Diese Seite wurde von der Cloud Translation API übersetzt.

Sysdig Secure in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Sysdig Secure in Google Security Operations (Google SecOps) einbinden.

Integrationsversion: 1.0

Integrationsparameter

Für die Sysdig Secure-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung

Parameter	Beschreibung
`API Root`	Erforderlich. Der API-Root der Sysdig Secure-Instanz. Weitere Informationen zu API-Stammwerten finden Sie unter Sysdig API.
`API Token`	Erforderlich. Das Sysdig Secure API-Token. Weitere Informationen zum Generieren von Tokens finden Sie unter Sysdig-API-Token abrufen.
`Verify SSL`	Erforderlich. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Sysdig Secure-Server validiert. Standardmäßig ausgewählt.

API Root

Erforderlich.

Der API-Root der Sysdig Secure-Instanz.

Weitere Informationen zu API-Stammwerten finden Sie unter Sysdig API.

API Token

Erforderlich.

Das Sysdig Secure API-Token.

Weitere Informationen zum Generieren von Tokens finden Sie unter Sysdig-API-Token abrufen.

Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Sysdig Secure-Server validiert.

Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen über „Mein Arbeitsbereich“ bearbeiten und Manuelle Aktion ausführen.

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Sysdig Secure zu testen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Ausgabemeldungen

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully connected to the Sysdig Secure server with the provided connection parameters! Die Aktion wurde ausgeführt.

Ausgabemeldung	Nachrichtenbeschreibung
`Successfully connected to the Sysdig Secure server with the provided connection parameters!`	Die Aktion wurde ausgeführt.
`Failed to connect to the Sysdig Secure server! Error is ERROR_REASON`	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Failed to connect to the Sysdig Secure server! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Scriptergebnisses	Wert
`is_success`	`True` oder `False`

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Sysdig Secure – Events Connector

Verwenden Sie den Sysdig Secure – Events Connector, um Ereignisse aus Sysdig Secure abzurufen.

Verwenden Sie den Parameter ruleName, um mit der dynamischen Liste zu arbeiten.

Connector-Eingaben

Für Sysdig Secure – Events Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
`Product Field Name`	Erforderlich. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist `Product Name`.
`Event Field Name`	Erforderlich. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist `content_ruleName`.
`Environment Field Name`	Optional. Der Name des Felds, in dem der Name der Umgebung gespeichert ist. Wenn das Feld „environment“ fehlt, wird der Standardwert verwendet.
`Environment Regex Pattern`	Optional. Ein reguläres Ausdrucksmuster, das auf den Wert im Feld `Environment Field Name` angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten. Verwenden Sie den Standardwert `.*`, um den erforderlichen Rohwert `Environment Field Name` abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
`Script Timeout (Seconds)`	Erforderlich. Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird. Der Standardwert ist `180`.
`API Root`	Erforderlich. Der API-Root der Sysdig Secure-Instanz. Weitere Informationen zu API-Stammwerten finden Sie unter Sysdig API.
`API Token`	Erforderlich. Das Sysdig Secure API-Token. Weitere Informationen zum Generieren von Tokens finden Sie unter Sysdig-API-Token abrufen.
`Lowest Severity To Fetch`	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Warnungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: `Informational` `Low` `Medium` `High`
`Custom Filter Query`	Optional. Eine Abfrage zum Filtern, Eingrenzen oder Gruppieren von Ereignissen während der Erfassung. Dieser Parameter hat Vorrang vor dem Parameter `Lowest Severity To Fetch` und den Werten, die Sie in der dynamischen Liste festlegen. Weitere Informationen zum Filtern von Ereignissen finden Sie unter Sichere Ereignisse filtern. Das Beispiel für die Eingabe sieht so aus: `host.hostName = "instance-1"`.
`Max Hours Backwards`	Erforderlich. Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Ereignisse abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration nach der erstmaligen Aktivierung des Connectors oder als Fallback-Wert für einen abgelaufenen Connector-Zeitstempel gelten. Der Standardwert ist `1`.
`Max Events To Fetch`	Erforderlich. Die maximale Anzahl von Ereignissen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist `200`. Der Standardwert ist `100`.
`Disable Overflow`	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Diese Option ist standardmäßig nicht ausgewählt.
`Use dynamic list as a blocklist`	Optional. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Blockierliste. Diese Option ist standardmäßig nicht ausgewählt.
`Verify SSL`	Optional. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Sysdig Secure-Server validiert. Nicht standardmäßig ausgewählt.
`Proxy Server Address`	Optional. Die Adresse eines zu verwendenden Proxyservers.
`Proxy Username`	Optional. Der Proxy-Nutzername für die Authentifizierung.
`Proxy Password`	Optional. Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Sysdig Secure – Events Connector unterstützt Proxys.

Connector-Ereignisse

Das Beispiel für das Ereignis Sysdig Secure - Events Connector sieht so aus:

{
   "id": "ID",
   "reference": "0194cd55-6752-823e-990c-380977fa3ce8",
   "cursor": "PTE4MjBjYTI0NjdjZDFjYzkwMzdlZDA0NGVkNjYyNzFh",
   "timestamp": "2025-02-03T19:41:53.874140361Z",
   "customerId": 2002953,
   "originator": "policy",
   "category": "runtime",
   "source": "syscall",
   "rawEventOriginator": "linuxAgent",
   "rawEventCategory": "runtime",
   "sourceDetails": {
       "sourceType": "workload",
       "sourceSubType": "host"
   },
   "engine": "falco",
   "name": "Sysdig Runtime Threat Detection",
   "description": "This policy contains rules which Sysdig considers High Confidence of a security incident. They are tightly coupled to common attacker TTP's. They have been designed to minimize false positives but may still result in some depending on your environment.",
   "severity": 3,
   "agentId": 118055020,
   "machineId": "MACHINE_ID",
   "content": {
       "policyId": 10339481,
       "ruleName": "Find Google Cloud Credentials",
       "internalRuleName": "Find Google Cloud Credentials",
       "ruleType": 6,
       "ruleSubType": 0,
       "ruleTags": [
           "host",
           "container",
           "MITRE",
           "MITRE_TA0006_credential_access",
           "MITRE_TA0007_discovery",
           "MITRE_T1552_unsecured_credentials",
           "MITRE_T1552.004_unsecured_credentials_private_keys",
           "MITRE_T1119_automated_collection",
           "MITRE_T1555_credentials_from_password_stores",
           "MITRE_TA0009_collection",
           "process",
           "gcp",
           "MITRE_T1552.003_unsecured_credentials_bash_history"
       ],
       "output": "OUTPUT",
       "fields": {
           "container.id": "host",
           "container.image.repository": "<NA>",
           "container.image.tag": "<NA>",
           "container.name": "host",
           "evt.args": "ARGS_VALUE",
           "evt.res": "SUCCESS",
           "evt.type": "execve",
           "group.gid": "1010",
           "group.name": "example",
           "proc.aname[2]": "sshd",
           "proc.aname[3]": "sshd",
           "proc.aname[4]": "sshd",
           "proc.cmdline": "grep private_key example_credentials.json",
           "proc.cwd": "/home/example/",
           "proc.exepath": "/usr/bin/grep",
           "proc.hash.sha256": "9a9c5a0c3b5d1d78952252f7bcf4a992ab9ea1081c84861381380a835106b817",
           "proc.name": "grep",
           "proc.pcmdline": "bash",
           "proc.pid": "402495",
           "proc.pid.ts": "1738611713873608827",
           "proc.pname": "bash",
           "proc.ppid": "385443",
           "proc.ppid.ts": "1738599569497780082",
           "proc.sid": "385443",
           "user.loginname": "example",
           "user.loginuid": "1009",
           "user.name": "example",
           "user.uid": "1009"
       },
       "falsePositive": false,
       "matchedOnDefault": false,
       "templateId": 1331,
       "policyType": "falco",
       "AlertId": 1357687,
       "origin": "Sysdig"
   },
   "labels": {
       "agent.tag.role": "datafeeder",
       "cloudProvider.account.id": "ACCOUNT_ID",
       "cloudProvider.name": "gcp",
       "cloudProvider.region": "europe-west3",
       "gcp.compute.availabilityZone": "europe-west3-c",
       "gcp.compute.image": "projects/debian-cloud/global/images/debian-example",
       "gcp.compute.instanceId": "INSTANCE_ID",
       "gcp.compute.instanceName": "example-instance",
       "gcp.compute.machineType": "e2-standard-2",
       "gcp.location": "europe-west3",
       "gcp.projectId": "PROJECT_ID",
       "gcp.projectName": "example-project",
       "host.hostName": "example-instance",
       "host.id": "HOST_ID",
       "orchestrator.type": "none",
       "process.name": "grep private_key example_credentials.json"
   }
}

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten