‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

Sumo Logic Cloud SIEM

במאמר הזה מוסבר איך לשלב את Sumo Logic Cloud SIEM עם Google SecOps.

הגדרת שילוב של Sumo Logic Cloud SIEM ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
ספריית הבסיס של ה-API	String	https://{instance}	כן	ה-API root של מופע Sumo Logic Cloud SIEM.
מפתח API	String	לא רלוונטי	לא	מפתח ה-API של חשבון Sumo Logic Cloud SIEM. הערה: למפתח API יש עדיפות על פני שיטות אימות אחרות.
מזהה גישה	String	לא רלוונטי	לא	מזהה הגישה של חשבון Sumo Logic Cloud SIEM. הערה: כדי לבצע אימות מהסוג הזה, צריך לציין גם מזהה גישה וגם מפתח גישה.
מפתח גישה	String	לא רלוונטי	לא	מפתח הגישה של חשבון Sumo Logic Cloud SIEM. הערה: כדי לבצע אימות מהסוג הזה, צריך לציין גם מזהה גישה וגם מפתח גישה.
אימות SSL	תיבת סימון	לא מסומן	כן	אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Sumo Logic Cloud SIEM תקף.

תרחישים לדוגמה

התראות על הטמעת נתונים.

פעולות

פינג

תיאור

בודקים את הקישוריות ל-Sumo Logic Cloud SIEM באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

N/A

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה: אם הפעולה הצליחה: "החיבור לשרת Sumo Logic Cloud SIEM בוצע בהצלחה עם פרמטרי החיבור שסופקו". הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה: אם הפעולה לא מצליחה: "החיבור לשרת Sumo Logic Cloud SIEM נכשל! השגיאה היא {0}".format(exception.stacktrace)	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם הפעולה הצליחה: "החיבור לשרת Sumo Logic Cloud SIEM בוצע בהצלחה עם פרמטרי החיבור שסופקו".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם הפעולה לא מצליחה: "החיבור לשרת Sumo Logic Cloud SIEM נכשל! השגיאה היא {0}".format(exception.stacktrace)

כללי

אותות של ישויות בחיפוש

תיאור

אותות חיפוש שקשורים לישויות ב-Sumo Logic Cloud SIEM. ישויות נתמכות: כתובת IP, שם מארח, שם משתמש.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
רמת החומרה הנמוכה ביותר להחזרה	מספר שלם	5	לא	מציינים את מספר החומרה הנמוך ביותר שמשמש להחזרת אותות. מקסימום: 10
מסגרת זמן	DDL	מהשעה האחרונה ערכים אפשריים: מהשעה האחרונה 6 השעות האחרונות 24 השעות האחרונות בשבוע שעבר בחודש שעבר ‫5 דקות לפני ואחרי שעת ההתראה ‫30 דקות לפני או אחרי שעת ההתראה שעה אחת לפני ואחרי שעת ההתראה בהתאמה אישית	לא	מציינים מסגרת זמן לתוצאות. אם בוחרים באפשרות 'בהתאמה אישית', צריך גם לציין את 'שעת ההתחלה'. אם בוחרים באפשרות 'התראה: זמן עד עכשיו', הפעולה משתמשת בשעת ההתחלה של ההתראה כשעת ההתחלה של החיפוש, ושעת הסיום היא השעה הנוכחית. אם בוחרים באפשרות '30 דקות לפני ואחרי זמן ההתראה', הפעולה מחפשת את ההתראות 30 דקות לפני שההתראה התרחשה ועד 30 דקות אחרי שההתראה התרחשה. אותו עיקרון חל על האפשרויות 'שעה לפני ואחרי זמן ההתראה' ו'5 דקות לפני ואחרי זמן ההתראה'.
שעת ההתחלה	String	לא רלוונטי	לא	מציינים את שעת ההתחלה של התוצאות. הפרמטר הזה הוא חובה אם בוחרים באפשרות 'מותאם אישית' בפרמטר 'מסגרת זמן'. פורמט: ISO 8601
שעת הסיום	String	לא רלוונטי	לא	מציינים את שעת הסיום של התוצאות. אם לא מספקים ערך ובפרמטר Time Frame (מסגרת זמן) בוחרים באפשרות Custom (מותאם אישית), המערכת משתמשת בזמן הנוכחי. פורמט: ISO 8601
מספר האותות המקסימלי שיוחזרו	מספר שלם	50	לא	מציינים את מספר האותות שיוחזרו לכל ישות.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

כתובת IP
שם המארח
שם משתמש

תוצאות הפעולה

תוצאת הסקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

[
    {
        "allRecords": [
            {
                "action": "failed password attempt",
                "bro_dns_answers": [],
                "bro_file_bytes": {},
                "bro_file_connUids": [],
                "bro_flow_service": [],
                "bro_ftp_pendingCommands": [],
                "bro_http_cookieVars": [],
                "bro_http_origFuids": [],
                "bro_http_origMimeTypes": [],
                "bro_http_request_headers": {},
                "bro_http_request_proxied": [],
                "bro_http_response_headers": {},
                "bro_http_response_respFuids": [],
                "bro_http_response_respMimeTypes": [],
                "bro_http_tags": [],
                "bro_http_uriVars": [],
                "bro_kerberos_clientCert": {},
                "bro_kerberos_serverCert": {},
                "bro_sip_headers": {},
                "bro_sip_requestPath": [],
                "bro_sip_responsePath": [],
                "bro_ssl_certChainFuids": [],
                "bro_ssl_clientCertChainFuids": [],
                "cseSignal": {},
                "day": 11,
                "device_ip": "172.30.202.30",
                "device_ip_ipv4IntValue": 2887698974,
                "device_ip_isInternal": true,
                "device_ip_version": 4,
                "fieldTags": {},
                "fields": {
                    "auth_method": "ssh2",
                    "endpoint_ip": "172.30.202.30",
                    "endpoint_username": "bL0ofHLH",
                    "event_message": "Failed password for invalid user",
                    "src_port": "39788"
                },
                "friendlyName": "record",
                "hour": 10,
                "http_requestHeaders": {},
                "listMatches": [],
                "matchedItems": [],
                "metadata_deviceEventId": "citrix_xenserver_auth_message",
                "metadata_mapperName": "Citrix Xenserver Auth Message",
                "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                "metadata_parseTime": 1646994593976,
                "metadata_product": "Hypervisor",
                "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                "metadata_receiptTime": 1646994592,
                "metadata_relayHostname": "centos-002",
                "metadata_schemaVersion": 3,
                "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                "metadata_sensorInformation": {},
                "metadata_sensorZone": "default",
                "metadata_vendor": "Citrix",
                "month": 3,
                "normalizedAction": "logon",
                "objectType": "Authentication",
                "srcDevice_ip": "172.30.202.30",
                "srcDevice_ip_ipv4IntValue": 2887698974,
                "srcDevice_ip_isInternal": true,
                "srcDevice_ip_version": 4,
                "success": false,
                "timestamp": 1646994592000,
                "uid": "7a89ebd4-3346-59fe-839a-9fc9bf99f51a",
                "user_username": "bL0ofHLH",
                "user_username_raw": "bL0ofHLH",
                "year": 2022
            }
        ],
        "artifacts": [],
        "contentType": "ANOMALY",
        "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
        "entity": {
            "entityType": "_ip",
            "hostname": null,
            "id": "_ip-172.30.202.30",
            "macAddress": null,
            "name": "172.30.202.30",
            "sensorZone": "",
            "value": "172.30.202.30"
        },
        "id": "a9288779-354c-5a61-b492-f617d302c5ed",
        "name": "Password Attack",
        "recordCount": 10,
        "recordTypes": [],
        "ruleId": "THRESHOLD-S00095",
        "severity": 4,
        "stage": "Initial Access",
        "suppressed": true,
        "tags": [
            "_mitreAttackTactic:TA0001",
            "_mitreAttackTactic:TA0006",
            "_mitreAttackTechnique:T1110",
            "_mitreAttackTechnique:T1078",
            "_mitreAttackTechnique:T1078.001",
            "_mitreAttackTechnique:T1078.002",
            "_mitreAttackTechnique:T1078.003",
            "_mitreAttackTechnique:T1078.004",
            "_mitreAttackTechnique:T1586",
            "_mitreAttackTechnique:T1586.001",
            "_mitreAttackTechnique:T1586.002",
            "_mitreAttackTactic:TA0008",
            "_mitreAttackTechnique:T1110.003",
            "_mitreAttackTechnique:T1110.002",
            "_mitreAttackTechnique:T1110.001"
        ],
        "timestamp": "2022-03-11T10:29:52"
    }
]

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה: אם נמצאה לפחות אות אחת (is_success=true): "Successfully returned signals for the following entities in Sumo Logic Cloud SIEM: {entities}." אם לא נמצאו נתונים לגבי ישות מסוימת (is_success=true): "No signals were found for the following entities in Sumo Logic Cloud SIEM: {entities}." אם לא נמצאו נתונים לגבי כל הישויות (is_success=true): "No signals were found for the provided entities in Sumo Logic Cloud SIEM." אם קוד הסטטוס 500 מדווח על ישות אחת (is_success=true): "לא הייתה אפשרות לאחזר אותות עבור הישויות הבאות ב-Sumo Logic Cloud SIEM:‏ {entities}". אם קוד הסטטוס 500 מדווח עבור כל הישויות (is_success=false): "לא הייתה אפשרות לאחזר אותות עבור הישויות שסופקו ב-Sumo Logic Cloud SIEM". הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה: אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'חיפוש אותות של ישות'". הסיבה: {0}''.format(error.Stacktrace)	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם נמצאה לפחות אות אחת (is_success=true): "Successfully returned signals for the following entities in Sumo Logic Cloud SIEM: {entities}."

אם לא נמצאו נתונים לגבי ישות מסוימת (is_success=true): "No signals were found for the following entities in Sumo Logic Cloud SIEM: {entities}."

אם לא נמצאו נתונים לגבי כל הישויות (is_success=true): "No signals were found for the provided entities in Sumo Logic Cloud SIEM."

אם קוד הסטטוס 500 מדווח על ישות אחת (is_success=true): "לא הייתה אפשרות לאחזר אותות עבור הישויות הבאות ב-Sumo Logic Cloud SIEM:‏ {entities}".

אם קוד הסטטוס 500 מדווח עבור כל הישויות (is_success=false): "לא הייתה אפשרות לאחזר אותות עבור הישויות שסופקו ב-Sumo Logic Cloud SIEM".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'חיפוש אותות של ישות'". הסיבה: {0}''.format(error.Stacktrace)

כללי

עדכון התובנה

תיאור

עדכון סטטוס התובנה ב-Sumo Logic Cloud SIEM.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
מזהה התובנה	String	לא רלוונטי	כן	מציינים את המזהה של התובנה שרוצים לעדכן.
סטטוס	DDL	יש לבחור טווח ערכים אפשריים: יש לבחור טווח חדש בתהליך סגור	כן	מציינים את הסטטוס שיוגדר לתובנה.
סוג מקבל ההקצאה	DDL	משתמש ערכים אפשריים: משתמש ChromeOS	כן	מציינים את סוג הנמען של הפרמטר Assignee (מקבל ההקצאה).
מקבל ההתראה	String	לא רלוונטי	לא	מציינים את מזהה המקבל.

ריצה

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
  "data": {
      "artifacts": [],
      "assignedTo": "tip.labops",
      "assignee": {
          "displayName": "tip.labops@siemplify.co",
          "username": "tip.labops"
      },
      "closed": "2022-03-23T11:04:33.731971",
      "closedBy": "tip.labops",
      "confidence": 0.1,
      "created": "2022-03-11T08:48:26.030204",
      "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
      "entity": {
          "entityType": "_ip",
          "hostname": null,
          "id": "_ip-172.30.202.30",
          "macAddress": null,
          "name": "172.30.202.30",
          "sensorZone": "",
          "value": "172.30.202.30"
      },
      "id": "dbc30c20-6d99-4f6f-8580-157ce70368a5",
      "lastUpdated": "2022-03-23T11:04:33.740470",
      "lastUpdatedBy": null,
      "name": "Initial Access",
      "orgId": "siemplify",
      "readableId": "INSIGHT-13927",
      "recordSummaryFields": [],
      "resolution": "False Positive",
      "severity": "CRITICAL",
      "signals": [
          {
              "allRecords": [
                  {
                      "action": "failed password attempt",
                      "bro_dns_answers": [],
                      "bro_file_bytes": {},
                      "bro_file_connUids": [],
                      "bro_flow_service": [],
                      "bro_ftp_pendingCommands": [],
                      "bro_http_cookieVars": [],
                      "bro_http_origFuids": [],
                      "bro_http_origMimeTypes": [],
                      "bro_http_request_headers": {},
                      "bro_http_request_proxied": [],
                      "bro_http_response_headers": {},
                      "bro_http_response_respFuids": [],
                      "bro_http_response_respMimeTypes": [],
                      "bro_http_tags": [],
                      "bro_http_uriVars": [],
                      "bro_kerberos_clientCert": {},
                      "bro_kerberos_serverCert": {},
                      "bro_sip_headers": {},
                      "bro_sip_requestPath": [],
                      "bro_sip_responsePath": [],
                      "bro_ssl_certChainFuids": [],
                      "bro_ssl_clientCertChainFuids": [],
                      "cseSignal": {},
                      "day": 11,
                      "device_ip": "172.30.202.30",
                      "device_ip_ipv4IntValue": 2887698974,
                      "device_ip_isInternal": true,
                      "device_ip_version": 4,
                      "fieldTags": {},
                      "fields": {
                          "auth_method": "ssh2",
                          "endpoint_ip": "172.30.202.30",
                          "endpoint_username": "1ewk0XJn",
                          "event_message": "Failed password for invalid user",
                          "src_port": "59088"
                      },
                      "friendlyName": "record",
                      "hour": 8,
                      "http_requestHeaders": {},
                      "listMatches": [],
                      "matchedItems": [],
                      "metadata_deviceEventId": "citrix_xenserver_auth_message",
                      "metadata_mapperName": "Citrix Xenserver Auth Message",
                      "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                      "metadata_parseTime": 1646987453926,
                      "metadata_product": "Hypervisor",
                      "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                      "metadata_receiptTime": 1646987443,
                      "metadata_relayHostname": "centos-002",
                      "metadata_schemaVersion": 3,
                      "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                      "metadata_sensorInformation": {},
                      "metadata_sensorZone": "default",
                      "metadata_vendor": "Citrix",
                      "month": 3,
                      "normalizedAction": "logon",
                      "objectType": "Authentication",
                      "srcDevice_ip": "172.30.202.30",
                      "srcDevice_ip_ipv4IntValue": 2887698974,
                      "srcDevice_ip_isInternal": true,
                      "srcDevice_ip_version": 4,
                      "success": false,
                      "timestamp": 1646987443000,
                      "uid": "c2e6188b-202c-5736-9b4d-248ab6ba88dd",
                      "user_username": "1ewk0XJn",
                      "user_username_raw": "1ewk0XJn",
                      "year": 2022
                  }
              ],
              "artifacts": [],
              "contentType": "ANOMALY",
              "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
              "id": "b4adb0dc-1340-56ec-87aa-c6f1fc0fa247",
              "name": "Password Attack",
              "recordCount": 10,
              "recordTypes": [],
              "ruleId": "THRESHOLD-S00095",
              "severity": 4,
              "stage": "Initial Access",
              "tags": [
                  "_mitreAttackTactic:TA0001"
              ],
              "timestamp": "2022-03-11T08:31:28"
          }
      ],
      "source": "USER",
      "status": {
          "displayName": "Closed",
          "name": "closed"
      },
      "subResolution": null,
      "tags": [
          "aaa3"
      ],
      "teamAssignedTo": null,
      "timeToDetection": 1271.030204,
      "timeToRemediation": 1044967.701767,
      "timeToResponse": 21.186055,
      "timestamp": "2022-03-11T08:31:28"
  },
  "errors": []
}

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה: אם קוד הסטטוס 200 מדווח (is_success=true): "Successfully updated insight with ID "{id}" in Sumo Logic Cloud SIEM." הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה: אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'עדכון תובנה'". הסיבה: {0}''.format(error.Stacktrace) אם מדווח על שגיאות: "Error executing action "Update Insight". הסיבה: {message}.' אם האפשרות 'בחירת אחת' נבחרה לפרמטר 'סטטוס' ולא צוין מקבל הקצאה: 'שגיאה בהפעלת הפעולה 'עדכון תובנה''. סיבה: צריך לציין סטטוס או מקבל הקצאה".	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם קוד הסטטוס 200 מדווח (is_success=true): "Successfully updated insight with ID "{id}" in Sumo Logic Cloud SIEM."

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'עדכון תובנה'". הסיבה: {0}''.format(error.Stacktrace)

אם מדווח על שגיאות: "Error executing action "Update Insight". הסיבה: {message}.'

אם האפשרות 'בחירת אחת' נבחרה לפרמטר 'סטטוס' ולא צוין מקבל הקצאה: 'שגיאה בהפעלת הפעולה 'עדכון תובנה''. סיבה: צריך לציין סטטוס או מקבל הקצאה".

כללי

הוספת תגובה לתובנה

תיאור

להוסיף תגובה לתובנה ב-Sumo Logic Cloud SIEM.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
מזהה התובנה	String	לא רלוונטי	כן	מציינים את המזהה של התובנה שאליה הפעולה צריכה להוסיף תגובה.
תגובה	String	לא רלוונטי	כן	מציינים את התגובה שרוצים להוסיף לתובנה.

ריצה

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה: אם מדווח קוד סטטוס 200 (is_success=true): 'הערה עם המזהה {id} נוספה בהצלחה לתובנה ב-Sumo Logic Cloud SIEM'. הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה: אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת תגובה לתובנה'. הסיבה: {0}''.format(error.Stacktrace) אם מדווח על שגיאות: "שגיאה בהפעלת הפעולה 'הוספת הערה לתובנה'. הסיבה: {message}.	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם מדווח קוד סטטוס 200 (is_success=true): 'הערה עם המזהה {id} נוספה בהצלחה לתובנה ב-Sumo Logic Cloud SIEM'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת תגובה לתובנה'. הסיבה: {0}''.format(error.Stacktrace)

אם מדווח על שגיאות: "שגיאה בהפעלת הפעולה 'הוספת הערה לתובנה'. הסיבה: {message}.

כללי

הוספת תגים לתובנה

תיאור

הוספת תגים לתובנה ב-Sumo Logic Cloud SIEM.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
מזהה התובנה	String	לא רלוונטי	כן	מציינים את המזהה של התובנה שאליה רוצים להוסיף תגים.
תגים	CSV	לא רלוונטי	כן	מציינים רשימה מופרדת בפסיקים של תגים שצריך להוסיף לתובנה.

ריצה

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה: אם מדווח קוד סטטוס 200 (is_success=true): 'Successfully added tags to an insight with ID "{id}" in Sumo Logic Cloud SIEM.' הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה: אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת תגים לתובנה'". הסיבה: {0}''.format(error.Stacktrace) אם מדווח על שגיאות: "שגיאה בהפעלת הפעולה 'הוספת תגים לתובנה'". הסיבה: {message}.	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם מדווח קוד סטטוס 200 (is_success=true): 'Successfully added tags to an insight with ID "{id}" in Sumo Logic Cloud SIEM.'

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת תגים לתובנה'". הסיבה: {0}''.format(error.Stacktrace)

אם מדווח על שגיאות: "שגיאה בהפעלת הפעולה 'הוספת תגים לתובנה'". הסיבה: {message}.

כללי

העשרת ישויות

תיאור

העשרת ישויות באמצעות מידע מ-Sumo Logic Cloud SIEM. ישויות נתמכות: שם מארח, משתמש, כתובת IP.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
יצירת תובנה	תיבת סימון	סימן אישור	לא	אם האפשרות הזו מופעלת, הפעולה יוצרת תובנה שמכילה את כל המידע שאוחזר על הישות.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

שם המארח
משתמש
כתובת IP

תוצאות הפעולה

תוצאת הסקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
    "activityScore": 8,
    "criticality": null,
    "entityType": "_ip",
    "firstSeen": null,
    "hostname": null,
    "id": "_ip-172.30.202.30",
    "inventory": [],
    "isSuppressed": false,
    "isWhitelisted": false,
    "lastSeen": "2022-03-11T09:44:53",
    "macAddress": null,
    "name": "172.30.202.30",
    "sensorZone": null,
    "tags": [],
    "value": "172.30.202.30"
}

העשרה של ישויות – הקידומת SumoLogicCloudSIEM_

שם שדה ההעשרה	מקור (מפתח JSON)	לוגיקה – מתי להחיל
isSuppressed	isSuppressed	כשהוא זמין ב-JSON
isWhitelisted	isWhitelisted	כשהוא זמין ב-JSON
תגים	קובץ CSV של תגים	כשהוא זמין ב-JSON
firstSeen	firstSeen	כשהוא זמין ב-JSON
lastSeen	lastSeen	כשהוא זמין ב-JSON
קריטיות	קריטיות	כשהוא זמין ב-JSON
activityScore	activityScore	כשהוא זמין ב-JSON

תובנות

לא רלוונטי

Case Wall

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה: אם הנתונים זמינים לישות אחת (is_success=true): "העשרנו בהצלחה את הישויות הבאות באמצעות מידע מ-Harmony Mobile: {entity.identifier}". אם הנתונים לא זמינים עבור ישות אחת (is_success=true): 'לא הייתה אפשרות להעשיר את הישויות הבאות באמצעות מידע מ-Sumo Logic Cloud SIEM: {entity.identifier}' אם הנתונים לא זמינים לכל הישויות (is_success=false): "אף אחת מהישויות שסופקו לא עברה העשרה". הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה: אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת פרטים לישויות'. הסיבה: {0}''.format(error.Stacktrace)	כללי
Case Wall Table	כותרת הטבלה: {entity.identifier} עמודות הטבלה: מפתח ערך	ישות

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם הנתונים זמינים לישות אחת (is_success=true): "העשרנו בהצלחה את הישויות הבאות באמצעות מידע מ-Harmony Mobile: {entity.identifier}".

אם הנתונים לא זמינים עבור ישות אחת (is_success=true): 'לא הייתה אפשרות להעשיר את הישויות הבאות באמצעות מידע מ-Sumo Logic Cloud SIEM: {entity.identifier}'

אם הנתונים לא זמינים לכל הישויות (is_success=false): "אף אחת מהישויות שסופקו לא עברה העשרה".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת פרטים לישויות'. הסיבה: {0}''.format(error.Stacktrace)

כללי

Case Wall Table

כותרת הטבלה: {entity.identifier}

עמודות הטבלה:

מפתח
ערך

ישות

מחברים

Sumo Logic Cloud SIEM - Insights Connector

תיאור

שליפת מידע על תובנות מ-Sumo Logic Cloud SIEM.

הגדרה של מחבר התובנות של Sumo Logic Cloud SIEM ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שם שדה המוצר	String	לא רלוונטי	כן	מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע	String	generalized_data_name	כן	מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה	String	""	לא	מתאר את שם השדה שבו מאוחסן שם הסביבה. אם השדה environment לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה	String	.*	לא	תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'. ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי. הגדרה שמאפשרת למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לתפוגת סקריפט (בשניות)	מספר שלם	180	כן	מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
ספריית הבסיס של ה-API	String	https://{instance}	כן	ה-API root של מופע Sumo Logic Cloud SIEM.
מפתח API	String	לא רלוונטי	לא	מפתח ה-API של חשבון Sumo Logic Cloud SIEM. הערה: למפתח API יש עדיפות על פני שיטות אימות אחרות.
מזהה גישה	String	לא רלוונטי	לא	מזהה הגישה של חשבון Sumo Logic Cloud SIEM. הערה: כדי לבצע אימות מהסוג הזה, צריך לציין גם מזהה גישה וגם מפתח גישה.
מפתח גישה	סוד	לא רלוונטי	לא	מפתח הגישה של חשבון Sumo Logic Cloud SIEM. הערה: כדי לבצע אימות מהסוג הזה, צריך לציין גם מזהה גישה וגם מפתח גישה.
רמת החומרה הנמוכה ביותר לאחזור	String	לא רלוונטי	לא	העדיפות הכי נמוכה שצריך להשתמש בה כדי לאחזר פניות. הערכים האפשריים: נמוך, בינוני, גבוה, קריטי. אם לא מציינים כלום, המחבר יטמיע תובנות עם כל רמות החומרה.
מספר השעות המקסימלי אחורה	מספר שלם	1	לא	מספר השעות שממנו יאוחזרו התובנות.
מספר התובנות המקסימלי לאחזור	מספר שלם	20	לא	מספר התובנות לעיבוד בכל איטרציה של מחבר.
שימוש ברשימה דינמית כרשימה שחורה	תיבת סימון	לא מסומן	כן	אם האפשרות הזו מופעלת, הרשימה הדינמית משמשת כרשימת חסימות.
אימות SSL	תיבת סימון	לא מסומן	כן	אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Sumo Logic Cloud SIEM תקף.
כתובת שרת ה-Proxy	String	לא רלוונטי	לא	הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש של שרת ה-Proxy	String	לא רלוונטי	לא	שם המשתמש של ה-proxy לאימות.
סיסמת שרת Proxy	סיסמה	לא רלוונטי	לא	סיסמת ה-proxy לאימות.

כללים של Connectors

תמיכה ב-Proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.