Symantec Blue Coat ProxySG

Integrationsversion: 4.0

Symantec Blue Coat ProxySG-Integration in Google Security Operations konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
SSH-Root String {IP-Adresse}:22 Ja Stellen Sie eine SSH-Verbindung zum Root der Blue Coat ProxySG-Instanz her.
Nutzername String – Ja Nutzername des Blue Coat ProxySG-SSH-Kontos.
Passwort Passwort – Ja Base64-codierte CA-Zertifikatsdatei.

Anwendungsbereiche

  1. Entitäten anreichern.
  2. Unternehmen blockieren

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Broadcom Symantec ProxySG mit den Parametern, die auf der Seite für die Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Bei Erfolg: „Successfully connected to the Broadcom Symantec ProxySG server with the provided connection parameters!“ (Mit den angegebenen Verbindungsparametern wurde eine Verbindung zum Broadcom Symantec ProxySG-Server hergestellt.)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn nicht erfolgreich: „Failed to connect to the Broadcom Symantec ProxySG server! Fehler: {0}".format(exception.stacktrace)"

 Allgemein

Entitäten anreichern

Beschreibung

Entitäten mit Informationen aus Broadcom Symantec ProxySG anreichern Unterstützte Einheiten: Hostname, IP-Adresse und URL.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Insight erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion ein Insight mit allen abgerufenen Informationen zur Entität erstellt.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hostname
  • IP-Adresse
  • URL

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "raw_output": "{raw output from the console}",

    "categories": {
        "Policy": "none",
        "Blue Coat": "none",
        "IWF": "none",
        "Local": "unavailable",
        "Proventia": "unavailable"
    },
    "category_group": {
        "Blue_Coat": "none"
    },
    "risk level": 1,
    "Country": "Unavailable",
    "Official Host Name": "twitter.com",
    "Resolved Addresses": [
        "104.244.42.1",
        "104.244.42.65"
    ],
    "Cache TTL": "1231, cache HIT",
    "DNS Resolver Response": "Success"
}
Entitätsanreicherung

  • Anreicherungstabelle für URL – Präfix BCProxySG_

    Name des Anreicherungsfelds Quelle (JSON-Schlüssel) Logik – Wann anwenden?
    risk_level {risk_level} Wenn in JSON verfügbar
    category_{categories.keys}

    {categories/values} einen Schlüssel

    Hinweis:Ein Wert als Eintrag.

    		 Wenn in JSON verfügbar
    category_group_{category_group.keys} {category_group/values} Wenn in JSON verfügbar

  • Enrichment Table for IP Address - Prefix BCProxySG_

    Name des Anreicherungsfelds Quelle (JSON-Schlüssel) Logik – Wann anwenden?
    country {country} Wenn in JSON verfügbar

  • Enrichment Table for Hostname - Prefix BCProxySG_

    Name des Anreicherungsfelds Quelle (JSON-Schlüssel) Logik – Wann anwenden?
    official_hostname {Official Host Name} Wenn in JSON verfügbar
    resolved_addresses CSV-Datei mit „Aufgelösten Adressen“ Wenn in JSON verfügbar
    cache_ttl Cache-TTL Wenn in JSON verfügbar
Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Wenn Daten für eine Entität verfügbar sind (is_success=true): „Die folgenden Entitäten wurden mit Informationen von Blue Coat ProxySG angereichert: {entity.identifier}.“

Wenn für eine Einheit keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Einheiten nicht mit Informationen von Blue Coat ProxySG anreichern: {entity.identifier}“

Wenn für nicht alle Entitäten Daten verfügbar sind (is_success=false): „None of the provided entities were enriched.“ (Keine der angegebenen Entitäten wurde angereichert.)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Enrich Entities‘. Grund: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle „Fall-Repository“

Tabellentitel: {entity.identifier}

Tabellenspalten:

  • Schlüssel
  • Wert
 Entität

Unternehmen blockieren

Beschreibung

Entitäten mit Broadcom Symantec ProxySG blockieren Unterstützte Einheiten: IP-Adresse.

Parameter

–

Ausführen am

Die Aktion wird für die IP-Adressentität ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "raw_output": "raw"
        "status": {success/failure}
}
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Wenn Daten für eine Entität verfügbar sind (is_success=true): „Die folgenden Entitäten wurden in Broadcom Symantec ProxySG erfolgreich blockiert: {entity.identifier}.“

Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Entitäten in Blue Coat ProxySG nicht blockieren: {entity.identifier}.“

Wenn keine Daten für alle Einheiten verfügbar sind (is_success=false): „None of the provided entities were blocked.“ (Keine der angegebenen Einheiten wurde blockiert.)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Enrich Entities‘. Grund: {0}''.format(error.Stacktrace)

 Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten