Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Sumo Logic Cloud SIEM

In diesem Dokument wird beschrieben, wie Sie Sumo Logic Cloud SIEM in Google SecOps einbinden.

Sumo Logic Cloud SIEM-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
API-Stamm	String	https://{instance}	Ja	API-Stamm der Sumo Logic Cloud SIEM-Instanz.
API-Schlüssel	String	–	Nein	API-Schlüssel des Sumo Logic Cloud SIEM-Kontos. Hinweis: Der API-Schlüssel hat Vorrang vor anderen Authentifizierungsmethoden.
Zugriffs-ID	String	–	Nein	Zugriffs-ID des Sumo Logic Cloud SIEM-Kontos. Hinweis: Für diese Art der Authentifizierung sind sowohl die Zugriffs-ID als auch der Zugriffsschlüssel erforderlich.
Zugriffsschlüssel	String	–	Nein	Zugriffsschlüssel des Sumo Logic Cloud SIEM-Kontos. Hinweis: Für diese Art der Authentifizierung sind sowohl die Zugriffs-ID als auch der Zugriffsschlüssel erforderlich.
SSL überprüfen	Kästchen	Deaktiviert	Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Sumo Logic Cloud SIEM-Server gültig ist.

Anwendungsbereiche

Aufnahmewarnungen

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Sumo Logic Cloud SIEM mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success=False

JSON-Ergebnis

N/A

Entitätsanreicherung

–

Statistiken

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Bei Erfolg: „Successfully connected to the Sumo Logic Cloud SIEM server with the provided connection parameters!“ (Verbindung zum Sumo Logic Cloud SIEM-Server mit den angegebenen Verbindungsparametern erfolgreich hergestellt!) Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn nicht erfolgreich: „Verbindung zum Sumo Logic Cloud SIEM-Server konnte nicht hergestellt werden! Error is {0}".format(exception.stacktrace)	Allgemein

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Bei Erfolg: „Successfully connected to the Sumo Logic Cloud SIEM server with the provided connection parameters!“ (Verbindung zum Sumo Logic Cloud SIEM-Server mit den angegebenen Verbindungsparametern erfolgreich hergestellt!)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn nicht erfolgreich: „Verbindung zum Sumo Logic Cloud SIEM-Server konnte nicht hergestellt werden! Error is {0}".format(exception.stacktrace)

Allgemein

Signale für Sucheinheiten

Beschreibung

Suchen Sie nach Signalen, die sich auf Entitäten in Sumo Logic Cloud SIEM beziehen. Unterstützte Entitäten: IP-Adresse, Hostname, Nutzername.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Niedrigster Schweregrad, der zurückgegeben werden soll	Ganzzahl	5	Nein	Geben Sie die niedrigste Schweregradnummer an, die zum Zurückgeben von Signalen verwendet wird. Maximum: 10
Zeitraum	DDL	Letzte Stunde Mögliche Werte: Letzte Stunde Letzte 6 Stunden Letzte 24 Stunden Letzte Woche Letzter Monat 5 Minuten vor und nach dem Benachrichtigungszeitpunkt 30 Minuten um den Benachrichtigungszeitpunkt herum 1 Stunde um den Benachrichtigungszeitpunkt herum Benutzerdefiniert	Nein	Geben Sie einen Zeitraum für die Ergebnisse an. Wenn „Benutzerdefiniert“ ausgewählt ist, müssen Sie auch „Beginn“ angeben. Wenn „Zeit bis jetzt“ ausgewählt ist, wird die Startzeit der Benachrichtigung als Startzeit für die Suche verwendet und die Endzeit ist die aktuelle Zeit. Wenn „30 Minuten um die Benachrichtigungszeit“ ausgewählt ist, werden die Benachrichtigungen 30 Minuten vor und 30 Minuten nach dem Auftreten der Benachrichtigung durchsucht. Dasselbe gilt für „1 Stunde um die Benachrichtigungszeit“ und „5 Minuten um die Benachrichtigungszeit“.
Beginn	String	–	Nein	Geben Sie die Startzeit für die Ergebnisse an. Dieser Parameter ist obligatorisch, wenn für den Parameter „Zeitraum“ die Option „Benutzerdefiniert“ ausgewählt ist. Format: ISO 8601
Ende	String	–	Nein	Geben Sie die Endzeit für die Ergebnisse an. Wenn nichts angegeben ist und für den Parameter „Zeitraum“ die Option „Benutzerdefiniert“ ausgewählt ist, wird für diesen Parameter die aktuelle Zeit verwendet. Format: ISO 8601
Maximale Anzahl zurückzugebender Signale	Ganzzahl	50	Nein	Geben Sie die Anzahl der Signale an, die pro Entität zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

IP-Adresse
Hostname
Nutzername

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success=False

JSON-Ergebnis

[
    {
        "allRecords": [
            {
                "action": "failed password attempt",
                "bro_dns_answers": [],
                "bro_file_bytes": {},
                "bro_file_connUids": [],
                "bro_flow_service": [],
                "bro_ftp_pendingCommands": [],
                "bro_http_cookieVars": [],
                "bro_http_origFuids": [],
                "bro_http_origMimeTypes": [],
                "bro_http_request_headers": {},
                "bro_http_request_proxied": [],
                "bro_http_response_headers": {},
                "bro_http_response_respFuids": [],
                "bro_http_response_respMimeTypes": [],
                "bro_http_tags": [],
                "bro_http_uriVars": [],
                "bro_kerberos_clientCert": {},
                "bro_kerberos_serverCert": {},
                "bro_sip_headers": {},
                "bro_sip_requestPath": [],
                "bro_sip_responsePath": [],
                "bro_ssl_certChainFuids": [],
                "bro_ssl_clientCertChainFuids": [],
                "cseSignal": {},
                "day": 11,
                "device_ip": "172.30.202.30",
                "device_ip_ipv4IntValue": 2887698974,
                "device_ip_isInternal": true,
                "device_ip_version": 4,
                "fieldTags": {},
                "fields": {
                    "auth_method": "ssh2",
                    "endpoint_ip": "172.30.202.30",
                    "endpoint_username": "bL0ofHLH",
                    "event_message": "Failed password for invalid user",
                    "src_port": "39788"
                },
                "friendlyName": "record",
                "hour": 10,
                "http_requestHeaders": {},
                "listMatches": [],
                "matchedItems": [],
                "metadata_deviceEventId": "citrix_xenserver_auth_message",
                "metadata_mapperName": "Citrix Xenserver Auth Message",
                "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                "metadata_parseTime": 1646994593976,
                "metadata_product": "Hypervisor",
                "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                "metadata_receiptTime": 1646994592,
                "metadata_relayHostname": "centos-002",
                "metadata_schemaVersion": 3,
                "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                "metadata_sensorInformation": {},
                "metadata_sensorZone": "default",
                "metadata_vendor": "Citrix",
                "month": 3,
                "normalizedAction": "logon",
                "objectType": "Authentication",
                "srcDevice_ip": "172.30.202.30",
                "srcDevice_ip_ipv4IntValue": 2887698974,
                "srcDevice_ip_isInternal": true,
                "srcDevice_ip_version": 4,
                "success": false,
                "timestamp": 1646994592000,
                "uid": "7a89ebd4-3346-59fe-839a-9fc9bf99f51a",
                "user_username": "bL0ofHLH",
                "user_username_raw": "bL0ofHLH",
                "year": 2022
            }
        ],
        "artifacts": [],
        "contentType": "ANOMALY",
        "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
        "entity": {
            "entityType": "_ip",
            "hostname": null,
            "id": "_ip-172.30.202.30",
            "macAddress": null,
            "name": "172.30.202.30",
            "sensorZone": "",
            "value": "172.30.202.30"
        },
        "id": "a9288779-354c-5a61-b492-f617d302c5ed",
        "name": "Password Attack",
        "recordCount": 10,
        "recordTypes": [],
        "ruleId": "THRESHOLD-S00095",
        "severity": 4,
        "stage": "Initial Access",
        "suppressed": true,
        "tags": [
            "_mitreAttackTactic:TA0001",
            "_mitreAttackTactic:TA0006",
            "_mitreAttackTechnique:T1110",
            "_mitreAttackTechnique:T1078",
            "_mitreAttackTechnique:T1078.001",
            "_mitreAttackTechnique:T1078.002",
            "_mitreAttackTechnique:T1078.003",
            "_mitreAttackTechnique:T1078.004",
            "_mitreAttackTechnique:T1586",
            "_mitreAttackTechnique:T1586.001",
            "_mitreAttackTechnique:T1586.002",
            "_mitreAttackTactic:TA0008",
            "_mitreAttackTechnique:T1110.003",
            "_mitreAttackTechnique:T1110.002",
            "_mitreAttackTechnique:T1110.001"
        ],
        "timestamp": "2022-03-11T10:29:52"
    }
]

Entitätsanreicherung

–

Statistiken

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn mindestens ein Signal gefunden wurde (is_success=true): „Für die folgenden Entitäten in Sumo Logic Cloud SIEM wurden Signale zurückgegeben: {entities}.“ Wenn für eine Entität nichts gefunden wurde (is_success=true): „In Sumo Logic Cloud SIEM wurden keine Signale für die folgenden Entitäten gefunden: {entities}.“ Wenn für alle Entitäten nichts gefunden wird (is_success=true): „In Sumo Logic Cloud SIEM wurden keine Signale für die angegebenen Entitäten gefunden.“ Wenn der Statuscode 500 für eine Entität gemeldet wird (is_success=true): „Die Aktion konnte keine Signale für die folgenden Entitäten in Sumo Logic Cloud SIEM abrufen: {entities}.“ Wenn der Statuscode 500 für alle Entitäten gemeldet wird (is_success=false): „Die Aktion konnte keine Signale für die angegebenen Entitäten in Sumo Logic Cloud SIEM abrufen.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitätssignale suchen‘. Reason: {0}''.format(error.Stacktrace)	Allgemein

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn mindestens ein Signal gefunden wurde (is_success=true): „Für die folgenden Entitäten in Sumo Logic Cloud SIEM wurden Signale zurückgegeben: {entities}.“

Wenn für eine Entität nichts gefunden wurde (is_success=true): „In Sumo Logic Cloud SIEM wurden keine Signale für die folgenden Entitäten gefunden: {entities}.“

Wenn für alle Entitäten nichts gefunden wird (is_success=true): „In Sumo Logic Cloud SIEM wurden keine Signale für die angegebenen Entitäten gefunden.“

Wenn der Statuscode 500 für eine Entität gemeldet wird (is_success=true): „Die Aktion konnte keine Signale für die folgenden Entitäten in Sumo Logic Cloud SIEM abrufen: {entities}.“

Wenn der Statuscode 500 für alle Entitäten gemeldet wird (is_success=false): „Die Aktion konnte keine Signale für die angegebenen Entitäten in Sumo Logic Cloud SIEM abrufen.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitätssignale suchen‘. Reason: {0}''.format(error.Stacktrace)

Allgemein

Insight aktualisieren

Beschreibung

Insight-Status in Sumo Logic Cloud SIEM aktualisieren.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Insight-ID	String	–	Ja	Geben Sie die ID der Statistik an, die aktualisiert werden soll.
Status	DDL	Wählen Sie eine Option aus. Mögliche Werte: Wählen Sie eine Option aus. Neu – In Bearbeitung Geschlossen	Ja	Geben Sie den Status an, der für die Statistik festgelegt werden soll.
Typ des Rechtsnachfolgers	DDL	Nutzer Mögliche Werte: Nutzer Team	Ja	Geben Sie den Typ des Rechtsnachfolgers für den Parameter „Assignee“ an.
Zuständige Person	String	–	Nein	Geben Sie die ID des Rechtsnachfolgers an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success=False

JSON-Ergebnis

{
  "data": {
      "artifacts": [],
      "assignedTo": "tip.labops",
      "assignee": {
          "displayName": "tip.labops@siemplify.co",
          "username": "tip.labops"
      },
      "closed": "2022-03-23T11:04:33.731971",
      "closedBy": "tip.labops",
      "confidence": 0.1,
      "created": "2022-03-11T08:48:26.030204",
      "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
      "entity": {
          "entityType": "_ip",
          "hostname": null,
          "id": "_ip-172.30.202.30",
          "macAddress": null,
          "name": "172.30.202.30",
          "sensorZone": "",
          "value": "172.30.202.30"
      },
      "id": "dbc30c20-6d99-4f6f-8580-157ce70368a5",
      "lastUpdated": "2022-03-23T11:04:33.740470",
      "lastUpdatedBy": null,
      "name": "Initial Access",
      "orgId": "siemplify",
      "readableId": "INSIGHT-13927",
      "recordSummaryFields": [],
      "resolution": "False Positive",
      "severity": "CRITICAL",
      "signals": [
          {
              "allRecords": [
                  {
                      "action": "failed password attempt",
                      "bro_dns_answers": [],
                      "bro_file_bytes": {},
                      "bro_file_connUids": [],
                      "bro_flow_service": [],
                      "bro_ftp_pendingCommands": [],
                      "bro_http_cookieVars": [],
                      "bro_http_origFuids": [],
                      "bro_http_origMimeTypes": [],
                      "bro_http_request_headers": {},
                      "bro_http_request_proxied": [],
                      "bro_http_response_headers": {},
                      "bro_http_response_respFuids": [],
                      "bro_http_response_respMimeTypes": [],
                      "bro_http_tags": [],
                      "bro_http_uriVars": [],
                      "bro_kerberos_clientCert": {},
                      "bro_kerberos_serverCert": {},
                      "bro_sip_headers": {},
                      "bro_sip_requestPath": [],
                      "bro_sip_responsePath": [],
                      "bro_ssl_certChainFuids": [],
                      "bro_ssl_clientCertChainFuids": [],
                      "cseSignal": {},
                      "day": 11,
                      "device_ip": "172.30.202.30",
                      "device_ip_ipv4IntValue": 2887698974,
                      "device_ip_isInternal": true,
                      "device_ip_version": 4,
                      "fieldTags": {},
                      "fields": {
                          "auth_method": "ssh2",
                          "endpoint_ip": "172.30.202.30",
                          "endpoint_username": "1ewk0XJn",
                          "event_message": "Failed password for invalid user",
                          "src_port": "59088"
                      },
                      "friendlyName": "record",
                      "hour": 8,
                      "http_requestHeaders": {},
                      "listMatches": [],
                      "matchedItems": [],
                      "metadata_deviceEventId": "citrix_xenserver_auth_message",
                      "metadata_mapperName": "Citrix Xenserver Auth Message",
                      "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                      "metadata_parseTime": 1646987453926,
                      "metadata_product": "Hypervisor",
                      "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                      "metadata_receiptTime": 1646987443,
                      "metadata_relayHostname": "centos-002",
                      "metadata_schemaVersion": 3,
                      "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                      "metadata_sensorInformation": {},
                      "metadata_sensorZone": "default",
                      "metadata_vendor": "Citrix",
                      "month": 3,
                      "normalizedAction": "logon",
                      "objectType": "Authentication",
                      "srcDevice_ip": "172.30.202.30",
                      "srcDevice_ip_ipv4IntValue": 2887698974,
                      "srcDevice_ip_isInternal": true,
                      "srcDevice_ip_version": 4,
                      "success": false,
                      "timestamp": 1646987443000,
                      "uid": "c2e6188b-202c-5736-9b4d-248ab6ba88dd",
                      "user_username": "1ewk0XJn",
                      "user_username_raw": "1ewk0XJn",
                      "year": 2022
                  }
              ],
              "artifacts": [],
              "contentType": "ANOMALY",
              "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
              "id": "b4adb0dc-1340-56ec-87aa-c6f1fc0fa247",
              "name": "Password Attack",
              "recordCount": 10,
              "recordTypes": [],
              "ruleId": "THRESHOLD-S00095",
              "severity": 4,
              "stage": "Initial Access",
              "tags": [
                  "_mitreAttackTactic:TA0001"
              ],
              "timestamp": "2022-03-11T08:31:28"
          }
      ],
      "source": "USER",
      "status": {
          "displayName": "Closed",
          "name": "closed"
      },
      "subResolution": null,
      "tags": [
          "aaa3"
      ],
      "teamAssignedTo": null,
      "timeToDetection": 1271.030204,
      "timeToRemediation": 1044967.701767,
      "timeToResponse": 21.186055,
      "timestamp": "2022-03-11T08:31:28"
  },
  "errors": []
}

Entitätsanreicherung

–

Statistiken

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn der Statuscode 200 gemeldet wird (is_success=true): „Die Statistik mit der ID ‚{id}‘ wurde in Sumo Logic Cloud SIEM aktualisiert.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Insight aktualisieren‘. Reason: {0}''.format(error.Stacktrace) Wenn Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Insight aktualisieren‘. Grund: {message}.' Wenn für den Parameter „Status“ die Option „Auswählen“ ausgewählt ist und kein Rechtsnachfolger angegeben wurde: „Fehler beim Ausführen der Aktion ‚Insight aktualisieren‘. Grund: Entweder muss der Status oder die zuständige Person angegeben werden.“	Allgemein

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn der Statuscode 200 gemeldet wird (is_success=true): „Die Statistik mit der ID ‚{id}‘ wurde in Sumo Logic Cloud SIEM aktualisiert.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Insight aktualisieren‘. Reason: {0}''.format(error.Stacktrace)

Wenn Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Insight aktualisieren‘. Grund: {message}.'

Wenn für den Parameter „Status“ die Option „Auswählen“ ausgewählt ist und kein Rechtsnachfolger angegeben wurde: „Fehler beim Ausführen der Aktion ‚Insight aktualisieren‘. Grund: Entweder muss der Status oder die zuständige Person angegeben werden.“

Allgemein

Kommentar zu Insight hinzufügen

Beschreibung

Fügen Sie einer Statistik in Sumo Logic Cloud SIEM einen Kommentar hinzu.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Insight-ID	String	–	Ja	Geben Sie die ID der Statistik an, zu der die Aktion einen Kommentar hinzufügen soll.
Kommentar	String	–	Ja	Geben Sie den Kommentar an, der der Statistik hinzugefügt werden soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success=False

JSON-Ergebnis

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

Entitätsanreicherung

–

Statistiken

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn der Statuscode 200 gemeldet wird (is_success=true): „Successfully added a comment to an insight with ID „{id}“ in Sumo Logic Cloud SIEM.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Kommentar zu Insight hinzufügen‘. Reason: {0}''.format(error.Stacktrace) Wenn Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Kommentar zu Statistik hinzufügen‘. Grund: {message}.	Allgemein

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn der Statuscode 200 gemeldet wird (is_success=true): „Successfully added a comment to an insight with ID „{id}“ in Sumo Logic Cloud SIEM.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Kommentar zu Insight hinzufügen‘. Reason: {0}''.format(error.Stacktrace)

Wenn Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Kommentar zu Statistik hinzufügen‘. Grund: {message}.

Allgemein

Tags zu Insight hinzufügen

Beschreibung

Fügen Sie einer Statistik in Sumo Logic Cloud SIEM Tags hinzu.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Insight-ID	String	–	Ja	Geben Sie die ID der Statistik an, der die Aktion Tags hinzufügen soll.
Tags	CSV	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Tags an, die der Statistik hinzugefügt werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success=False

JSON-Ergebnis

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

Entitätsanreicherung

–

Statistiken

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn der Statuscode 200 gemeldet wird (is_success=true): „Tags wurden erfolgreich zu einer Statistik mit der ID ‚{id}‘ in Sumo Logic Cloud SIEM hinzugefügt.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Tags zu Insight hinzufügen‘. Reason: {0}''.format(error.Stacktrace) Wenn Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Tags zu Insight hinzufügen‘. Grund: {message}.	Allgemein

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn der Statuscode 200 gemeldet wird (is_success=true): „Tags wurden erfolgreich zu einer Statistik mit der ID ‚{id}‘ in Sumo Logic Cloud SIEM hinzugefügt.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Tags zu Insight hinzufügen‘. Reason: {0}''.format(error.Stacktrace)

Wenn Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Tags zu Insight hinzufügen‘. Grund: {message}.

Allgemein

Entitäten anreichern

Beschreibung

Entitäten mit Informationen aus Sumo Logic Cloud SIEM anreichern. Unterstützte Entitäten: Hostname, Nutzer, IP-Adresse.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Insight erstellen	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik mit allen abgerufenen Informationen zur Entität erstellt.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

Hostname
Nutzer
IP-Adresse

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success=False

JSON-Ergebnis

{
    "activityScore": 8,
    "criticality": null,
    "entityType": "_ip",
    "firstSeen": null,
    "hostname": null,
    "id": "_ip-172.30.202.30",
    "inventory": [],
    "isSuppressed": false,
    "isWhitelisted": false,
    "lastSeen": "2022-03-11T09:44:53",
    "macAddress": null,
    "name": "172.30.202.30",
    "sensorZone": null,
    "tags": [],
    "value": "172.30.202.30"
}

Entitätsanreicherung – Präfix SumoLogicCloudSIEM_

Name des Anreicherungsfelds	Quelle (JSON-Schlüssel)	Logik – Wann anwenden?
isSuppressed	isSuppressed	Wenn in JSON verfügbar
isWhitelisted	isWhitelisted	Wenn in JSON verfügbar
Tags	CSV-Datei mit Tags	Wenn in JSON verfügbar
firstSeen	firstSeen	Wenn in JSON verfügbar
lastSeen	lastSeen	Wenn in JSON verfügbar
Wichtigkeit	Wichtigkeit	Wenn in JSON verfügbar
activityScore	activityScore	Wenn in JSON verfügbar

Statistiken

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn Daten für eine Entität verfügbar sind (is_success=true): „Die folgenden Entitäten wurden mit Informationen aus Harmony Mobile angereichert: {entity.identifier}“. Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Entitäten nicht mit Informationen aus Sumo Logic Cloud SIEM anreichern: {entity.identifier}“ Wenn für keine Entität Daten verfügbar sind (is_success=false): „Keine der angegebenen Entitäten wurde angereichert.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)	Allgemein
Tabelle mit Fall-Repository	Tabellentitel: {entity.identifier} Tabellenspalten: Schlüssel Wert	Entität

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn Daten für eine Entität verfügbar sind (is_success=true): „Die folgenden Entitäten wurden mit Informationen aus Harmony Mobile angereichert: {entity.identifier}“.

Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Entitäten nicht mit Informationen aus Sumo Logic Cloud SIEM anreichern: {entity.identifier}“

Wenn für keine Entität Daten verfügbar sind (is_success=false): „Keine der angegebenen Entitäten wurde angereichert.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)

Allgemein

Tabelle mit Fall-Repository

Tabellentitel: {entity.identifier}

Tabellenspalten:

Schlüssel
Wert

Entität

Connectors

Sumo Logic Cloud SIEM – Insights Connector

Beschreibung

Informationen zu Statistiken aus Sumo Logic Cloud SIEM abrufen.

Sumo Logic Cloud SIEM – Insights-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	–	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds	String	generalized_data_name	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	.*	Nein	Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden)	Ganzzahl	180	Ja	Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm	String	https://{instance}	Ja	API-Stamm der Sumo Logic Cloud SIEM-Instanz.
API-Schlüssel	String	–	Nein	API-Schlüssel des Sumo Logic Cloud SIEM-Kontos. Hinweis: Der API-Schlüssel hat Vorrang vor anderen Authentifizierungsmethoden.
Zugriffs-ID	String	–	Nein	Zugriffs-ID des Sumo Logic Cloud SIEM-Kontos. Hinweis: Für diese Art der Authentifizierung sind sowohl die Zugriffs-ID als auch der Zugriffsschlüssel erforderlich.
Zugriffsschlüssel	Secret	–	Nein	Zugriffsschlüssel des Sumo Logic Cloud SIEM-Kontos. Hinweis: Für diese Art der Authentifizierung sind sowohl die Zugriffs-ID als auch der Zugriffsschlüssel erforderlich.
Niedrigster abzurufender Schweregrad	String	–	Nein	Die niedrigste Priorität, die zum Abrufen von Fällen verwendet werden muss. Mögliche Werte: Niedrig, Mittel, Hoch, Kritisch. Wenn nichts angegeben ist, werden Statistiken aller Schweregrade aufgenommen.
Maximale Anzahl von Stunden rückwärts	Ganzzahl	1	Nein	Anzahl der Stunden, für die Statistiken abgerufen werden sollen.
Maximale Anzahl abzurufender Statistiken	Ganzzahl	20	Nein	Anzahl der Insights, die pro Connector-Iteration verarbeitet werden sollen.
Dynamische Liste als Sperrliste verwenden	Kästchen	Deaktiviert	Ja	Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.
SSL überprüfen	Kästchen	Deaktiviert	Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Sumo Logic Cloud SIEM-Server gültig ist.
Proxyserveradresse	String	–	Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String	–	Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort	–	Nein	Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten