Sumo Logic Cloud SIEM

集成版本：8.0

在 Google Security Operations 中配置 Sumo Logic Cloud SIEM 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 是否为必需属性 说明
API 根 字符串 https://{instance} 是 Sumo Logic Cloud SIEM 实例的 API 根。
API 密钥 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的 API 密钥。

注意：API 密钥的优先级高于其他身份验证方法。
访问 ID 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的访问 ID。

注意：此类型的身份验证需要同时提供访问 ID 和访问密钥。
访问密钥 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的访问密钥。

注意：此类型的身份验证需要同时提供访问 ID 和访问密钥。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 Sumo Logic Cloud SIEM 服务器的连接所用的 SSL 证书是否有效。

使用场景

提取提醒。

操作

Ping

说明

使用 Google Security Operations Marketplace 标签页中的集成配置页面上提供的参数，测试与 Sumo Logic Cloud SIEM 的连接。

参数

不适用

运行于

此操作不会在实体上运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
N/A
实体扩充

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“Successfully connected to the Sumo Logic Cloud SIEM server with the provided connection parameters!”

操作应失败并停止 playbook 执行：

如果未成功：“Failed to connect to the Sumo Logic Cloud SIEM server! 错误为 {0}".format(exception.stacktrace)

 常规

搜索实体信号

说明

在 Sumo Logic Cloud SIEM 中搜索与实体相关的信号。支持的实体：IP 地址、主机名、用户名。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
要返回的最低严重程度 整数 5 否

指定用于返回信号的最低严重程度编号。

最大值：10
时间范围 DDL

过去 1 小时

可能的值：

  • 过去 1 小时
  • 过去 6 小时
  • 过去 24 小时
  • 上周
  • 上个月
  • 提醒时间前后 5 分钟
  • 提醒时间前后 30 分钟
  • 提醒时间前后 1 小时
  • 自定义
 否

指定结果的时间范围。

如果选择“自定义”，您还需要提供“开始时间”。

如果选择“Alert Time Till Now”（从提醒时间到当前时间），则操作会使用提醒的开始时间作为搜索的开始时间，并将当前时间作为结束时间。

如果选择“在提醒时间前后 30 分钟内”，则该操作会在提醒发生前 30 分钟到提醒发生后 30 分钟内搜索提醒。“提醒时间前后 1 小时”和“提醒时间前后 5 分钟”也是如此
开始时间 字符串 不适用 否

指定结果的开始时间。

如果为“时间范围”参数选择“自定义”，则此参数是必需的。

格式：ISO 8601
结束时间 字符串 不适用 否

指定结果的结束时间。

如果未提供任何内容，并且为“时间范围”参数选择了“自定义”，则此参数会使用当前时间。

格式：ISO 8601
要返回的信号数上限 整数 50 否 指定每个实体要返回的信号数量。

运行于

此操作适用于以下实体：

  • IP 地址
  • 主机名
  • 用户名

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
[
    {
        "allRecords": [
            {
                "action": "failed password attempt",
                "bro_dns_answers": [],
                "bro_file_bytes": {},
                "bro_file_connUids": [],
                "bro_flow_service": [],
                "bro_ftp_pendingCommands": [],
                "bro_http_cookieVars": [],
                "bro_http_origFuids": [],
                "bro_http_origMimeTypes": [],
                "bro_http_request_headers": {},
                "bro_http_request_proxied": [],
                "bro_http_response_headers": {},
                "bro_http_response_respFuids": [],
                "bro_http_response_respMimeTypes": [],
                "bro_http_tags": [],
                "bro_http_uriVars": [],
                "bro_kerberos_clientCert": {},
                "bro_kerberos_serverCert": {},
                "bro_sip_headers": {},
                "bro_sip_requestPath": [],
                "bro_sip_responsePath": [],
                "bro_ssl_certChainFuids": [],
                "bro_ssl_clientCertChainFuids": [],
                "cseSignal": {},
                "day": 11,
                "device_ip": "172.30.202.30",
                "device_ip_ipv4IntValue": 2887698974,
                "device_ip_isInternal": true,
                "device_ip_version": 4,
                "fieldTags": {},
                "fields": {
                    "auth_method": "ssh2",
                    "endpoint_ip": "172.30.202.30",
                    "endpoint_username": "bL0ofHLH",
                    "event_message": "Failed password for invalid user",
                    "src_port": "39788"
                },
                "friendlyName": "record",
                "hour": 10,
                "http_requestHeaders": {},
                "listMatches": [],
                "matchedItems": [],
                "metadata_deviceEventId": "citrix_xenserver_auth_message",
                "metadata_mapperName": "Citrix Xenserver Auth Message",
                "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                "metadata_parseTime": 1646994593976,
                "metadata_product": "Hypervisor",
                "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                "metadata_receiptTime": 1646994592,
                "metadata_relayHostname": "centos-002",
                "metadata_schemaVersion": 3,
                "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                "metadata_sensorInformation": {},
                "metadata_sensorZone": "default",
                "metadata_vendor": "Citrix",
                "month": 3,
                "normalizedAction": "logon",
                "objectType": "Authentication",
                "srcDevice_ip": "172.30.202.30",
                "srcDevice_ip_ipv4IntValue": 2887698974,
                "srcDevice_ip_isInternal": true,
                "srcDevice_ip_version": 4,
                "success": false,
                "timestamp": 1646994592000,
                "uid": "7a89ebd4-3346-59fe-839a-9fc9bf99f51a",
                "user_username": "bL0ofHLH",
                "user_username_raw": "bL0ofHLH",
                "year": 2022
            }
        ],
        "artifacts": [],
        "contentType": "ANOMALY",
        "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
        "entity": {
            "entityType": "_ip",
            "hostname": null,
            "id": "_ip-172.30.202.30",
            "macAddress": null,
            "name": "172.30.202.30",
            "sensorZone": "",
            "value": "172.30.202.30"
        },
        "id": "a9288779-354c-5a61-b492-f617d302c5ed",
        "name": "Password Attack",
        "recordCount": 10,
        "recordTypes": [],
        "ruleId": "THRESHOLD-S00095",
        "severity": 4,
        "stage": "Initial Access",
        "suppressed": true,
        "tags": [
            "_mitreAttackTactic:TA0001",
            "_mitreAttackTactic:TA0006",
            "_mitreAttackTechnique:T1110",
            "_mitreAttackTechnique:T1078",
            "_mitreAttackTechnique:T1078.001",
            "_mitreAttackTechnique:T1078.002",
            "_mitreAttackTechnique:T1078.003",
            "_mitreAttackTechnique:T1078.004",
            "_mitreAttackTechnique:T1586",
            "_mitreAttackTechnique:T1586.001",
            "_mitreAttackTechnique:T1586.002",
            "_mitreAttackTactic:TA0008",
            "_mitreAttackTechnique:T1110.003",
            "_mitreAttackTechnique:T1110.002",
            "_mitreAttackTechnique:T1110.001"
        ],
        "timestamp": "2022-03-11T10:29:52"
    }
]
实体扩充

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果找到至少一个信号（is_success=true）：“Successfully returned signals for the following entities in Sumo Logic Cloud SIEM: {entities}."

如果未找到任何实体（is_success=true）：“在 Sumo Logic Cloud SIEM 中未找到以下实体的任何信号：{entities}。”

如果未找到任何实体（is_success=true）：“在 Sumo Logic Cloud SIEM 中未找到所提供实体的任何信号。”

如果一个实体的状态代码为 500 (is_success=true)：“操作无法在 Sumo Logic Cloud SIEM 中检索以下实体的信号：{entities}。”

如果所有实体的状态代码均为 500（is_success=false）：“操作无法在 Sumo Logic Cloud SIEM 中检索所提供实体的信号。”

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器、其他错误）：“Error executing action "Search Entity Signals". 原因：{0}''.format(error.Stacktrace)

 常规

更新后的分析

说明

更新 Sumo Logic Cloud SIEM 中的数据分析状态。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
数据分析 ID 字符串 不适用 是 指定需要更新的数据洞见的 ID。
状态 DDL

选择一项

可能的值：

  • 选择一项
  • 新“进行中”
  • 已关闭
 是 指定要为数据分析设置的状态。
分配对象类型 DDL

用户

可能的值：

  • 用户
  • 团队
 是 为“Assignee”参数指定受让人类型。
接收方 字符串 不适用 否 指定受让人标识符。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
  "data": {
      "artifacts": [],
      "assignedTo": "tip.labops",
      "assignee": {
          "displayName": "tip.labops@siemplify.co",
          "username": "tip.labops"
      },
      "closed": "2022-03-23T11:04:33.731971",
      "closedBy": "tip.labops",
      "confidence": 0.1,
      "created": "2022-03-11T08:48:26.030204",
      "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
      "entity": {
          "entityType": "_ip",
          "hostname": null,
          "id": "_ip-172.30.202.30",
          "macAddress": null,
          "name": "172.30.202.30",
          "sensorZone": "",
          "value": "172.30.202.30"
      },
      "id": "dbc30c20-6d99-4f6f-8580-157ce70368a5",
      "lastUpdated": "2022-03-23T11:04:33.740470",
      "lastUpdatedBy": null,
      "name": "Initial Access",
      "orgId": "siemplify",
      "readableId": "INSIGHT-13927",
      "recordSummaryFields": [],
      "resolution": "False Positive",
      "severity": "CRITICAL",
      "signals": [
          {
              "allRecords": [
                  {
                      "action": "failed password attempt",
                      "bro_dns_answers": [],
                      "bro_file_bytes": {},
                      "bro_file_connUids": [],
                      "bro_flow_service": [],
                      "bro_ftp_pendingCommands": [],
                      "bro_http_cookieVars": [],
                      "bro_http_origFuids": [],
                      "bro_http_origMimeTypes": [],
                      "bro_http_request_headers": {},
                      "bro_http_request_proxied": [],
                      "bro_http_response_headers": {},
                      "bro_http_response_respFuids": [],
                      "bro_http_response_respMimeTypes": [],
                      "bro_http_tags": [],
                      "bro_http_uriVars": [],
                      "bro_kerberos_clientCert": {},
                      "bro_kerberos_serverCert": {},
                      "bro_sip_headers": {},
                      "bro_sip_requestPath": [],
                      "bro_sip_responsePath": [],
                      "bro_ssl_certChainFuids": [],
                      "bro_ssl_clientCertChainFuids": [],
                      "cseSignal": {},
                      "day": 11,
                      "device_ip": "172.30.202.30",
                      "device_ip_ipv4IntValue": 2887698974,
                      "device_ip_isInternal": true,
                      "device_ip_version": 4,
                      "fieldTags": {},
                      "fields": {
                          "auth_method": "ssh2",
                          "endpoint_ip": "172.30.202.30",
                          "endpoint_username": "1ewk0XJn",
                          "event_message": "Failed password for invalid user",
                          "src_port": "59088"
                      },
                      "friendlyName": "record",
                      "hour": 8,
                      "http_requestHeaders": {},
                      "listMatches": [],
                      "matchedItems": [],
                      "metadata_deviceEventId": "citrix_xenserver_auth_message",
                      "metadata_mapperName": "Citrix Xenserver Auth Message",
                      "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                      "metadata_parseTime": 1646987453926,
                      "metadata_product": "Hypervisor",
                      "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                      "metadata_receiptTime": 1646987443,
                      "metadata_relayHostname": "centos-002",
                      "metadata_schemaVersion": 3,
                      "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                      "metadata_sensorInformation": {},
                      "metadata_sensorZone": "default",
                      "metadata_vendor": "Citrix",
                      "month": 3,
                      "normalizedAction": "logon",
                      "objectType": "Authentication",
                      "srcDevice_ip": "172.30.202.30",
                      "srcDevice_ip_ipv4IntValue": 2887698974,
                      "srcDevice_ip_isInternal": true,
                      "srcDevice_ip_version": 4,
                      "success": false,
                      "timestamp": 1646987443000,
                      "uid": "c2e6188b-202c-5736-9b4d-248ab6ba88dd",
                      "user_username": "1ewk0XJn",
                      "user_username_raw": "1ewk0XJn",
                      "year": 2022
                  }
              ],
              "artifacts": [],
              "contentType": "ANOMALY",
              "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
              "id": "b4adb0dc-1340-56ec-87aa-c6f1fc0fa247",
              "name": "Password Attack",
              "recordCount": 10,
              "recordTypes": [],
              "ruleId": "THRESHOLD-S00095",
              "severity": 4,
              "stage": "Initial Access",
              "tags": [
                  "_mitreAttackTactic:TA0001"
              ],
              "timestamp": "2022-03-11T08:31:28"
          }
      ],
      "source": "USER",
      "status": {
          "displayName": "Closed",
          "name": "closed"
      },
      "subResolution": null,
      "tags": [
          "aaa3"
      ],
      "teamAssignedTo": null,
      "timeToDetection": 1271.030204,
      "timeToRemediation": 1044967.701767,
      "timeToResponse": 21.186055,
      "timestamp": "2022-03-11T08:31:28"
  },
  "errors": []
}
实体扩充

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“Successfully updated insight with ID "{id}" in Sumo Logic Cloud SIEM.”

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器等），请执行以下操作：“Error executing action "Update Insight". 原因：{0}''.format(error.Stacktrace)

如果系统报告以下错误：“执行操作‘更新数据洞见’时出错。原因：{message}。'

如果为“状态”参数选择了“选择一个”，但未提供任何受让人：“执行操作‘更新数据洞见’时出错。原因：必须提供状态或受让人。”

 常规

向分析洞见添加评论

说明

在 Sumo Logic Cloud SIEM 中向数据洞见添加评论。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
数据分析 ID 字符串 不适用 是 指定需要向哪个数据洞见添加评论。
评论 字符串 不适用 是 指定需要添加到数据洞见的注释。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}
实体扩充

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“Successfully added a comment to an insight with ID "{id}" in Sumo Logic Cloud SIEM.”

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器、其他错误）：“Error executing action "Add Comment To Insight". 原因：{0}''.format(error.Stacktrace)

如果报告了错误：“执行操作‘向数据洞见添加注释’时出错。”原因：{message}。

 常规

向分析洞见添加标记

说明

在 Sumo Logic Cloud SIEM 中向数据洞见添加标记。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
数据分析 ID 字符串 不适用 是 指定需要向哪个数据洞见添加标记。
标记 CSV 不适用 是 指定需要添加到数据洞见的英文逗号分隔的标记列表。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}
实体扩充

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已成功将标记添加到 Sumo Logic Cloud SIEM 中 ID 为“{id}”的数据洞见。”

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、未连接到服务器等），请执行以下操作：“Error executing action "Add Tags To Insight". 原因：{0}''.format(error.Stacktrace)

如果系统报告错误：“执行操作‘向数据洞见添加标记’时出错。原因：{message}。

 常规

丰富实体

说明

使用来自 Sumo Logic Cloud SIEM 的信息丰富实体。支持的实体：主机名、用户、IP 地址。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
创建分析数据 复选框 勾选 否 如果启用，该操作会创建一个包含有关实体的所有检索到的信息的分析洞见。

运行于

此操作适用于以下实体：

  • 主机名
  • 用户
  • IP 地址

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
    "activityScore": 8,
    "criticality": null,
    "entityType": "_ip",
    "firstSeen": null,
    "hostname": null,
    "id": "_ip-172.30.202.30",
    "inventory": [],
    "isSuppressed": false,
    "isWhitelisted": false,
    "lastSeen": "2022-03-11T09:44:53",
    "macAddress": null,
    "name": "172.30.202.30",
    "sensorZone": null,
    "tags": [],
    "value": "172.30.202.30"
}

实体丰富化 - 前缀 SumoLogicCloudSIEM_

扩充项字段名称 来源（JSON 密钥） 逻辑 - 应用场景
isSuppressed isSuppressed 以 JSON 格式提供时
isWhitelisted isWhitelisted 以 JSON 格式提供时
标签 包含标记的 CSV 文件 以 JSON 格式提供时
firstSeen firstSeen 以 JSON 格式提供时
lastSeen lastSeen 以 JSON 格式提供时
严重程度 严重程度 以 JSON 格式提供时
activityScore activityScore 以 JSON 格式提供时
数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果某个实体有数据 (is_success=true)：“已使用来自 Harmony Mobile 的信息成功丰富以下实体：{entity.identifier}”。

如果某个实体没有数据 (is_success=true)：“Action wasn't able to enrich the following entities using information from Sumo Logic Cloud SIEM: {entity.identifier}”（操作无法使用来自 Sumo Logic Cloud SIEM 的信息来丰富以下实体：{entity.identifier}）

如果并非所有实体都有数据 (is_success=false)：“未扩充任何提供的实体。”

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器等）：“Error executing action "Enrich Entities". 原因：{0}''.format(error.Stacktrace)

 常规
“案例墙”表格

表格标题：{entity.identifier}

表格列：

  • 键
  • 值
 实体

连接器

Sumo Logic Cloud SIEM - Insights 连接器

说明

从 Sumo Logic Cloud SIEM 中提取有关数据洞见的信息。

在 Google SecOps 中配置 Sumo Logic Cloud SIEM - Insights 连接器

有关如何在 Google SecOps 中配置连接器的详细说明，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 是否为必需属性 说明
商品字段名称 字符串 不适用 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 generalized_data_name 是 输入源字段名称，以便检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果找不到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中找到的值运行的正则表达式模式。

默认值为 .*，用于捕获所有内容并返回未更改的值。

用于允许用户通过正则表达式逻辑来操纵环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时时间限制。
API 根 字符串 https://{instance} 是 Sumo Logic Cloud SIEM 实例的 API 根。
API 密钥 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的 API 密钥。

注意：API 密钥的优先级高于其他身份验证方法。
访问 ID 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的访问 ID。

注意：此类型的身份验证需要同时提供访问 ID 和访问密钥。
访问密钥 Secret 不适用 否

Sumo Logic Cloud SIEM 账号的访问密钥。

注意：此类型的身份验证需要同时提供访问 ID 和访问密钥。
要提取的最低严重程度 字符串 不适用 否

用于提取支持请求的最低优先级。

可能的值：低、中、高、严重。

如果未指定任何内容，连接器将注入所有严重程度的分析洞见。
回溯的小时数上限 整数 1 否 提取数据洞见的小时数。
要提取的数据分析数量上限 整数 20 否 每次连接器迭代要处理的数据洞见数量。
将动态列表用作黑名单 复选框 尚未核查 是 如果启用，动态列表将用作黑名单。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 Sumo Logic Cloud SIEM 服务器的连接所用的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

连接器支持代理。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。