שילוב של Cisco Secure Network Analytics עם Google SecOps

במסמך הזה מוסבר איך לשלב את Cisco Secure Network Analytics (לשעבר Stealthwatch) עם Google Security Operations (Google SecOps).

תרחישים לדוגמה

השילוב של Cisco Secure Network Analytics יכול לתת מענה לתרחישי השימוש הבאים:

  • אחזור אירועי אבטחה: אפשר להשתמש ביכולות של Google SecOps כדי לחפש ולאחזר אירועי אבטחה של מארחים משרת Cisco Secure Network Analytics במהלך חקירת אירועים.

  • חיפוש נתונים של תנועת רשת: אפשר להשתמש ביכולות של Google SecOps כדי לחפש תנועת רשת לפי כתובת IP בטווח זמן ספציפי, כדי להבין את דפוסי התקשורת של המארח.

פרמטרים של שילוב

השילוב עם Cisco Secure Network Analytics דורש את הפרמטרים הבאים:

                                                           
פרמטרתיאור
API Root

חובה.

כתובת ה-URL הבסיסית של המכונה של Cisco Secure Network Analytics.

ערך ברירת המחדל הוא https://x.x.x.x.

Username

חובה.

שם המשתמש שמשמש לכניסה ל-Cisco Secure Network Analytics.

Password

חובה.

הסיסמה שמשמשת לכניסה ל-Cisco Secure Network Analytics.

Verify SSL

זה שינוי אופציונלי.

אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Cisco Secure Network Analytics.

ההגדרה מושבתת כברירת מחדל.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות שממתינות לאישור ב-Your Workdesk ואיך מבצעים פעולה ידנית.

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות אל Cisco Secure Network Analytics.

הפעולה הזו לא מופעלת על ישויות ב-Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
הודעות פלט יש גישה
תוצאת סקריפט יש גישה
הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully connected to the Stealthwatch with the provided connection parameters!

 הפעולה הסתיימה בהצלחה.
Error executing action "Ping". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולת הפינג:

שם התוצאה של הסקריפט ערך
is_success True או False

חיפוש אירועים

משתמשים בפעולה חיפוש אירועים כדי לאחזר אירועי אבטחה של מארח מ-Cisco Secure Network Analytics לפרק זמן נתון.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address

הוספת נתונים לפעולה

הפעולה חיפוש אירועים דורשת את הפרמטרים הבאים:

פרמטר תיאור
Time Frame

חובה.

מספר השעות, שנמדד אחורה מהשעה הנוכחית, שייכללו בחלון החיפוש של אירועי אבטחה.

פלט של פעולות

הפעולה חיפוש אירועים מספקת את התוצאות הבאות:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת סקריפט יש גישה

חיפוש תהליכי עבודה

משתמשים בפעולה Search Flows כדי לאחזר נתוני זרימת רשת מ-Cisco Secure Network Analytics עבור כתובת IP ופרק זמן נתונים.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address

הוספת נתונים לפעולה

הפעולה Search Flows דורשת את הפרמטרים הבאים:

                     
פרמטר תיאור
Time Frame

חובה.

מספר השעות, שנמדד אחורה מהשעה הנוכחית, שייכללו בחיפוש הזרימה.

Limit

חובה.

מספר הרשומות המקסימלי של זרימת נתונים שאפשר לאחזר מ-Cisco Secure Network Analytics.

פלט של פעולות

הפעולה חיפוש רצפים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת סקריפט יש גישה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.