Cisco Secure Network Analytics in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Cisco Secure Network Analytics (früher Stealthwatch) in Google Security Operations (Google SecOps) einbinden.

Wichtig: Cisco hat Stealthwatch übernommen und in Cisco Secure Network Analytics umbenannt. Für die Integration von Cisco Secure Network Analytics in die Google SecOps-Plattform wird jedoch der Name Stealthwatch verwendet.

Anwendungsfälle

Die Integration von Cisco Secure Network Analytics kann die folgenden Anwendungsfälle abdecken:

• Sicherheitsereignisse abrufen: Verwenden Sie die Funktionen von Google SecOps, um während der Untersuchung von Vorfällen nach Host-Sicherheitsereignissen auf dem Cisco Secure Network Analytics-Server zu suchen und diese abzurufen.

• Nach Netzwerkflussdaten suchen: Verwenden Sie die Google SecOps-Funktionen, um nach Netzwerkflüssen nach IP-Adresse innerhalb eines bestimmten Zeitraums zu suchen und die Kommunikationsmuster von Hosts zu verstehen.

Integrationsparameter

Für die Integration von Cisco Secure Network Analytics sind die folgenden Parameter erforderlich:

                                                           

Parameter	Beschreibung
API Root	Pflichtangabe. Die Basis-URL der Cisco Secure Network Analytics-Instanz. Der Standardwert ist https://x.x.x.x.
Username	Pflichtangabe. Der Nutzername, der für die Anmeldung bei Cisco Secure Network Analytics verwendet wird.
Password	Pflichtangabe. Das Passwort, mit dem Sie sich in Cisco Secure Network Analytics anmelden.
Verify SSL	Optional. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Cisco Secure Network Analytics-Server hergestellt wird. Standardmäßig deaktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Cisco Secure Network Analytics zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully connected to the Stealthwatch with the provided connection parameters!	Die Aktion war erfolgreich.
Error executing action "Ping". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Ping-Aktion aufgeführt:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ereignisse suchen

Mit der Aktion Ereignisse suchen können Sie die Sicherheitsereignisse eines Hosts aus Cisco Secure Network Analytics für einen bestimmten Zeitraum abrufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address

Aktionseingaben

Für die Aktion Ereignisse suchen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Time Frame	Pflichtangabe. Die Anzahl der Stunden, die rückwärts von der aktuellen Zeit gemessen werden und in das Suchfenster für Sicherheitsereignisse einbezogen werden sollen.

Aktionsausgaben

Die Aktion Ereignisse suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Suchabläufe

Verwenden Sie die Aktion Search Flows, um Netzwerkflussdaten aus Cisco Secure Network Analytics für eine bestimmte IP-Adresse und einen bestimmten Zeitraum abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address

Aktionseingaben

Für die Aktion Search Flows sind die folgenden Parameter erforderlich:

                     

Parameter	Beschreibung
Time Frame	Pflichtangabe. Die Anzahl der Stunden, die von der aktuellen Zeit rückwärts gemessen werden und in die Ablaufsuche einbezogen werden sollen.
Limit	Pflichtangabe. Die maximale Anzahl von Flussdatensätzen, die von Cisco Secure Network Analytics abgerufen werden sollen.

Aktionsausgaben

Die Aktion Search Flows liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten