Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Sumo Logic Cloud SIEM

Dokumen ini memberikan panduan tentang cara mengintegrasikan Sumo Logic Cloud SIEM dengan Google SecOps.

Mengonfigurasi integrasi Sumo Logic Cloud SIEM di Google Security Operations

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Root API	String	https://{instance}	Ya	Root API instance Cloud SIEM Sumo Logic.
Kunci API	String	T/A	Tidak	Kunci API akun Cloud SIEM Sumo Logic. Catatan: Kunci API memiliki prioritas lebih tinggi daripada metode autentikasi lainnya.
ID Akses	String	T/A	Tidak	ID Akses akun Cloud SIEM Sumo Logic. Catatan: ID Akses dan Kunci Akses diperlukan untuk jenis autentikasi ini.
Kunci Akses	String	T/A	Tidak	Kunci Akses akun Cloud SIEM Sumo Logic. Catatan: ID Akses dan Kunci Akses diperlukan untuk jenis autentikasi ini.
Verifikasi SSL	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, pastikan sertifikat SSL untuk koneksi ke server Sumo Logic Cloud SIEM valid.

Kasus Penggunaan

Menyerap pemberitahuan.

Tindakan

Ping

Deskripsi

Uji konektivitas ke Sumo Logic Cloud SIEM dengan parameter yang disediakan di halaman konfigurasi integrasi di halaman Google SecOps Content Hub.

Parameter

T/A

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	True/False	is_success=False

Hasil JSON

N/A

Pengayaan Entity

T/A

Insight

T/A

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil: "Successfully connected to the Sumo Logic Cloud SIEM server with the provided connection parameters!" Tindakan akan gagal dan menghentikan eksekusi playbook: Jika tidak berhasil: "Failed to connect to the Sumo Logic Cloud SIEM server! Error is {0}".format(exception.stacktrace)	Umum

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika berhasil: "Successfully connected to the Sumo Logic Cloud SIEM server with the provided connection parameters!"

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika tidak berhasil: "Failed to connect to the Sumo Logic Cloud SIEM server! Error is {0}".format(exception.stacktrace)

Umum

Sinyal Entitas Penelusuran

Deskripsi

Menelusuri sinyal yang terkait dengan entity di Sumo Logic Cloud SIEM. Entity yang didukung: Alamat IP, Nama Host, Nama Pengguna.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Tingkat Keparahan Terendah yang Akan Ditampilkan	Bilangan bulat	5	Tidak	Tentukan angka tingkat keparahan terendah yang digunakan untuk menampilkan sinyal. Maksimum: 10
Jangka Waktu	DDL	Sejam Terakhir Nilai yang Mungkin Muncul: Sejam Terakhir 6 Jam Terakhir 24 Jam Terakhir Seminggu Terakhir Sebulan Terakhir 5 Menit Sekitar Waktu Pemberitahuan 30 Menit di Sekitar Waktu Pemberitahuan 1 Jam di Sekitar Waktu Pemberitahuan Kustom	Tidak	Tentukan jangka waktu untuk hasil. Jika "Kustom" dipilih, Anda juga harus memberikan "Waktu Mulai". Jika "Alert Time Till Now" dipilih, tindakan akan menggunakan waktu mulai pemberitahuan sebagai waktu mulai penelusuran dan waktu akhir adalah waktu saat ini. Jika "30 Menit Sekitar Waktu Pemberitahuan" dipilih, tindakan akan menelusuri pemberitahuan 30 menit sebelum pemberitahuan terjadi hingga 30 menit setelah pemberitahuan terjadi. Ide yang sama berlaku untuk "1 Jam Sekitar Waktu Pemberitahuan" dan "5 Menit Sekitar Waktu Pemberitahuan"
Waktu Mulai	String	T/A	Tidak	Tentukan waktu mulai untuk hasil. Parameter ini wajib diisi jika "Kustom" dipilih untuk parameter "Rentang Waktu". Format: ISO 8601
Waktu Berakhir	String	T/A	Tidak	Tentukan waktu akhir untuk hasil. Jika tidak ada yang diberikan dan "Kustom" dipilih untuk parameter "Rentang Waktu", parameter ini akan menggunakan waktu saat ini. Format: ISO 8601
Jumlah Sinyal Maksimum yang Akan Ditampilkan	Bilangan bulat	50	Tidak	Tentukan jumlah sinyal yang akan ditampilkan per entity.

Dijalankan Pada

Tindakan ini berjalan di entity berikut:

Alamat IP
Hostname
Nama pengguna

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	True/False	is_success=False

Hasil JSON

[
    {
        "allRecords": [
            {
                "action": "failed password attempt",
                "bro_dns_answers": [],
                "bro_file_bytes": {},
                "bro_file_connUids": [],
                "bro_flow_service": [],
                "bro_ftp_pendingCommands": [],
                "bro_http_cookieVars": [],
                "bro_http_origFuids": [],
                "bro_http_origMimeTypes": [],
                "bro_http_request_headers": {},
                "bro_http_request_proxied": [],
                "bro_http_response_headers": {},
                "bro_http_response_respFuids": [],
                "bro_http_response_respMimeTypes": [],
                "bro_http_tags": [],
                "bro_http_uriVars": [],
                "bro_kerberos_clientCert": {},
                "bro_kerberos_serverCert": {},
                "bro_sip_headers": {},
                "bro_sip_requestPath": [],
                "bro_sip_responsePath": [],
                "bro_ssl_certChainFuids": [],
                "bro_ssl_clientCertChainFuids": [],
                "cseSignal": {},
                "day": 11,
                "device_ip": "172.30.202.30",
                "device_ip_ipv4IntValue": 2887698974,
                "device_ip_isInternal": true,
                "device_ip_version": 4,
                "fieldTags": {},
                "fields": {
                    "auth_method": "ssh2",
                    "endpoint_ip": "172.30.202.30",
                    "endpoint_username": "bL0ofHLH",
                    "event_message": "Failed password for invalid user",
                    "src_port": "39788"
                },
                "friendlyName": "record",
                "hour": 10,
                "http_requestHeaders": {},
                "listMatches": [],
                "matchedItems": [],
                "metadata_deviceEventId": "citrix_xenserver_auth_message",
                "metadata_mapperName": "Citrix Xenserver Auth Message",
                "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                "metadata_parseTime": 1646994593976,
                "metadata_product": "Hypervisor",
                "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                "metadata_receiptTime": 1646994592,
                "metadata_relayHostname": "centos-002",
                "metadata_schemaVersion": 3,
                "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                "metadata_sensorInformation": {},
                "metadata_sensorZone": "default",
                "metadata_vendor": "Citrix",
                "month": 3,
                "normalizedAction": "logon",
                "objectType": "Authentication",
                "srcDevice_ip": "172.30.202.30",
                "srcDevice_ip_ipv4IntValue": 2887698974,
                "srcDevice_ip_isInternal": true,
                "srcDevice_ip_version": 4,
                "success": false,
                "timestamp": 1646994592000,
                "uid": "7a89ebd4-3346-59fe-839a-9fc9bf99f51a",
                "user_username": "bL0ofHLH",
                "user_username_raw": "bL0ofHLH",
                "year": 2022
            }
        ],
        "artifacts": [],
        "contentType": "ANOMALY",
        "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
        "entity": {
            "entityType": "_ip",
            "hostname": null,
            "id": "_ip-172.30.202.30",
            "macAddress": null,
            "name": "172.30.202.30",
            "sensorZone": "",
            "value": "172.30.202.30"
        },
        "id": "a9288779-354c-5a61-b492-f617d302c5ed",
        "name": "Password Attack",
        "recordCount": 10,
        "recordTypes": [],
        "ruleId": "THRESHOLD-S00095",
        "severity": 4,
        "stage": "Initial Access",
        "suppressed": true,
        "tags": [
            "_mitreAttackTactic:TA0001",
            "_mitreAttackTactic:TA0006",
            "_mitreAttackTechnique:T1110",
            "_mitreAttackTechnique:T1078",
            "_mitreAttackTechnique:T1078.001",
            "_mitreAttackTechnique:T1078.002",
            "_mitreAttackTechnique:T1078.003",
            "_mitreAttackTechnique:T1078.004",
            "_mitreAttackTechnique:T1586",
            "_mitreAttackTechnique:T1586.001",
            "_mitreAttackTechnique:T1586.002",
            "_mitreAttackTactic:TA0008",
            "_mitreAttackTechnique:T1110.003",
            "_mitreAttackTechnique:T1110.002",
            "_mitreAttackTechnique:T1110.001"
        ],
        "timestamp": "2022-03-11T10:29:52"
    }
]

Pengayaan Entity

T/A

Insight

T/A

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika setidaknya satu sinyal ditemukan (is_success=true): "Successfully returned signals for the following entities in Sumo Logic Cloud SIEM: {entities}." Jika tidak ada yang ditemukan untuk satu entitas (is_success=true): "No signals were found for the following entities in Sumo Logic Cloud SIEM: {entities}." Jika tidak ada yang ditemukan untuk semua entitas (is_success=true): "No signals were found for the provided entities in Sumo Logic Cloud SIEM." Jika kode status 500 dilaporkan untuk satu entitas (is_success=true): "Action wasn't able to retrieve signals for the following entities in Sumo Logic Cloud SIEM: {entities}." Jika kode status 500 dilaporkan untuk semua entitas (is_success=false): "Action wasn't able to retrieve signals for the provided entities in Sumo Logic Cloud SIEM." Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Search Entity Signals". Reason: {0}''.format(error.Stacktrace)	Umum

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika setidaknya satu sinyal ditemukan (is_success=true): "Successfully returned signals for the following entities in Sumo Logic Cloud SIEM: {entities}."

Jika tidak ada yang ditemukan untuk satu entitas (is_success=true): "No signals were found for the following entities in Sumo Logic Cloud SIEM: {entities}."

Jika tidak ada yang ditemukan untuk semua entitas (is_success=true): "No signals were found for the provided entities in Sumo Logic Cloud SIEM."

Jika kode status 500 dilaporkan untuk satu entitas (is_success=true): "Action wasn't able to retrieve signals for the following entities in Sumo Logic Cloud SIEM: {entities}."

Jika kode status 500 dilaporkan untuk semua entitas (is_success=false): "Action wasn't able to retrieve signals for the provided entities in Sumo Logic Cloud SIEM."

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Search Entity Signals". Reason: {0}''.format(error.Stacktrace)

Umum

Update Insight

Deskripsi

Memperbarui status insight di Sumo Logic Cloud SIEM.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
ID Insight	String	T/A	Ya	Tentukan ID insight yang perlu diperbarui.
Status	DDL	Pilih Satu Nilai yang Mungkin Muncul: Pilih Satu Baru Dalam Proses Tutup	Ya	Tentukan status yang akan ditetapkan untuk insight.
Jenis Penerima Tugas	DDL	Pengguna Nilai yang Mungkin Muncul: Pengguna Tim	Ya	Tentukan jenis penerima tugas untuk parameter "Assignee".
Penerima tugas	String	T/A	Tidak	Tentukan ID penerima tugas.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	True/False	is_success=False

Hasil JSON

{
  "data": {
      "artifacts": [],
      "assignedTo": "tip.labops",
      "assignee": {
          "displayName": "tip.labops@siemplify.co",
          "username": "tip.labops"
      },
      "closed": "2022-03-23T11:04:33.731971",
      "closedBy": "tip.labops",
      "confidence": 0.1,
      "created": "2022-03-11T08:48:26.030204",
      "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
      "entity": {
          "entityType": "_ip",
          "hostname": null,
          "id": "_ip-172.30.202.30",
          "macAddress": null,
          "name": "172.30.202.30",
          "sensorZone": "",
          "value": "172.30.202.30"
      },
      "id": "dbc30c20-6d99-4f6f-8580-157ce70368a5",
      "lastUpdated": "2022-03-23T11:04:33.740470",
      "lastUpdatedBy": null,
      "name": "Initial Access",
      "orgId": "siemplify",
      "readableId": "INSIGHT-13927",
      "recordSummaryFields": [],
      "resolution": "False Positive",
      "severity": "CRITICAL",
      "signals": [
          {
              "allRecords": [
                  {
                      "action": "failed password attempt",
                      "bro_dns_answers": [],
                      "bro_file_bytes": {},
                      "bro_file_connUids": [],
                      "bro_flow_service": [],
                      "bro_ftp_pendingCommands": [],
                      "bro_http_cookieVars": [],
                      "bro_http_origFuids": [],
                      "bro_http_origMimeTypes": [],
                      "bro_http_request_headers": {},
                      "bro_http_request_proxied": [],
                      "bro_http_response_headers": {},
                      "bro_http_response_respFuids": [],
                      "bro_http_response_respMimeTypes": [],
                      "bro_http_tags": [],
                      "bro_http_uriVars": [],
                      "bro_kerberos_clientCert": {},
                      "bro_kerberos_serverCert": {},
                      "bro_sip_headers": {},
                      "bro_sip_requestPath": [],
                      "bro_sip_responsePath": [],
                      "bro_ssl_certChainFuids": [],
                      "bro_ssl_clientCertChainFuids": [],
                      "cseSignal": {},
                      "day": 11,
                      "device_ip": "172.30.202.30",
                      "device_ip_ipv4IntValue": 2887698974,
                      "device_ip_isInternal": true,
                      "device_ip_version": 4,
                      "fieldTags": {},
                      "fields": {
                          "auth_method": "ssh2",
                          "endpoint_ip": "172.30.202.30",
                          "endpoint_username": "1ewk0XJn",
                          "event_message": "Failed password for invalid user",
                          "src_port": "59088"
                      },
                      "friendlyName": "record",
                      "hour": 8,
                      "http_requestHeaders": {},
                      "listMatches": [],
                      "matchedItems": [],
                      "metadata_deviceEventId": "citrix_xenserver_auth_message",
                      "metadata_mapperName": "Citrix Xenserver Auth Message",
                      "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                      "metadata_parseTime": 1646987453926,
                      "metadata_product": "Hypervisor",
                      "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                      "metadata_receiptTime": 1646987443,
                      "metadata_relayHostname": "centos-002",
                      "metadata_schemaVersion": 3,
                      "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                      "metadata_sensorInformation": {},
                      "metadata_sensorZone": "default",
                      "metadata_vendor": "Citrix",
                      "month": 3,
                      "normalizedAction": "logon",
                      "objectType": "Authentication",
                      "srcDevice_ip": "172.30.202.30",
                      "srcDevice_ip_ipv4IntValue": 2887698974,
                      "srcDevice_ip_isInternal": true,
                      "srcDevice_ip_version": 4,
                      "success": false,
                      "timestamp": 1646987443000,
                      "uid": "c2e6188b-202c-5736-9b4d-248ab6ba88dd",
                      "user_username": "1ewk0XJn",
                      "user_username_raw": "1ewk0XJn",
                      "year": 2022
                  }
              ],
              "artifacts": [],
              "contentType": "ANOMALY",
              "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
              "id": "b4adb0dc-1340-56ec-87aa-c6f1fc0fa247",
              "name": "Password Attack",
              "recordCount": 10,
              "recordTypes": [],
              "ruleId": "THRESHOLD-S00095",
              "severity": 4,
              "stage": "Initial Access",
              "tags": [
                  "_mitreAttackTactic:TA0001"
              ],
              "timestamp": "2022-03-11T08:31:28"
          }
      ],
      "source": "USER",
      "status": {
          "displayName": "Closed",
          "name": "closed"
      },
      "subResolution": null,
      "tags": [
          "aaa3"
      ],
      "teamAssignedTo": null,
      "timeToDetection": 1271.030204,
      "timeToRemediation": 1044967.701767,
      "timeToResponse": 21.186055,
      "timestamp": "2022-03-11T08:31:28"
  },
  "errors": []
}

Pengayaan Entity

T/A

Insight

T/A

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika kode status 200 dilaporkan (is_success=true): "Successfully updated insight with ID "{id}" in Sumo Logic Cloud SIEM." Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Update Insight". Reason: {0}''.format(error.Stacktrace) Jika error dilaporkan: "Error executing action "Update Insight". Alasan: {message}.' Jika "Pilih Satu" dipilih untuk parameter "Status" dan tidak ada penerima tugas yang diberikan: "Error saat menjalankan tindakan "Perbarui Insight". Alasan: status atau penerima tugas harus diberikan."	Umum

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika kode status 200 dilaporkan (is_success=true): "Successfully updated insight with ID "{id}" in Sumo Logic Cloud SIEM."

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Update Insight". Reason: {0}''.format(error.Stacktrace)

Jika error dilaporkan: "Error executing action "Update Insight". Alasan: {message}.'

Jika "Pilih Satu" dipilih untuk parameter "Status" dan tidak ada penerima tugas yang diberikan: "Error saat menjalankan tindakan "Perbarui Insight". Alasan: status atau penerima tugas harus diberikan."

Umum

Tambahkan Komentar ke Insight

Deskripsi

Menambahkan komentar ke insight di Sumo Logic Cloud SIEM.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
ID Insight	String	T/A	Ya	Tentukan ID insight yang perlu ditambahkan komentar oleh tindakan.
Komentar	String	T/A	Ya	Tentukan komentar yang perlu ditambahkan ke insight.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	True/False	is_success=False

Hasil JSON

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

Pengayaan Entity

T/A

Insight

T/A

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika kode status 200 dilaporkan (is_success=true): "Successfully added a comment to an insight with ID "{id}" in Sumo Logic Cloud SIEM." Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Add Comment To Insight". Reason: {0}''.format(error.Stacktrace) Jika error dilaporkan: "Error executing action "Add Comment To Insight". Alasan: {message}.	Umum

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika kode status 200 dilaporkan (is_success=true): "Successfully added a comment to an insight with ID "{id}" in Sumo Logic Cloud SIEM."

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Add Comment To Insight". Reason: {0}''.format(error.Stacktrace)

Jika error dilaporkan: "Error executing action "Add Comment To Insight". Alasan: {message}.

Umum

Menambahkan Tag ke Insight

Deskripsi

Menambahkan tag ke insight di Sumo Logic Cloud SIEM.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
ID Insight	String	T/A	Ya	Tentukan ID insight yang perlu ditambahi tag oleh tindakan.
Tag	CSV	T/A	Ya	Tentukan daftar tag yang dipisahkan koma yang perlu ditambahkan ke insight.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	True/False	is_success=False

Hasil JSON

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

Pengayaan Entity

T/A

Insight

T/A

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika kode status 200 dilaporkan (is_success=true): "Successfully added tags to an insight with ID "{id}" in Sumo Logic Cloud SIEM." Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Add Tags To Insight". Reason: {0}''.format(error.Stacktrace) Jika error dilaporkan: "Error executing action "Add Tags To Insight". Alasan: {message}.	Umum

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika kode status 200 dilaporkan (is_success=true): "Successfully added tags to an insight with ID "{id}" in Sumo Logic Cloud SIEM."

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Add Tags To Insight". Reason: {0}''.format(error.Stacktrace)

Jika error dilaporkan: "Error executing action "Add Tags To Insight". Alasan: {message}.

Umum

Memperkaya Entity

Deskripsi

Memperkaya entity menggunakan informasi dari Sumo Logic Cloud SIEM. Entity yang didukung: Nama Host, Pengguna, Alamat IP.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Create Insight	Kotak centang	Dicentang	Tidak	Jika diaktifkan, tindakan ini akan membuat insight yang berisi semua informasi yang diambil tentang entitas.

Dijalankan Pada

Tindakan ini berjalan di entity berikut:

Hostname
Pengguna
Alamat IP

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	True/False	is_success=False

Hasil JSON

{
    "activityScore": 8,
    "criticality": null,
    "entityType": "_ip",
    "firstSeen": null,
    "hostname": null,
    "id": "_ip-172.30.202.30",
    "inventory": [],
    "isSuppressed": false,
    "isWhitelisted": false,
    "lastSeen": "2022-03-11T09:44:53",
    "macAddress": null,
    "name": "172.30.202.30",
    "sensorZone": null,
    "tags": [],
    "value": "172.30.202.30"
}

Pengayaan Entity - Awalan SumoLogicCloudSIEM_

Nama Kolom Pengayaan	Sumber (Kunci JSON)	Logika - Kapan harus diterapkan
isSuppressed	isSuppressed	Jika tersedia dalam JSON
isWhitelisted	isWhitelisted	Jika tersedia dalam JSON
tags	CSV tag	Jika tersedia dalam JSON
firstSeen	firstSeen	Jika tersedia dalam JSON
lastSeen	lastSeen	Jika tersedia dalam JSON
kekritisan	kekritisan	Jika tersedia dalam JSON
activityScore	activityScore	Jika tersedia dalam JSON

Insight

T/A

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika data tersedia untuk satu entitas (is_success=true): "Successfully enriched the following entities using information from Harmony Mobile: {entity.identifier}". Jika data tidak tersedia untuk satu entitas (is_success=true): "Action wasn't able to enrich the following entities using information from Sumo Logic Cloud SIEM: {entity.identifier}" Jika data tidak tersedia untuk semua entitas (is_success=false): "None of the provided entities were enriched" Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)	Umum
Tabel Repositori Kasus	Judul Tabel: {entity.identifier} Kolom Tabel: Kunci Nilai	Entity

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika data tersedia untuk satu entitas (is_success=true): "Successfully enriched the following entities using information from Harmony Mobile: {entity.identifier}".

Jika data tidak tersedia untuk satu entitas (is_success=true): "Action wasn't able to enrich the following entities using information from Sumo Logic Cloud SIEM: {entity.identifier}"

Jika data tidak tersedia untuk semua entitas (is_success=false): "None of the provided entities were enriched"

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)

Umum

Tabel Repositori Kasus

Judul Tabel: {entity.identifier}

Kolom Tabel:

Kunci
Nilai

Entity

Konektor

Sumo Logic Cloud SIEM - Insights Connector

Deskripsi

Mengambil informasi tentang insight dari Sumo Logic Cloud SIEM.

Mengonfigurasi Sumo Logic Cloud SIEM - Insights Connector di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi konektor di Google SecOps, lihat Mengonfigurasi konektor.

Parameter konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Nama Kolom Produk	String	T/A	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Produk.
Nama Kolom Peristiwa	String	generalized_data_name	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Peristiwa.
Nama Kolom Lingkungan	String	""	Tidak	Menjelaskan nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan tersebut adalah lingkungan default.
Pola Regex Lingkungan	String	.*	Tidak	Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom "Nama Kolom Lingkungan". Defaultnya adalah .* untuk menangkap semua dan menampilkan nilai yang tidak berubah. Digunakan untuk mengizinkan pengguna memanipulasi kolom lingkungan melalui logika ekspresi reguler. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik)	Bilangan bulat	180	Ya	Batas waktu tunggu untuk proses python yang menjalankan skrip saat ini.
Root API	String	https://{instance}	Ya	Root API instance Cloud SIEM Sumo Logic.
Kunci API	String	T/A	Tidak	Kunci API akun Cloud SIEM Sumo Logic. Catatan: Kunci API memiliki prioritas lebih tinggi daripada metode autentikasi lainnya.
ID Akses	String	T/A	Tidak	ID Akses akun Cloud SIEM Sumo Logic. Catatan: ID Akses dan Kunci Akses diperlukan untuk jenis autentikasi ini.
Kunci Akses	Rahasia	T/A	Tidak	Kunci Akses akun Cloud SIEM Sumo Logic. Catatan: ID Akses dan Kunci Akses diperlukan untuk jenis autentikasi ini.
Tingkat Keparahan Terendah yang Akan Diambil	String	T/A	Tidak	Prioritas terendah yang perlu digunakan untuk mengambil kasus. Nilai yang mungkin: Rendah, Sedang, Tinggi, Kritis. Jika tidak ada yang ditentukan, konektor akan menyerap insight dengan semua tingkat keparahan.
Jam Maksimum Mundur	Bilangan bulat	1	Tidak	Jumlah jam untuk mengambil insight.
Insight Maksimal yang Akan Diambil	Bilangan bulat	20	Tidak	Jumlah insight yang akan diproses per satu iterasi konektor.
Menggunakan daftar dinamis sebagai daftar hitam	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, daftar dinamis akan digunakan sebagai daftar hitam.
Verifikasi SSL	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, pastikan sertifikat SSL untuk koneksi ke server Sumo Logic Cloud SIEM valid.
Alamat Server Proxy	String	T/A	Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String	T/A	Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi	T/A	Tidak	Sandi proxy untuk autentikasi.

Aturan konektor

Dukungan proxy

Konektor mendukung proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.