Integra Cisco Secure Network Analytics con Google SecOps

Questo documento spiega come integrare Cisco Secure Network Analytics (precedentemente Stealthwatch) con Google Security Operations (Google SecOps).

Importante: Cisco ha acquisito Stealthwatch e l'ha rinominato Cisco Secure Network Analytics. Tuttavia, l'integrazione per Cisco Secure Network Analytics nella piattaforma Google SecOps utilizza il nome Stealthwatch.

Casi d'uso

L'integrazione di Cisco Secure Network Analytics può essere utilizzata nei seguenti casi d'uso:

• Recupera gli eventi di sicurezza: utilizza le funzionalità di Google SecOps per cercare e recuperare gli eventi di sicurezza dell'host dal server Cisco Secure Network Analytics durante l'indagine sugli incidenti.

• Cerca i dati del flusso di rete: utilizza le funzionalità di Google SecOps per cercare i flussi di rete per indirizzo IP entro un periodo di tempo specificato per comprendere i pattern di comunicazione dell'host.

Parametri di integrazione

L'integrazione di Cisco Secure Network Analytics richiede i seguenti parametri:

                                                           

Parametro	Descrizione
API Root	Obbligatorio. L'URL di base dell'istanza Cisco Secure Network Analytics. Il valore predefinito è https://x.x.x.x.
Username	Obbligatorio. Il nome utente utilizzato per accedere a Cisco Secure Network Analytics.
Password	Obbligatorio. La password utilizzata per accedere a Cisco Secure Network Analytics.
Verify SSL	Facoltativo. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Cisco Secure Network Analytics. Disattivato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Dindin

Utilizza l'azione Ping per testare la connettività a Cisco Secure Network Analytics.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully connected to the Stealthwatch with the provided connection parameters!	L'azione è andata a buon fine.
Error executing action "Ping". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	True o False

Cerca eventi

Utilizza l'azione Cerca eventi per recuperare gli eventi di sicurezza di un host da Cisco Secure Network Analytics per un determinato periodo di tempo.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address

Input azione

L'azione Cerca eventi richiede i seguenti parametri:

Parametro	Descrizione
Time Frame	Obbligatorio. Il numero di ore, misurato a ritroso rispetto all'ora corrente, da includere nella finestra di ricerca degli eventi di sicurezza.

Output azione

L'azione Cerca eventi fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Cerca flussi

Utilizza l'azione Cerca flussi per recuperare i dati del flusso di rete da Cisco Secure Network Analytics per un determinato indirizzo IP e un determinato periodo di tempo.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address

Input azione

L'azione Search Flows richiede i seguenti parametri:

                     

Parametro	Descrizione
Time Frame	Obbligatorio. Il numero di ore, misurato a ritroso rispetto all'ora corrente, da includere nella ricerca del flusso.
Limit	Obbligatorio. Il numero massimo di record di flusso da recuperare da Cisco Secure Network Analytics.

Output azione

L'azione Cerca flussi fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.