O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Sumo Logic Cloud SIEM

Este documento fornece orientações sobre como integrar o Sumo Logic Cloud SIEM ao Google SecOps.

Configurar a integração do Sumo Logic Cloud SIEM no Google Security Operations

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Raiz da API	String	https://{instance}	Sim	Raiz da API da instância do Cloud SIEM do Sumo Logic.
Chave de API	String	N/A	Não	Chave de API da conta do Cloud SIEM do Sumo Logic. Observação:a chave de API tem prioridade sobre outros métodos de autenticação.
ID de acesso	String	N/A	Não	ID de acesso da conta do Cloud SIEM do Sumo Logic. Observação:o ID e a chave de acesso são necessários para esse tipo de autenticação.
Chave de acesso	String	N/A	Não	Chave de acesso da conta do Cloud SIEM do Sumo Logic. Observação:o ID e a chave de acesso são necessários para esse tipo de autenticação.
Verificar SSL	Caixa de seleção	Desmarcado	Sim	Se estiver ativado, verifique se o certificado SSL para a conexão com o servidor do Cloud SIEM da Sumo Logic é válido.

Casos de uso

Ingerir alertas.

Ações

Ping

Descrição

Teste a conectividade com o Sumo Logic Cloud SIEM usando os parâmetros fornecidos na página de configuração de integração na página do Google SecOps Content Hub.

Parâmetros

N/A

Corrida

Essa ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success=False

Resultado do JSON

N/A

Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos

Tipo de resultado	Valor/Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se for bem-sucedido: "Conexão com o servidor do Cloud SIEM da Sumo Logic estabelecida com os parâmetros de conexão fornecidos!" A ação deve falhar e interromper a execução de um playbook: Se não for bem-sucedido: "Falha ao se conectar ao servidor do SIEM do Sumo Logic Cloud! O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor/Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido: "Conexão com o servidor do Cloud SIEM da Sumo Logic estabelecida com os parâmetros de conexão fornecidos!"

A ação deve falhar e interromper a execução de um playbook:

Se não for bem-sucedido: "Falha ao se conectar ao servidor do SIEM do Sumo Logic Cloud! O erro é {0}".format(exception.stacktrace)

Geral

Indicadores de entidade de pesquisa

Descrição

Pesquise indicadores relacionados a entidades no Cloud SIEM do Sumo Logic. Entidades compatíveis: endereço IP, nome do host, nome de usuário.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Gravidade mais baixa a ser retornada	Inteiro	5	Não	Especifique o menor número de gravidade usado para retornar indicadores. Máximo: 10
Período	DDL	Última hora Valores possíveis: Última hora Últimas 6 horas Últimas 24 horas Última semana Mês anterior 5 minutos antes e depois do horário do alerta 30 minutos antes e depois do horário do alerta 1 hora em torno do horário do alerta Personalizado	Não	Especifique um período para os resultados. Se "Personalizado" estiver selecionado, você também precisará informar o "Horário de início". Se a opção "Tempo do alerta até agora" estiver selecionada, a ação vai usar o horário de início do alerta como horário de início da pesquisa, e o horário de término será o horário atual. Se a opção "30 minutos em torno do horário do alerta" estiver selecionada, a ação vai pesquisar os alertas 30 minutos antes e 30 minutos depois do evento. A mesma ideia se aplica a "1 hora em torno do horário do alerta" e "5 minutos em torno do horário do alerta".
Horário de início	String	N/A	Não	Especifique o horário de início dos resultados. Esse parâmetro é obrigatório se "Personalizado" estiver selecionado para o parâmetro "Período". Formato: ISO 8601
Horário de término	String	N/A	Não	Especifique o horário de término dos resultados. Se nada for fornecido e "Personalizado" for selecionado para o parâmetro "Período", esse parâmetro vai usar o horário atual. Formato: ISO 8601
Número máximo de indicadores a serem retornados	Inteiro	50	Não	Especifique o número de indicadores a serem retornados por entidade.

Corrida

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host
Nome de usuário

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success=False

Resultado do JSON

[
    {
        "allRecords": [
            {
                "action": "failed password attempt",
                "bro_dns_answers": [],
                "bro_file_bytes": {},
                "bro_file_connUids": [],
                "bro_flow_service": [],
                "bro_ftp_pendingCommands": [],
                "bro_http_cookieVars": [],
                "bro_http_origFuids": [],
                "bro_http_origMimeTypes": [],
                "bro_http_request_headers": {},
                "bro_http_request_proxied": [],
                "bro_http_response_headers": {},
                "bro_http_response_respFuids": [],
                "bro_http_response_respMimeTypes": [],
                "bro_http_tags": [],
                "bro_http_uriVars": [],
                "bro_kerberos_clientCert": {},
                "bro_kerberos_serverCert": {},
                "bro_sip_headers": {},
                "bro_sip_requestPath": [],
                "bro_sip_responsePath": [],
                "bro_ssl_certChainFuids": [],
                "bro_ssl_clientCertChainFuids": [],
                "cseSignal": {},
                "day": 11,
                "device_ip": "172.30.202.30",
                "device_ip_ipv4IntValue": 2887698974,
                "device_ip_isInternal": true,
                "device_ip_version": 4,
                "fieldTags": {},
                "fields": {
                    "auth_method": "ssh2",
                    "endpoint_ip": "172.30.202.30",
                    "endpoint_username": "bL0ofHLH",
                    "event_message": "Failed password for invalid user",
                    "src_port": "39788"
                },
                "friendlyName": "record",
                "hour": 10,
                "http_requestHeaders": {},
                "listMatches": [],
                "matchedItems": [],
                "metadata_deviceEventId": "citrix_xenserver_auth_message",
                "metadata_mapperName": "Citrix Xenserver Auth Message",
                "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                "metadata_parseTime": 1646994593976,
                "metadata_product": "Hypervisor",
                "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                "metadata_receiptTime": 1646994592,
                "metadata_relayHostname": "centos-002",
                "metadata_schemaVersion": 3,
                "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                "metadata_sensorInformation": {},
                "metadata_sensorZone": "default",
                "metadata_vendor": "Citrix",
                "month": 3,
                "normalizedAction": "logon",
                "objectType": "Authentication",
                "srcDevice_ip": "172.30.202.30",
                "srcDevice_ip_ipv4IntValue": 2887698974,
                "srcDevice_ip_isInternal": true,
                "srcDevice_ip_version": 4,
                "success": false,
                "timestamp": 1646994592000,
                "uid": "7a89ebd4-3346-59fe-839a-9fc9bf99f51a",
                "user_username": "bL0ofHLH",
                "user_username_raw": "bL0ofHLH",
                "year": 2022
            }
        ],
        "artifacts": [],
        "contentType": "ANOMALY",
        "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
        "entity": {
            "entityType": "_ip",
            "hostname": null,
            "id": "_ip-172.30.202.30",
            "macAddress": null,
            "name": "172.30.202.30",
            "sensorZone": "",
            "value": "172.30.202.30"
        },
        "id": "a9288779-354c-5a61-b492-f617d302c5ed",
        "name": "Password Attack",
        "recordCount": 10,
        "recordTypes": [],
        "ruleId": "THRESHOLD-S00095",
        "severity": 4,
        "stage": "Initial Access",
        "suppressed": true,
        "tags": [
            "_mitreAttackTactic:TA0001",
            "_mitreAttackTactic:TA0006",
            "_mitreAttackTechnique:T1110",
            "_mitreAttackTechnique:T1078",
            "_mitreAttackTechnique:T1078.001",
            "_mitreAttackTechnique:T1078.002",
            "_mitreAttackTechnique:T1078.003",
            "_mitreAttackTechnique:T1078.004",
            "_mitreAttackTechnique:T1586",
            "_mitreAttackTechnique:T1586.001",
            "_mitreAttackTechnique:T1586.002",
            "_mitreAttackTactic:TA0008",
            "_mitreAttackTechnique:T1110.003",
            "_mitreAttackTechnique:T1110.002",
            "_mitreAttackTechnique:T1110.001"
        ],
        "timestamp": "2022-03-11T10:29:52"
    }
]

Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos

Tipo de resultado	Valor/Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se pelo menos um indicador for encontrado (is_success=true): "Indicadores retornados para as seguintes entidades no Cloud SIEM do Sumo Logic: {entities}." Se nada foi encontrado para uma entidade (is_success=true): "Nenhum indicador foi encontrado para as seguintes entidades no Sumo Logic Cloud SIEM: {entities}." Se nada for encontrado para todas as entidades (is_success=true): "Nenhum indicador foi encontrado para as entidades fornecidas no Cloud SIEM do Sumo Logic". Se o código de status 500 for informado para uma entidade (is_success=true): "A ação não conseguiu recuperar indicadores para as seguintes entidades no Sumo Logic Cloud SIEM: {entities}." Se o código de status 500 for informado para todas as entidades (is_success=false): "A ação não conseguiu recuperar os indicadores das entidades fornecidas no Sumo Logic Cloud SIEM". A ação deve falhar e interromper a execução de um playbook: Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Pesquisar indicadores de entidade'. Motivo: {0}''.format(error.Stacktrace)	Geral

Tipo de resultado

Valor/Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se pelo menos um indicador for encontrado (is_success=true): "Indicadores retornados para as seguintes entidades no Cloud SIEM do Sumo Logic: {entities}."

Se nada foi encontrado para uma entidade (is_success=true): "Nenhum indicador foi encontrado para as seguintes entidades no Sumo Logic Cloud SIEM: {entities}."

Se nada for encontrado para todas as entidades (is_success=true): "Nenhum indicador foi encontrado para as entidades fornecidas no Cloud SIEM do Sumo Logic".

Se o código de status 500 for informado para uma entidade (is_success=true): "A ação não conseguiu recuperar indicadores para as seguintes entidades no Sumo Logic Cloud SIEM: {entities}."

Se o código de status 500 for informado para todas as entidades (is_success=false): "A ação não conseguiu recuperar os indicadores das entidades fornecidas no Sumo Logic Cloud SIEM".

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Pesquisar indicadores de entidade'. Motivo: {0}''.format(error.Stacktrace)

Geral

Atualizar insight

Descrição

Atualize o status do insight no Cloud SIEM do Sumo Logic.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID do insight	String	N/A	Sim	Especifique o ID do insight que precisa ser atualizado.
Status	DDL	Selecione uma opção. Valores possíveis: Selecione uma opção. Novos em andamento Fechado	Sim	Especifique o status a ser definido para o insight.
Tipo de cessionário	DDL	Usuário Valores possíveis: Usuário Equipe	Sim	Especifique o tipo de responsável para o parâmetro "Responsável".
Responsável	String	N/A	Não	Especifique o identificador do cessionário.

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success=False

Resultado do JSON

{
  "data": {
      "artifacts": [],
      "assignedTo": "tip.labops",
      "assignee": {
          "displayName": "tip.labops@siemplify.co",
          "username": "tip.labops"
      },
      "closed": "2022-03-23T11:04:33.731971",
      "closedBy": "tip.labops",
      "confidence": 0.1,
      "created": "2022-03-11T08:48:26.030204",
      "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
      "entity": {
          "entityType": "_ip",
          "hostname": null,
          "id": "_ip-172.30.202.30",
          "macAddress": null,
          "name": "172.30.202.30",
          "sensorZone": "",
          "value": "172.30.202.30"
      },
      "id": "dbc30c20-6d99-4f6f-8580-157ce70368a5",
      "lastUpdated": "2022-03-23T11:04:33.740470",
      "lastUpdatedBy": null,
      "name": "Initial Access",
      "orgId": "siemplify",
      "readableId": "INSIGHT-13927",
      "recordSummaryFields": [],
      "resolution": "False Positive",
      "severity": "CRITICAL",
      "signals": [
          {
              "allRecords": [
                  {
                      "action": "failed password attempt",
                      "bro_dns_answers": [],
                      "bro_file_bytes": {},
                      "bro_file_connUids": [],
                      "bro_flow_service": [],
                      "bro_ftp_pendingCommands": [],
                      "bro_http_cookieVars": [],
                      "bro_http_origFuids": [],
                      "bro_http_origMimeTypes": [],
                      "bro_http_request_headers": {},
                      "bro_http_request_proxied": [],
                      "bro_http_response_headers": {},
                      "bro_http_response_respFuids": [],
                      "bro_http_response_respMimeTypes": [],
                      "bro_http_tags": [],
                      "bro_http_uriVars": [],
                      "bro_kerberos_clientCert": {},
                      "bro_kerberos_serverCert": {},
                      "bro_sip_headers": {},
                      "bro_sip_requestPath": [],
                      "bro_sip_responsePath": [],
                      "bro_ssl_certChainFuids": [],
                      "bro_ssl_clientCertChainFuids": [],
                      "cseSignal": {},
                      "day": 11,
                      "device_ip": "172.30.202.30",
                      "device_ip_ipv4IntValue": 2887698974,
                      "device_ip_isInternal": true,
                      "device_ip_version": 4,
                      "fieldTags": {},
                      "fields": {
                          "auth_method": "ssh2",
                          "endpoint_ip": "172.30.202.30",
                          "endpoint_username": "1ewk0XJn",
                          "event_message": "Failed password for invalid user",
                          "src_port": "59088"
                      },
                      "friendlyName": "record",
                      "hour": 8,
                      "http_requestHeaders": {},
                      "listMatches": [],
                      "matchedItems": [],
                      "metadata_deviceEventId": "citrix_xenserver_auth_message",
                      "metadata_mapperName": "Citrix Xenserver Auth Message",
                      "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                      "metadata_parseTime": 1646987453926,
                      "metadata_product": "Hypervisor",
                      "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                      "metadata_receiptTime": 1646987443,
                      "metadata_relayHostname": "centos-002",
                      "metadata_schemaVersion": 3,
                      "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                      "metadata_sensorInformation": {},
                      "metadata_sensorZone": "default",
                      "metadata_vendor": "Citrix",
                      "month": 3,
                      "normalizedAction": "logon",
                      "objectType": "Authentication",
                      "srcDevice_ip": "172.30.202.30",
                      "srcDevice_ip_ipv4IntValue": 2887698974,
                      "srcDevice_ip_isInternal": true,
                      "srcDevice_ip_version": 4,
                      "success": false,
                      "timestamp": 1646987443000,
                      "uid": "c2e6188b-202c-5736-9b4d-248ab6ba88dd",
                      "user_username": "1ewk0XJn",
                      "user_username_raw": "1ewk0XJn",
                      "year": 2022
                  }
              ],
              "artifacts": [],
              "contentType": "ANOMALY",
              "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
              "id": "b4adb0dc-1340-56ec-87aa-c6f1fc0fa247",
              "name": "Password Attack",
              "recordCount": 10,
              "recordTypes": [],
              "ruleId": "THRESHOLD-S00095",
              "severity": 4,
              "stage": "Initial Access",
              "tags": [
                  "_mitreAttackTactic:TA0001"
              ],
              "timestamp": "2022-03-11T08:31:28"
          }
      ],
      "source": "USER",
      "status": {
          "displayName": "Closed",
          "name": "closed"
      },
      "subResolution": null,
      "tags": [
          "aaa3"
      ],
      "teamAssignedTo": null,
      "timeToDetection": 1271.030204,
      "timeToRemediation": 1044967.701767,
      "timeToResponse": 21.186055,
      "timestamp": "2022-03-11T08:31:28"
  },
  "errors": []
}

Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos

Tipo de resultado	Valor/Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se o código de status 200 for informado (is_success=true): "Successfully updated insight with ID "{id}" in Sumo Logic Cloud SIEM." A ação deve falhar e interromper a execução de um playbook: Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Atualizar insight'. Motivo: {0}''.format(error.Stacktrace) Se houver erros: "Erro ao executar a ação 'Atualizar insight'. Motivo: {message}.' Se "Selecionar um" estiver selecionado para o parâmetro "Status" e nenhum responsável for fornecido: "Erro ao executar a ação 'Atualizar insight'. Motivo: é necessário fornecer o status ou o responsável."	Geral

Tipo de resultado

Valor/Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se o código de status 200 for informado (is_success=true): "Successfully updated insight with ID "{id}" in Sumo Logic Cloud SIEM."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Atualizar insight'. Motivo: {0}''.format(error.Stacktrace)

Se houver erros: "Erro ao executar a ação 'Atualizar insight'. Motivo: {message}.'

Se "Selecionar um" estiver selecionado para o parâmetro "Status" e nenhum responsável for fornecido: "Erro ao executar a ação 'Atualizar insight'. Motivo: é necessário fornecer o status ou o responsável."

Geral

Adicionar comentário ao insight

Descrição

Adicione um comentário a um insight no Cloud SIEM do Sumo Logic.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID do insight	String	N/A	Sim	Especifique o ID do insight em que a ação precisa adicionar um comentário.
Comentário	String	N/A	Sim	Especifique o comentário que precisa ser adicionado ao insight.

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success=False

Resultado do JSON

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos

Tipo de resultado	Valor/Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se o código de status 200 for informado (is_success=true): "Um comentário foi adicionado a um insight com o ID '{id}' no Cloud SIEM do Sumo Logic." A ação deve falhar e interromper a execução de um playbook: Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Adicionar comentário ao insight'. Motivo: {0}''.format(error.Stacktrace) Se erros forem relatados: "Erro ao executar a ação 'Adicionar comentário ao insight'". Motivo: {message}.	Geral

Tipo de resultado

Valor/Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se o código de status 200 for informado (is_success=true): "Um comentário foi adicionado a um insight com o ID '{id}' no Cloud SIEM do Sumo Logic."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Adicionar comentário ao insight'. Motivo: {0}''.format(error.Stacktrace)

Se erros forem relatados: "Erro ao executar a ação 'Adicionar comentário ao insight'". Motivo: {message}.

Geral

Adicionar tags ao insight

Descrição

Adicione tags a um insight no Cloud SIEM do Sumo Logic.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID do insight	String	N/A	Sim	Especifique o ID do insight em que a ação precisa adicionar tags.
Tags	CSV	N/A	Sim	Especifique uma lista separada por vírgulas de tags que precisam ser adicionadas ao insight.

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success=False

Resultado do JSON

{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}

Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos

Tipo de resultado	Valor/Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se o código de status 200 for informado (is_success=true): "As tags foram adicionadas a um insight com o ID '{id}" no Cloud SIEM do Sumo Logic." A ação deve falhar e interromper a execução de um playbook: Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Adicionar tags ao insight'. Motivo: {0}''.format(error.Stacktrace) Se erros forem relatados: "Erro ao executar a ação 'Adicionar tags ao insight'. Motivo: {message}.	Geral

Tipo de resultado

Valor/Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se o código de status 200 for informado (is_success=true): "As tags foram adicionadas a um insight com o ID '{id}" no Cloud SIEM do Sumo Logic."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Adicionar tags ao insight'. Motivo: {0}''.format(error.Stacktrace)

Se erros forem relatados: "Erro ao executar a ação 'Adicionar tags ao insight'. Motivo: {message}.

Geral

Enriquecer entidades

Descrição

Enriqueça entidades usando informações do Sumo Logic Cloud SIEM. Entidades compatíveis: nome do host, usuário, endereço IP.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Criar insight	Caixa de seleção	Selecionado	Não	Se ativada, a ação cria um insight com todas as informações recuperadas sobre a entidade.

Corrida

Essa ação é executada nas seguintes entidades:

Nome do host
Usuário
Endereço IP

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success=False

Resultado do JSON

{
    "activityScore": 8,
    "criticality": null,
    "entityType": "_ip",
    "firstSeen": null,
    "hostname": null,
    "id": "_ip-172.30.202.30",
    "inventory": [],
    "isSuppressed": false,
    "isWhitelisted": false,
    "lastSeen": "2022-03-11T09:44:53",
    "macAddress": null,
    "name": "172.30.202.30",
    "sensorZone": null,
    "tags": [],
    "value": "172.30.202.30"
}

Enriquecimento de entidade: prefixo SumoLogicCloudSIEM_

Nome do campo de enriquecimento	Origem (chave JSON)	Lógica: quando aplicar
isSuppressed	isSuppressed	Quando disponível em JSON
isWhitelisted	isWhitelisted	Quando disponível em JSON
tags	CSV de tags	Quando disponível em JSON
firstSeen	firstSeen	Quando disponível em JSON
lastSeen	lastSeen	Quando disponível em JSON
importância	criticality	Quando disponível em JSON
activityScore	activityScore	Quando disponível em JSON

Insights

N/A

Painel de casos

Tipo de resultado	Valor/Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se os dados estiverem disponíveis para uma entidade (is_success=true): "As seguintes entidades foram enriquecidas com informações do Harmony Mobile: {entity.identifier}". Se os dados não estiverem disponíveis para uma entidade (is_success=true): "A ação não conseguiu enriquecer as seguintes entidades usando informações do Sumo Logic Cloud SIEM: {entity.identifier}" Se os dados não estiverem disponíveis para todas as entidades (is_success=false): "Nenhuma das entidades fornecidas foi enriquecida." A ação deve falhar e interromper a execução de um playbook: Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Enriquecer entidades'. Motivo: {0}''.format(error.Stacktrace)	Geral
Tabela do painel de casos	Título da tabela: {entity.identifier} Colunas da tabela: Chave Valor	Entidade

Tipo de resultado

Valor/Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se os dados estiverem disponíveis para uma entidade (is_success=true): "As seguintes entidades foram enriquecidas com informações do Harmony Mobile: {entity.identifier}".

Se os dados não estiverem disponíveis para uma entidade (is_success=true): "A ação não conseguiu enriquecer as seguintes entidades usando informações do Sumo Logic Cloud SIEM: {entity.identifier}"

Se os dados não estiverem disponíveis para todas as entidades (is_success=false): "Nenhuma das entidades fornecidas foi enriquecida."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Enriquecer entidades'. Motivo: {0}''.format(error.Stacktrace)

Geral

Tabela do painel de casos

Título da tabela: {entity.identifier}

Colunas da tabela:

Chave
Valor

Entidade

Conectores

Sumo Logic Cloud SIEM: conector de insights

Descrição

Extrai informações sobre insights do Sumo Logic Cloud SIEM.

Configurar o conector do Sumo Logic Cloud SIEM - Insights no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do campo do produto	String	N/A	Sim	Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento	String	generalized_data_name	Sim	Insira o nome do campo de origem para recuperar o nome do campo de evento.
Nome do campo do ambiente	String	""	Não	Descreve o nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente será o padrão.
Padrão Regex do ambiente	String	.*	Não	Um padrão de regex para ser executado no valor encontrado no campo "Nome do campo de ambiente". O padrão é .* para capturar tudo e retornar o valor inalterado. Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex. Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite de script (segundos)	Inteiro	180	Sim	Limite de tempo limite para o processo do Python que executa o script atual.
Raiz da API	String	https://{instance}	Sim	Raiz da API da instância do Cloud SIEM do Sumo Logic.
Chave de API	String	N/A	Não	Chave de API da conta do Cloud SIEM do Sumo Logic. Observação:a chave de API tem prioridade sobre outros métodos de autenticação.
ID de acesso	String	N/A	Não	ID de acesso da conta do Cloud SIEM do Sumo Logic. Observação:o ID e a chave de acesso são necessários para esse tipo de autenticação.
Chave de acesso	Secret	N/A	Não	Chave de acesso da conta do Cloud SIEM do Sumo Logic. Observação:o ID e a chave de acesso são necessários para esse tipo de autenticação.
Gravidade mais baixa para buscar	String	N/A	Não	A prioridade mais baixa que precisa ser usada para buscar casos. Valores possíveis: baixo, médio, alto, crítico. Se nada for especificado, o conector vai ingerir insights com todas as gravidades.
Máximo de horas para trás	Inteiro	1	Não	Número de horas de onde os insights serão buscados.
Máximo de insights a serem buscados	Inteiro	20	Não	Número de insights a serem processados por iteração do conector.
Usar a lista dinâmica como uma lista de bloqueio	Caixa de seleção	Desmarcado	Sim	Se ativada, a lista dinâmica será usada como uma lista de bloqueio.
Verificar SSL	Caixa de seleção	Desmarcado	Sim	Se estiver ativado, verifique se o certificado SSL para a conexão com o servidor do Cloud SIEM da Sumo Logic é válido.
Endereço do servidor proxy	String	N/A	Não	O endereço do servidor proxy a ser usado.
Nome de usuário do proxy	String	N/A	Não	O nome de usuário do proxy para autenticação.
Senha do proxy	Senha	N/A	Não	A senha do proxy para autenticação.

Regras do conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.