Varonis Data Security Platform

In diesem Dokument wird beschrieben, wie Sie die Varonis Datensicherheitsplattform in Google SecOps einbinden.

Anwendungsfälle für Produkte

  1. Varonis-Benachrichtigungen zur Analyse in Google Security Operations aufnehmen.
  2. Aktualisieren Sie die Varonis-Benachrichtigungen aus Google SecOps.

Product PermissionConfiguration

So konfigurieren Sie Varonis für die Verwendung mit Google SecOps:

  1. In der DatAdvantage-Bereitstellung muss ein spezieller API-Patch installiert werden. Wenden Sie sich dazu an das Varonis-Team.
  2. Der Nutzer, der für die Integration verwendet wird, sollte die DatAdavantage-Rollen „Web UI User“ und „DatAlertConfiguration“ haben.

Integration der Varonis Data Security Platform in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-Stamm String https://{ip address}:{port} Ja Geben Sie die API-URL für die Varonis Data Security-Zielinstanz an.
Nutzername String – Ja Geben Sie den Nutzernamen für die Verbindung an.
Passwort Passwort – Ja Geben Sie das Passwort für die Verbindung an.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird das für den API-Stamm konfigurierte Zertifikat validiert.

Aktionen

Ping

Beschreibung

Testen Sie die Konnektivität zur Varonis Datensicherheit Platform mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Beispiele für Anwendungsfälle von Playbooks

Die Aktion wird verwendet, um die Verbindung auf der Seite „Integrationskonfiguration“ auf der Seite „Google SecOps Content Hub“ zu testen. Sie kann als manuelle Aktion ausgeführt werden und wird nicht in Playbooks verwendet.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
N/A
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Bei Erfolg: „Successfully connected to the Varonis Data Security Platform with the provided connection parameters!“ (Verbindung zur Varonis Datensicherheitsplattform mit den angegebenen Verbindungsparametern erfolgreich hergestellt!)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn nicht erfolgreich: „Failed to connect to the Varonis Data Security Platform! Error is {0}".format(exception.stacktrace)

Allgemein

Benachrichtigung ändern

Beschreibung

Benachrichtigung der Varonis Data Security Platform aktualisieren.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Warnungs-GUID CSV – Ja Geben Sie die GUID der Benachrichtigung für die Aktualisierung an. Diese Aktion kann für mehrere Benachrichtigungen ausgeführt werden. Mehrere Benachrichtigungen können als kommagetrennter String angegeben werden.
Benachrichtigungsstatus DDL

Wählen Sie eine Option aus.

Mögliche Werte:

  • Wählen Sie eine Option aus.
  • Öffnen
  • Wird überprüft
  • Geschlossen
 Ja Geben Sie den Benachrichtigungsstatus an, auf den aktualisiert werden soll.
Grund für die Schließung DDL

Nicht bereitgestellt

Mögliche Werte:

  • Nicht bereitgestellt
  • Behoben
  • Fehlerhafte Konfiguration
  • Bedrohungsmodell deaktiviert oder gelöscht
  • Falsche Klassifizierung des Kontos
  • Legitime Aktivität
  • Sonstiges
 Nein Geben Sie den Grund für das Schließen der Benachrichtigung an. Wenn der Status der Benachrichtigung in „Geschlossen“ geändert wird, muss ein Grund für das Schließen angegeben werden.

Beispiele für Anwendungsfälle von Playbooks

DatAdvantage-Benachrichtigung von Google SecOps aktualisieren.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
N/A
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn die Benachrichtigung aktualisiert wurde: „Alert(s) {0} were updated successfully“.format(list of alerts)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn die Benachrichtigung nicht aktualisiert werden konnte: „Failed to update alert(s) {0} due to following error {1}“.format(alert list, Fehlercode)

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Aktion ‚Benachrichtigung aktualisieren‘ konnte nicht ausgeführt werden! Error is {0}".format(exception.stacktrace)

Allgemein

Connectors

Varonis Data Security Platform Alerts Connector

Beschreibung

Mit dem Connector können Benachrichtigungen von der Varonis Data Security Platform abgerufen werden. Mit der dynamischen Liste des Connectors können Sie bestimmte Benachrichtigungen für die Aufnahme anhand des Benachrichtigungsnamens der Varonis Data Security Platform filtern.

Varonis Data Security Platform Alerts Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String device_product Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String Typ Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
PythonProcessTimeout Ganzzahl 300 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String https://{ip address}:{port} Ja Geben Sie die API-URL für die Zielinstanz der Varonis Data Security Platform an.
Nutzername String – Ja Geben Sie den Nutzernamen für die Verbindung an.
Passwort Passwort – Ja Geben Sie das Passwort für die Verbindung an.
Max. Tage zurück Ganzzahl 3 Ja Ruft Benachrichtigungen für die letzten X Tage ab.
Max. Anzahl an Benachrichtigungen pro Zyklus Ganzzahl 10 Ja X Benachrichtigungen pro Connector-Zyklus abrufen.
Maximale Anzahl von Ereignissen pro Varonis-Benachrichtigung Ganzzahl 25 Ja Maximale Anzahl von Ereignissen, die der Connector für die Benachrichtigung der Varonis Datensicherheitsplattform abruft.
Status CSV Offen, Wird überprüft, Geschlossen Ja Zu abrufende Status von Benachrichtigungen der Datensicherheitsplattform.
Schweregrad CSV Niedrig, Mittel, Hoch Ja Schweregrade der Benachrichtigungen der Datensicherheitsplattform, die abgerufen werden sollen.
Überlauf deaktivieren Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, ignoriert der Connector beim Erstellen von Benachrichtigungen den Überlaufmechanismus von Google SecOps.
Dynamische Liste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn aktiviert, verwendet der Connector die in der dynamischen Liste angegebenen Meldungsnamen als Sperrliste. Es werden nur Benachrichtigungen aufgenommen, die nicht mit der dynamischen Liste übereinstimmen.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird das für den API-Stamm konfigurierte Zertifikat validiert.
Vorlage für Benachrichtigungsnamen String [Name]

Wenn angegeben, verwendet der Connector diesen Wert für den Google SecOps-Benachrichtigungsnamen.

Sie können Platzhalter im folgenden Format angeben: [Name des Felds].

Beispiel: Varonis-Benachrichtigung – [Name].

Hinweis: Der Connector verwendet zuerst CSOAR-Ereignisse für Platzhalter.

Es werden nur Schlüssel mit Stringwerten verarbeitet.

Wenn nichts angegeben ist oder der Nutzer eine ungültige Vorlage angibt, verwendet der Connector den Standardnamen für Benachrichtigungen: [name].
Vorlage für den Regelgenerator String [Name]

Wenn angegeben, verwendet der Connector diesen Wert für den Google SecOps Rule Generator-Wert.

Sie können Platzhalter im folgenden Format angeben: [Name des Felds].

Beispiel: Varonis-Benachrichtigung – [Name].

Hinweis: Der Connector verwendet zuerst Google SecOps-Ereignisse für Platzhalter.

Es werden nur Schlüssel mit Stringwerten verarbeitet.

Wenn nichts angegeben ist oder der Nutzer eine ungültige Vorlage angibt, verwendet der Connector den Standardregelgenerator [name].
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten