.

4. Clique em Guardar.

A consulta de dados de registo do Google SecOps TA depende da sua implementação do Splunk. Se tiver o Splunk CIM instalado, os registos encontram-se no índice cim_modactions. Caso contrário, os registos vão estar no índice _internal.

Rede

Acesso à rede ao acesso à API Splunk do Google SecOps ao Splunk: Permita o tráfego através da porta 8089.

Como implementar o suplemento do Google SecOps num ambiente de cluster

Para criar o servidor de implementação e os cabeçalhos de pesquisa, conclua os seguintes passos:

1. Inicie sessão no servidor de implementação através de SSH.

2. Certifique-se de que o ficheiro /opt/splunk/etc/system/local/serverclass.conf existe. Caso contrário, execute o seguinte comando:

   vi /opt/splunk/etc/system/local/serverclass.conf

   Segue-se um exemplo da configuração:

   [global] # whitelist matches all clients.
   [serverClass:AllApps] [serverClass:AllApps:app:*] [serverClass:
   Google Security OperationsAPP]
   

3. Carregue e extraia o ficheiro da app no diretório /opt/splunk/etc/deployment-apps.

4. Crie o utilizador do Splunk se não existir:

   useradd splunk

5. O grupo de criação do Splunk não existe:

   groupadd splunk

6. Adicione autorizações do utilizador do Splunk para a app:

   chown splunk:splunk {app path}

7. Inicie sessão para pesquisar cabeçalhos através de SSH.

8. Adicione cabeçalhos de pesquisa como clientes ao servidor de implementação:

   /opt/splunk/bin/splunk set deploy-poll IP_ADDRESS:8089 #(deployment server ip address)

9. Reinicie todas as cabeças de pesquisa.

10. Inicie sessão na IU do servidor de implementação.

11. Navegue para Definições > Ambiente distribuído > Gestor de encaminhadores.

12. Aceda ao separador Classes de servidores e clique em Nova classe de servidor.

13. Indique um nome para a classe de servidor.

14. Adicione o suplemento Google SecOps como uma app e os cabeçalhos de pesquisa como clientes.

15. Reinicie todos os balões de pesquisa.

16. Certifique-se de que a app está configurada corretamente em todos os cabeçalhos de pesquisa. O Splunk não sincroniza consistentemente as apps no cluster.

Problemas Conhecidos

Se receber o erro int() argument must be a string, a bytes-like object or a number, not 'NoneType'. Please double check spelling and also verify that a compatible version of Splunk_SA_CIM is installed nos registos, certifique-se de que os parâmetros da chave da API e da raiz da API na configuração têm um valor, mesmo que esteja a trabalhar com o modo de obtenção.

Configure a integração do Splunk no Google SecOps

A integração do Splunk permite-lhe validar a ligação através de um ficheiro de certificado de AC. Este é um método de validação de ligação adicional.

Para usar este método, tem de ter o seguinte:*

• Ficheiro de certificado da AC
• Versão 26.0 ou superior da integração do Splunk

Configure a integração no Google SecOps:

1. Analise o ficheiro do certificado da CA numa string Base64.

2. Abra a página de configuração da integração.

3. No campo Ficheiro de certificado da AC, introduza a string do certificado da AC.

4. Para testar a ligação, selecione a caixa de verificação Validar SSL e clique em Testar.

Para obter instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Nome da instância	String	N/A	Não	Nome da instância para a qual pretende configurar a integração.
Descrição	String	N/A	Não	Descrição da instância.
Endereço do servidor	String	{SCHEMA}://{IP}:{PORT}	Sim	Endereço do servidor Splunk.
Nome de utilizador	String	N/A	Não	O endereço de email do utilizador que deve ser usado para estabelecer ligação ao Splunk.
Palavra-passe	Palavra-passe	N/A	Não	A palavra-passe do utilizador correspondente.
Chave da API	Palavra-passe	N/A	Não	Chave de API do Splunk. O token da API tem prioridade sobre outros métodos de autenticação quando este campo não está vazio.
Validar SSL	Caixa de verificação	Desmarcado	Não	Use esta caixa de verificação se a sua ligação ao Splunk exigir uma validação SSL (desmarcada por predefinição).
Ficheiro de certificado da AC	String	N/A	Não	Ficheiro de certificado da AC codificado em Base64.
Executar remotamente	Caixa de verificação	Desmarcado	Não	Selecione o campo para executar a integração configurada remotamente. Depois de selecionada, a opção aparece para selecionar o utilizador remoto (agente).

Nota: se necessário, pode fazer alterações numa fase posterior. Depois de configuradas, as instâncias podem ser usadas em Playbooks. Para obter informações detalhadas sobre a configuração e o suporte de várias instâncias, consulte o artigo Suporte de várias instâncias.

Ações

Organize eventos

Descrição

Receba eventos relacionados com anfitriões no Splunk.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Limite de eventos por anfitrião	Número inteiro	100	Sim	Especifique quantos eventos devolver por anfitrião.
Resultados de	String	-24h	Sim	Especifique a hora de início dos eventos.
Resultados para	String	agora	Sim	Especifique a hora de fim dos eventos.
Campos de resultados	CSV	N/A	Não	Especifique uma lista de campos separados por vírgulas que têm de ser devolvidos.
Índice	String	N/A	Não	Especifique que índice deve ser usado quando pesquisar eventos relacionados com o anfitrião. Se não for fornecido nada, a ação não usa o índice.
Chave de anfitrião	String	anfitrião	Não	Especifique a chave que deve ser usada para obter informações sobre eventos de anfitrião. Predefinição: host.

Executar em

Esta ação é executada na entidade Hostname.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valores	Exemplo
êxito	Verdadeiro/Falso	success:False

Resultado JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

Case Wall

Tipo de resultado	Valor / descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se for bem-sucedido e os resultados estiverem disponíveis: "Successfully returned events for the following hosts in Splunk: \n {0}".format(entity.identifier) Se for bem-sucedido e os resultados não estiverem disponíveis para alguns: "Não foram encontrados eventos para os seguintes anfitriões no Splunk:\n {0}".format(entity.identifier) Se for bem-sucedido e os resultados não estiverem disponíveis para todos: "Não foram encontrados eventos para os anfitriões fornecidos no Splunk" A ação deve falhar e parar a execução de um guia interativo: Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, entre outros: "Erro ao executar a ação "Get Host Events". Motivo: {0}''.format(error.Stacktrace) Se 400: "Erro ao executar a ação "Get Host Events". Motivo: {0}''.format(messages/text)	Geral
Tabela de parede da caixa	Nome: {Entity.identifier} eventos Colunas: com base nos resultados.

Tchim-tchim

Descrição

Teste a conetividade ao Splunk com os parâmetros fornecidos na página de configuração da integração no separador Google Security Operations Marketplace.

Parâmetros

N/A

Executar em

Esta ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valores	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Case Wall

Tipo de resultado	Valor / descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um playbook: se for bem-sucedida: "Ligação estabelecida com êxito ao servidor Splunk com os parâmetros de ligação fornecidos!" A ação deve falhar e parar a execução de um manual de procedimentos: se não for bem-sucedida: "Falha ao estabelecer ligação ao servidor Splunk! O erro é {0}".format(exception.stacktrace)	Geral

Splunk Csv Viewer

Descrição

Obsoleto: esta ação cria uma tabela CSV com base nos resultados não processados.

Parâmetros

Parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Resultados	de string	N/A	Sim	Resultados não processados.

Executar em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valores	Exemplo
is_succeed	Verdadeiro/Falso	is_succeed:False

SplunkQuery

Descrição

Executar uma consulta no Splunk.

Importante: exclua todas as aspas que façam parte da string de consulta.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Modo de pesquisa	LDD	Inteligente Valores possíveis: Verboso Inteligente Rápido	Não	Especifique o modo de execução da pesquisa.
Consulta	String		Sim	Especifique a consulta que tem de ser executada. Exemplo: index="_internal"
Limite de contagem de resultados	Número inteiro	100	Não	Especifique quantos resultados devolver. Nota: este parâmetro anexa a palavra-chave "head" à consulta fornecida. A predefinição é 100.
Resultados de	String	-24h	Não	Especifique a hora de início da consulta. Predefinição: -24h
Resultados para	String	agora	Não	Especifique a hora de fim da consulta. Predefinição: agora.
Campos de resultados	CSV		Não	Especifique uma lista de campos separados por vírgulas que têm de ser devolvidos. Nota: este parâmetro anexa a palavra-chave "fields" à consulta fornecida.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valores	Exemplo
is_succeed	Verdadeiro/Falso	is_succeed:False

Resultado JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se tiver êxito e os resultados estiverem disponíveis: "Successfully returned results for the query "{0}" in Splunk".format(query) Se tiver êxito e os resultados não estiverem disponíveis: "Não foram encontrados resultados para a consulta "{0}" no Splunk".format(query) Mensagem assíncrona: "A aguardar a conclusão da execução da consulta {0}.".format(query name) A ação deve falhar e parar a execução de um guia interativo: Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, entre outros: "Erro ao executar a ação "SplunkQuery". Motivo: {0}''.format(error.Stacktrace) Se 400: "Erro ao executar a ação "SplunkQuery". Motivo: {0}''.format(messages/text)	Geral
Tabela de parede da caixa	Nome: resultados da consulta do Splunk Colunas – com base nos resultados.	Geral

Enviar evento

Descrição

Envie o evento para o Splunk.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Índice	String	principal	Sim	Especifique o índice onde o evento deve ser criado.
Evento	String	N/A	Sim	Especifique o evento não processado que tem de ser enviado.
Anfitrião	String	N/A	Não	Especifique o anfitrião relacionado com o evento.
Origem	String	N/A	Não	Especifique a origem do evento. Exemplo: www.
Sourcetype	String	N/A	Não	Especifique o tipo de origem do evento. Exemplo: web_event

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valores	Exemplo
êxito	Verdadeiro/Falso	success:False

Resultado JSON

{
    "index": "default",
    "bytes": 70,
    "host": "dogo",
    "source": "www",
    "sourcetype": "web_event"
}

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: If successful: "Successfully added a new event to index "{0}" in Splunk.".format(index) A ação deve falhar e parar a execução de um guia interativo: Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Enviar evento". Motivo: {0}''.format(error.Stacktrace) Se 400: "Erro ao executar a ação "Enviar evento". Motivo: {0}''.format(messages/text)	Geral

Atualize eventos notáveis

Descrição

Atualize eventos notáveis no Splunk ES.

Aviso: esta ação só é suportada para o Splunk ES.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
IDs de eventos notáveis	CSV	N/A	Sim	Especifique os IDs de eventos notáveis. Exemplo: 1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7@@notable@@cb87390ae72763679d3f6f8f097ebe2b,1D234D5B-1531-2D2B-BB94-41C439BE12B7@@notable@@cb87390ae72763679d3f6f8f097ebe2b
Estado	LDD	Selecione uma opção Valores possíveis: Selecione uma opção Não atribuído Novo Em curso Pendente Resolvido Fechado	Sim	Especifique o novo estado para eventos notáveis.
Urgência	LDD	Selecione uma opção Valores possíveis: Selecione uma opção Crítico Alto Médio Baixo Informativas	Sim	Especifique a nova urgência para o evento notável.
Novo proprietário	String	N/A	Sim	Especifique o novo proprietário do evento notável.
Comentário	String	N/A	Sim	Especifique o comentário para o evento notável.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valores	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Case Wall

Tipo de resultado	Valor / descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: If successful and data is available (is_success=true) print "Successfully updated {0} notable events in Splunk.".format(count(notable_events)) Se a atualização falhar (status_code=400, is_success=false): print "Action wasn't able to update notable events. Reason:{0}".format(string_from_response) A ação deve falhar e parar a execução de um guia interativo: Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: print "Error executing action "Update Notable Events". Motivo: {0}''.format(error.Stacktrace)	Geral

Execute uma consulta de entidade

Descrição

Execute uma consulta de entidade no Splunk.

Nota: esta ação prepara a cláusula "Where" com base nas entidades. Consulte a documentação para ver informações adicionais.

Como trabalhar com parâmetros de ação?

Esta ação permite obter facilmente informações relacionadas com entidades. Por exemplo, é possível resolver o exemplo de utilização em que quer ver a quantidade de eventos dos pontos finais afetados pelos hashes fornecidos sem criar consultas complicadas. Para resolver este problema no Splunk, tem de preparar a seguinte consulta: index="main" | where (device_ip="10.0.0.1" or device_ip="10.12.12.12") and (hash="bad_hash_1" or hash="bad_hash_2") Para criar a mesma consulta através da ação "Executar consulta de entidade", tem de preencher os parâmetros da ação da seguinte forma:

Consulta	index="main"
Chave da entidade de IP	device_ip
Chave da entidade de hash de ficheiro	hash
Operador de várias entidades	E

Todos os outros campos podem ficar vazios.

Se o exemplo de utilização for ver quantos pontos finais foram afetados pelos hashes fornecidos, a configuração da "Execute Entity Query" terá o seguinte aspeto.

Consulta	index="main"
Chave da entidade de hash de ficheiro	hash

"Cross Entity Operator" nesta situação não tem impacto, porque só afeta a consulta quando são fornecidas várias "Chaves de entidades".

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Modo de pesquisa	LDD	Inteligente Valores possíveis: Verboso Inteligente Rápido	Não	Especifique o modo de execução da pesquisa.
Consulta	String		Sim	Especifique a consulta que tem de ser executada sem a cláusula "Where". Exemplo: index="_internal"
Limite de contagem de resultados	Número inteiro	100	Não	Especifique quantos resultados devolver. Nota: este parâmetro anexa a palavra-chave "head" à consulta fornecida. A predefinição é 100.
Resultados de	String	-24h	Não	Especifique a hora de início da consulta. Predefinição: -24h
Resultados para	String	agora	Não	Especifique a hora de fim da consulta. Predefinição: agora.
Campos de resultados	CSV	N/A	Não	Especifique uma lista de campos separados por vírgulas que têm de ser devolvidos. Nota: este parâmetro anexa a palavra-chave "fields" à consulta fornecida.
Chave da entidade de IP	String	N/A	Não	Especifique que chave deve ser usada com entidades de IP. Consulte a documentação da ação para ver detalhes.
Chave da entidade de nome do anfitrião	String	N/A	Não	Especifique a chave que deve ser usada com as entidades Hostname quando preparar o ficheiro CSV . Consulte a documentação da ação para ver detalhes.
Chave da entidade de hash de ficheiro	String	N/A	Não	Especifique a chave que deve ser usada com entidades de hash de ficheiros. Consulte a documentação da ação para ver detalhes.
Chave da entidade do utilizador	String	N/A	Não	Especifique que chave deve ser usada com entidades de utilizador. Consulte a documentação da ação para ver detalhes.
Chave da entidade do URL	String	N/A	Não	Especifique a chave que deve ser usada com entidades de URL. Consulte a documentação da ação para ver detalhes.
Chave da entidade do endereço de email	String	N/A	Não	Especifique a chave que deve ser usada com as entidades de endereço de email. Consulte a documentação da ação para ver detalhes.
Stop If Not Enough Entities	Caixa de verificação	Marcado	Sim	Se estiver ativada, a ação não inicia a execução, a menos que todos os tipos de entidades estejam disponíveis para as ".. chaves de entidades" especificadas. Exemplo: se forem especificados "IP Entity Key" e "File Hash Entity Key", mas não existirem hashes de ficheiros no âmbito, se este parâmetro estiver ativado, a ação não executa a consulta.
Operador de várias entidades	LDD	OU Valores possíveis: OU E	Sim	Especifique qual deve ser o operador lógico usado entre diferentes tipos de entidades.

Executar em

Esta ação é executada nas seguintes entidades:

• Endereço IP
• Anfitrião
• Utilizador
• Hash
• URL

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valores	Exemplo
is_succeed	Verdadeiro/Falso	is_succeed:False

Resultado JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se tiver êxito e os resultados estiverem disponíveis: "Successfully returned results for the query "{0}" in Splunk".format(query) Se tiver êxito e os resultados não estiverem disponíveis: "Não foram encontrados resultados para a consulta "{0}" no Splunk".format(query) Mensagem assíncrona: "A aguardar a conclusão da execução da consulta {0}.".format(query name) Se a opção "Parar se não houver entidades suficientes" estiver ativada e não estiverem disponíveis tipos de entidades suficientes para as "Chaves de entidades" fornecidas (is_success=false): não foi possível criar a consulta porque não foram fornecidos tipos de entidades suficientes para as "Chaves de entidades" especificadas. Desative o parâmetro "Stop If Not Enough Entities" ou faculte, pelo menos, uma entidade para cada ".. Entity Key" especificado. A ação deve falhar e parar a execução de um guia interativo: Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, entre outros: "Erro ao executar a ação "Executar consulta de entidade". Motivo: {0}''.format(error.Stacktrace) Se for 400: "Erro ao executar a ação "Execute Entity Query". Motivo: {0}''.format(messages/text)	Geral
Tabela de parede da caixa	Nome: resultados da consulta do Splunk Colunas: com base nos resultados.	Geral

Conetores

Para ver instruções detalhadas sobre como configurar um conetor no Google SecOps, consulte o artigo Configurar o conetor.

Para configurar o conector selecionado, use os parâmetros específicos do conector indicados nas tabelas seguintes:

• Parâmetros de configuração do conetor de consultas do Splunk
• Parâmetros de configuração do conetor de obtenção do Splunk
• Parâmetros de configuração do conetor de eventos notáveis do Splunk ES

Conetor de consultas do Splunk

O conector envia consultas que fazem parte da lista dinâmica (whitelist), obtém resultados e cria um registo com base nos resultados obtidos.

Exemplos de consultas do Splunk para ver os registos

1. As consultas devem ser introduzidas como as regras da lista dinâmica (whitelist).

2. As consultas de pesquisa com vários filtros devem usar um espaço como delimitador entre os filtros de pesquisa. Por exemplo, index=cim_modactions sourcetype=modular_alerts:risk.

3. A utilização de várias regras de listas dinâmicas (whitelist) em vez de introduzir vários filtros de pesquisa delimitados por espaços na mesma regra resulta numa pesquisa separada executada para cada regra adicionada.

   • index=cim_modactions
   • sourcetype=modular_alerts:send_data_to_siemplify
   • index=_internal sourcetype=splunkd
   • component=sendmodalert
   • action=send_data_to_siemplify
   • index=_internal source=/opt/splunk/var/log/splunk/send_data_to_siemplify_modalert.log

Parâmetros do conetor

Para configurar o conector, use os seguintes parâmetros:

Parâmetros
Product Field Name	Obrigatório Introduza o nome do campo de origem para obter o nome.Product Field O valor predefinido é device_product.
Event Field Name	Obrigatório Introduza o nome do campo de origem para obter o nome.Event Field O valor predefinido é app.
API Root	Obrigatório Raiz da API da instância do Splunk. O valor predefinido é https://IP:8089.
Username	Obrigatório Nome de utilizador da conta do Splunk.
Password	Obrigatório Palavra-passe da conta do Splunk.
API Token	Opcional Chave da API do Splunk. Se este campo tiver algum valor, o token de API tem prioridade sobre outros métodos de autenticação.
Verify SSL	Obrigatório Se estiver selecionada, verifica se o certificado SSL para a ligação ao servidor do CrowdStrike é válido. Desmarcada por predefinição.
Environment Field Name	Opcional Nome do campo onde o nome do ambiente está armazenado.
Rule Generator Field	Obrigatório O nome do campo usado para mapear o valor do gerador de regras.
Alert Name Field Name	Obrigatório Nome do alerta.
Events Count Limit Per Query	Opcional Quantidade máxima de eventos a obter por consulta.
Max Day Backwards	Opcional Número de dias a partir dos quais obter eventos.
Aggregate Events Query	Opcional Se estiver ativado, o conetor combina todos os eventos num único alerta. Desativada por predefinição.
PythonProcessTimeout (Seconds)	Obrigatório Limite de tempo limite para o processo do Python que executa o script atual. O valor predefinido é 60 segundos.
Proxy Server Address	Opcional Endereço do servidor proxy a usar.
Proxy Username	Opcional Nome de utilizador do proxy para autenticação.
Proxy Password	Opcional Palavra-passe do proxy para autenticação.
Environment Regex Pattern	Opcional Um padrão de expressão regular a executar no valor encontrado no campo Environment Field Name. O valor predefinido .* apanha tudo e devolve o valor inalterado. O parâmetro permite-lhe manipular o campo de ambiente através da lógica de expressão regular. Se o padrão de expressão regular for nulo ou estiver vazio, ou o valor do ambiente for nulo, o resultado do ambiente final é o ambiente predefinido.

Regras de conector

O conetor suporta proxy.

Conetor de obtenção do Splunk

Extraia alertas e eventos do Splunk para o Google SecOps.

Parâmetros do conetor

Para configurar o conector, use os seguintes parâmetros:

Parâmetros
Product Field Name	Obrigatório Introduza o nome do campo de origem para obter o nome.Product Field O valor predefinido é device_product.
Event Field Name	Obrigatório Introduza o nome do campo de origem para obter o nome.Event Field O valor predefinido é name.
Environment Field Name	Opcional Nome do campo onde o nome do ambiente está armazenado. Se o campo do ambiente não for encontrado, o ambiente do resultado é "" . O valor predefinido é "".
Environment Regex Pattern	Opcional Um padrão de expressão regular a executar no valor encontrado no campo Environment Field Name. O valor predefinido .* apanha tudo e devolve o valor inalterado. O parâmetro permite-lhe manipular o campo de ambiente através da lógica de expressão regular. Se o padrão de expressão regular estiver nulo ou vazio, ou o valor do ambiente estiver nulo, o resultado do ambiente final é "".
PythonProcessTimeout (Seconds)	Obrigatório Limite de tempo limite para o processo do Python que executa o script atual. O valor predefinido é 60 segundos.
Server Address	Obrigatório Endereço IP do servidor da API Splunk.
Port	Obrigatório Porta da instância do Splunk. O valor predefinido é 8089.
Username	Obrigatório Nome de utilizador da conta do Splunk.
Password	Obrigatório Palavra-passe da conta do Splunk.
Time Frame	Opcional Intervalo de tempo para obter os alertas. O valor predefinido é de 1 hora. Exemplos: Se o valor estiver definido como 1 minuto, o conector obtém alertas a partir de há 1 minuto. Se o valor estiver definido como 3 horas, o conector obtém alertas a partir de há 3 horas. Se o valor for definido como 1 dia ou 1 semana, o conector obtém alertas a partir de 1 dia (24 horas) ou 1 semana atrás, respetivamente.
Alerts Count Limit	Opcional Número de alertas devolvidos pelo conector por 1 iteração. O valor predefinido é 100.
Use SSL	Opcional Selecione a caixa para ativar a ligação SSL ou TLS. Desmarcada por predefinição.
Proxy Server Address	Opcional Endereço do servidor proxy a usar.
Proxy Username	Opcional Nome de utilizador do proxy para autenticação.
Proxy Password	Opcional Palavra-passe do proxy para autenticação.

Regras de conector

O conetor suporta proxy.

Splunk ES - Notable Events Connector

Carregue eventos notáveis do Splunk ES.

Nota: este conector só funciona com o Splunk ES.

Defina a prioridade do registo

A prioridade do registo é definida pelo parâmetro Urgency no evento notável. Apenas este parâmetro é tido em consideração quando o evento notável é carregado no Google SecOps.

Parâmetros do conetor

Para configurar o conector, use os seguintes parâmetros:

Parâmetros
Product Field Name	Obrigatório Introduza o nome do campo de origem para obter o nome.Product Field O valor predefinido é Product Name.
Event Field Name	Obrigatório Introduza o nome do campo de origem para obter o nome.Event Field O valor predefinido é index.
Environment Field Name	Opcional Nome do campo onde o nome do ambiente está armazenado. Se o campo do ambiente não for encontrado, é usado o ambiente predefinido. O valor predefinido é "".
Environment Regex Pattern	Opcional Um padrão de expressão regular a executar no valor encontrado no campo Environment Field Name. O valor predefinido .* apanha tudo e devolve o valor inalterado. O parâmetro permite-lhe manipular o campo de ambiente através da lógica de expressão regular. Se o padrão de expressão regular for nulo ou estiver vazio, ou o valor do ambiente for nulo, o resultado do ambiente final é o ambiente predefinido.
Script Timeout (Seconds)	Obrigatório Limite de tempo limite para o processo do Python que executa o script atual. O valor predefinido é 180 segundos.
Server Address	Obrigatório Endereço do servidor da instância do Splunk. O valor predefinido é https://:8089.
Username	Opcional Nome de utilizador da conta do Splunk.
Password	Opcional Palavra-passe da conta do Splunk.
API Token	Obrigatório Chave da API do Splunk. Se este campo tiver algum valor, o token de API tem prioridade sobre outros métodos de autenticação.
Lowest Urgency To Fetch	Obrigatório A urgência mais baixa usada para obter eventos notáveis. Os valores possíveis são os seguintes: Informational Low Medium High Critical O valor predefinido é Medium.
Fetch Max Hours Backwards	Opcional Quantidade de horas a partir das quais obter eventos notáveis. O valor predefinido é de 1 hora.
Only Drilldown Events	Opcional Se estiver ativado, o conetor tenta obter eventos de detalhe sem obter eventos base. Este parâmetro requer a opção Fetch Base Events ativada. Desativada por predefinição.
Padding Time	Opcional A quantidade de horas que vai ser usada como preenchimento. Se não for indicado nenhum valor, este parâmetro não é aplicável. O valor máximo é de 12 horas.
Max Notable Events To Fetch	Opcional Número de eventos notáveis a processar por iteração de conetor. O valor predefinido é 10.
Use whitelist as a blacklist	Obrigatório Se estiver ativada, a lista dinâmica é usada como uma lista de bloqueios. Desativada por predefinição.
Verify SSL	Obrigatório Se estiver selecionada, verifica se o certificado SSL para a ligação ao servidor do CrowdStrike é válido. Desmarcada por predefinição.
Proxy Server Address	Opcional Endereço do servidor proxy a usar.
Proxy Username	Opcional Nome de utilizador do proxy para autenticação.
Proxy Password	Opcional Palavra-passe do proxy para autenticação.
Query Filter	Opcional Filtro de consulta adicional enviado para o Splunk para receber eventos importantes. O valor indicado aqui é anexado à cláusula de consulta WHERE.
Extract Base Events	Opcional Se estiver ativado, o conetor extrai eventos base relacionados com o evento notável através de informações sobre a tarefa. Noutro caso, o conector cria um evento do Google SecOps com base no evento notável. Se este parâmetro estiver definido como True, mas o conetor não conseguir trabalhar com tarefas, o conetor usa informações sobre eventos notáveis como um mecanismo alternativo. Ativada por predefinição.
Multivalue Fields	Opcional Uma lista de campos separados por vírgulas que contêm várias entidades. Por exemplo, se um campo contiver dois nomes de anfitrião, o evento notável é dividido em dois eventos do Google SecOps para mapear as entidades corretamente.
Notable Event Data Along Base Event	Opcional Se estiver ativado, o conector adiciona eventos do Google SecOps com base no evento notável, além dos eventos base. Desativada por predefinição.
Rule Generator Field Name	Opcional O nome do campo usado para mapear o valor do gerador de regras. Apenas as informações sobre o próprio evento notável são usadas para o mapeamento. Os eventos são ignorados. Se for fornecido um valor inválido, o conetor define o campo com o valor rule_name.
Alert Name Source	Opcional Origem do nome do alerta. Os valores possíveis são os seguintes: Search Name Rule Name O valor predefinido é Search Name.

Como usar o parâmetro Query Filter

Se for necessário restringir os eventos notáveis com base nos parâmetros específicos, use o parâmetro Query Filter. O valor fornecido neste parâmetro é anexado à cláusula WHERE da consulta enviada para obter eventos notáveis.

Segue-se o exemplo da consulta enviada:

(`get_notable_index` OR `get_sequenced_index`) | eval `get_event_id_meval`,
rule_id=event_id | tags outputfield=tag | `mvappend_field(tag,orig_tag)` |
`notable_xref_lookup` | `get_correlations` | `get_current_status` | `get_owner`
| `get_urgency` | typer | where (urgency="medium" AND urgency="low") AND
(status_label="Unassigned" OR status_label="New")  | tail 50 | fields *

Por exemplo, se Query Filter = isTesting = True, a consulta aparece da seguinte forma:

search (`get_notable_index` OR `get_sequenced_index`) | eval epoch=_time | eval
`get_event_id_meval`,rule_id=event_id | tags outputfield=tag |
`mvappend_field(tag,orig_tag)` | `notable_xref_lookup` | `get_correlations` |
`get_current_status` | `get_owner` | `get_urgency` | typer | where
(urgency!="informational" AND urgency!="low" **AND isTesting = "True"**) |
fields *

Regras de conector

O conector do Splunk ES usa a lista dinâmica e a lista de bloqueio (whitelist e blacklist). O conector usa o campo search_name do evento para comparar com a lista dinâmica.

Evento do conetor

[{
    "indicator": "2012/06/29_21:50", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-578a9be5-0e03-4ec0-940d-4b1842f40fd0", 
    "date_last": "2020-07-15 08:12:07 AM",
"Url": "indicator"
  },{
    "indicator": "2010/12/19_16:35", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-52cadd07-330a-45fd-962f-32e22d36a89a", 
    "date_last": "2020-07-15 08:12:07 AM"
  }]

Empregos

Sincronize eventos fechados do Splunk ES

Descrição

Sincroniza eventos notáveis fechados do Splunk ES e alertas do Google SecOps.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Endereço do servidor	String	https://IP:8089	Sim	Endereço do servidor da instância do Splunk.
Nome de utilizador	String	N/A	Não	Nome de utilizador da conta do Splunk.
Palavra-passe	Palavra-passe	N/A	Não	Palavra-passe da conta do Splunk.
Chave da API	Palavra-passe	N/A	Sim	Chave da API do Splunk. O token da API tem prioridade sobre outros métodos de autenticação quando este campo não está vazio.
Máximo de horas para trás	Número inteiro	24	Sim	Especifique o número de horas para trás para sincronizar os estados. Predefinição: 24 horas.
Validar SSL	Caixa de verificação	Marcado	Sim	Se estiver ativado, verifique se o certificado SSL para a ligação ao servidor Splunk é válido.

Sincronize comentários do Splunk ES

Descrição

Esta tarefa sincroniza os comentários nos eventos do Splunk ES e nos registos do Google SecOps.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Endereço do servidor	String	https://IP:8089	Sim	Endereço do servidor da instância do Splunk.
Nome de utilizador	String	N/A	Não	Nome de utilizador da conta do Splunk.
Palavra-passe	Palavra-passe	N/A	Não	Palavra-passe da conta do Splunk.
Chave da API	Palavra-passe	N/A	Sim	Chave da API do Splunk. O token da API tem prioridade sobre outros métodos de autenticação quando este campo não está vazio.
Validar SSL	Caixa de verificação	Marcado	Sim	Se estiver ativado, verifique se o certificado SSL para a ligação ao servidor Splunk é válido.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.