Intégrer Cisco Secure Network Analytics à Google SecOps

Ce document explique comment intégrer Cisco Secure Network Analytics (anciennement Stealthwatch) à Google Security Operations (Google SecOps).

Important : Cisco a acquis Stealthwatch et l'a renommé Cisco Secure Network Analytics. Toutefois, l'intégration de Cisco Secure Network Analytics dans la plate-forme Google SecOps utilise le nom Stealthwatch.

Cas d'utilisation

L'intégration de Cisco Secure Network Analytics peut répondre aux cas d'utilisation suivants :

• Récupérer les événements liés à la sécurité : utilisez les fonctionnalités de Google SecOps pour rechercher et récupérer les événements liés à la sécurité de l'hôte à partir du serveur Cisco Secure Network Analytics lors de l'enquête sur un incident.

• Rechercher des données de flux réseau : utilisez les fonctionnalités de Google SecOps pour rechercher des flux réseau par adresse IP dans un délai spécifié afin de comprendre les modèles de communication des hôtes.

Paramètres d'intégration

L'intégration Cisco Secure Network Analytics nécessite les paramètres suivants :

                                                           

Paramètre	Description
API Root	Obligatoire. URL de base de l'instance Cisco Secure Network Analytics. La valeur par défaut est https://x.x.x.x.
Username	Obligatoire. Nom d'utilisateur utilisé pour se connecter à Cisco Secure Network Analytics.
Password	Obligatoire. Mot de passe utilisé pour se connecter à Cisco Secure Network Analytics.
Verify SSL	Facultatif. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Cisco Secure Network Analytics. Désactivé par défaut

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ping

Utilisez l'action Ping pour tester la connectivité à Cisco Secure Network Analytics.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully connected to the Stealthwatch with the provided connection parameters!	L'action a réussi.
Error executing action "Ping". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Ping :

Nom du résultat du script	Valeur
is_success	True ou False

Rechercher dans les événements

Utilisez l'action Rechercher des événements pour récupérer les événements liés à la sécurité d'un hôte à partir de Cisco Secure Network Analytics pour une période donnée.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address

Entrées de l'action

L'action Rechercher des événements nécessite les paramètres suivants :

Paramètre	Description
Time Frame	Obligatoire. Nombre d'heures, mesuré à rebours à partir de l'heure actuelle, à inclure dans la fenêtre de recherche des événements liés à la sécurité.

Sorties de l'action

L'action Rechercher des événements fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Rechercher des flux

Utilisez l'action Rechercher des flux pour récupérer les données de flux réseau de Cisco Secure Network Analytics pour une adresse IP et une période données.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address

Entrées de l'action

L'action Rechercher des flux nécessite les paramètres suivants :

                     

Paramètre	Description
Time Frame	Obligatoire. Nombre d'heures, mesuré à rebours à partir de l'heure actuelle, à inclure dans la recherche de flux.
Limit	Obligatoire. Nombre maximal d'enregistrements de flux à récupérer à partir de Cisco Secure Network Analytics.

Sorties de l'action

L'action Rechercher des flux fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.