Varonis Data Security Platform

En este documento, se proporcionan instrucciones para integrar la plataforma de seguridad de los datos de Varonis en Google SecOps.

Casos de uso de productos

  1. Transferir alertas de Varonis para su análisis en Google Security Operations
  2. Actualiza las alertas de Varonis desde Google SecOps.

PermissionConfiguration del producto

Para configurar Varonis de modo que funcione con Google SecOps, se deben seguir estos pasos:

  1. Se debe instalar un parche de API especial en la implementación de DatAdvantage. Comunícate con el equipo de Varonis para obtener más información.
  2. El usuario que se usará para la integración debe tener los roles "Web UI User" y "DatAlertConfiguration" de DatAdavantage.

Configura la integración de Varonis Data Security Platform en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la API String https://{ip address}:{port} Sí Especifica la URL de la API para la instancia de seguridad de los datos de Varonis de destino.
Nombre de usuario String N/A Sí Especifica el nombre de usuario con el que se establecerá la conexión.
Contraseña Contraseña N/A Sí Especifica la contraseña para conectarte.
Verificar SSL Casilla de verificación Marcado Sí Si se habilita, se valida el certificado configurado para la raíz de la API.

Acciones

Ping

Descripción

Prueba la conectividad con la plataforma de seguridad de los datos de Varonis con los parámetros proporcionados en la página de configuración de la integración en la página de Google SecOps Content Hub.

Parámetros

N/A

Ejemplos de casos de uso de guías

La acción se usa para probar la conectividad en la página de configuración de la integración en la página de Google SecOps Content Hub, y se puede ejecutar como una acción manual, no se usa en las guías.

Fecha de ejecución

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
N/A
Muro de casos
Tipo de resultado Valor / Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se realiza correctamente: "Conectado correctamente a la plataforma de seguridad de los datos de Varonis con los parámetros de conexión proporcionados."

La acción debería fallar y detener la ejecución de una guía:

Si no se realiza correctamente: "Failed to connect to the Varonis Data Security Platform! Error is {0}".format(exception.stacktrace)

General

Actualizar alerta

Descripción

Actualiza la alerta de la plataforma de seguridad de los datos de Varonis.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Es obligatorio Descripción
GUID de la alerta CSV N/A Sí Especifica el GUID de la alerta para la actualización. Esta acción se puede ejecutar en varias alertas. Se pueden especificar varias alertas como una cadena separada por comas.
Estado de alertas DDL

Selecciona una opción

Valores posibles:

  • Selecciona una opción
  • Abrir
  • Bajo investigación
  • Cerrado
 Sí Especifica el estado de la alerta al que se actualizará.
Motivo del cierre DDL

No proporcionada

Valores posibles:

  • No proporcionada
  • Resuelto
  • Configuración incorrecta
  • Modelo de amenazas inhabilitado o borrado
  • Clasificación errónea de la cuenta
  • Actividad legítima
  • Otro
 No Especifica el motivo del cierre de la alerta. Cuando el estado de la alerta cambia a "cerrada", se debe especificar el motivo del cierre.

Ejemplos de casos de uso de guías

Actualiza la alerta de DatAdvantage desde Google SecOps.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
N/A
Muro de casos
Tipo de resultado Valor / Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la alerta se actualiza correctamente: "Alert(s) {0} were updated successfully".format(list of alerts)

La acción debería fallar y detener la ejecución de una guía:

Si no se pudo actualizar la alerta: "Failed to update alert(s) {0} due to following error {1}".format(alert list, error code)

Si se informa un error fatal, como credenciales incorrectas, falta de conexión al servidor, etc.: "Failed to execute "Update Alert" action! Error is {0}".format(exception.stacktrace)

General

Conectores

Conector de alertas de Varonis Data Security Platform

Descripción

El conector se puede usar para recuperar alertas de la plataforma de seguridad de los datos de Varonis. La lista dinámica del conector se puede usar para filtrar alertas específicas para la transferencia según el nombre de la alerta de Varonis Data Security Platform.

Configura el conector de alertas de Varonis Data Security Platform en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta Configura el conector.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo del producto String device_product Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento String Tipo Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo de evento.
Nombre del campo de entorno String "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo de entorno, el entorno es el predeterminado.
Patrón de regex del entorno String .* No

Es un patrón de regex que se ejecuta en el valor que se encuentra en el campo "Nombre del campo de entorno".

El valor predeterminado es .* para capturar todo y devolver el valor sin cambios.

Se usa para permitir que el usuario manipule el campo de entorno a través de la lógica de regex.

Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
PythonProcessTimeout Número entero 300 Sí Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API String https://{ip address}:{port} Sí Especifica la URL de la API para la instancia de destino de Varonis Data Security Platform.
Nombre de usuario String N/A Sí Especifica el nombre de usuario con el que se establecerá la conexión.
Contraseña Contraseña N/A Sí Especifica la contraseña para conectarte.
Cantidad máxima de días hacia atrás Número entero 3 Sí Recupera alertas de X días atrás.
Cantidad máxima de alertas por ciclo Número entero 10 Sí Recupera X alertas por ciclo del conector.
Cantidad máxima de eventos por alerta de Varonis Número entero 25 Sí Es la cantidad máxima de eventos que recupera el conector para la alerta de Varonis Data Security Platform.
Estado CSV Abierto, Bajo investigación, Cerrado Sí Son los estados de las alertas de la plataforma de seguridad de los datos que se recuperarán.
Gravedad CSV Bajo, Medio, Alto Sí Son los niveles de gravedad de las alertas de la plataforma de seguridad de los datos que se recuperarán.
Inhabilitar desbordamiento Casilla de verificación Marcado No Si se habilita, el conector ignora el mecanismo de desbordamiento de Google SecOps cuando crea alertas.
Usa la lista dinámica como lista de entidades bloqueadas Casilla de verificación Desmarcado Sí Si se habilita, el conector usa los nombres de alerta especificados en la lista dinámica como una lista de entidades bloqueadas. Solo transfiere las alertas que no coinciden con la lista dinámica.
Verificar SSL Casilla de verificación Marcado Sí Si se habilita, se valida el certificado configurado para la raíz de la API.
Plantilla de nombre de alerta String [Nombre]

Si se proporciona, el conector usa este valor para el nombre de la alerta de Google SecOps.

Puedes proporcionar marcadores de posición con el siguiente formato: [nombre del campo].

Ejemplo: Alerta de Varonis: [nombre].

Nota: El conector primero usa el evento de CSOAR para los marcadores de posición.

Solo se controlan las claves que tienen un valor de cadena.

Si no se proporciona nada o el usuario proporciona una plantilla no válida, el conector usa el nombre de alerta predeterminado: [name].
Plantilla del generador de reglas String [Nombre]

Si se proporciona, el conector usa este valor para el valor del generador de reglas de Google SecOps.

Puedes proporcionar marcadores de posición con el siguiente formato: [nombre del campo].

Ejemplo: Alerta de Varonis: [nombre].

Nota: El conector primero usa el evento de Google SecOps para los marcadores de posición.

Solo se controlan las claves que tienen un valor de cadena.

Si no se proporciona nada o el usuario proporciona una plantilla no válida, el conector usa el generador de reglas predeterminado: [name].
Dirección del servidor proxy String N/A No Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy String N/A No Es el nombre de usuario del proxy con el que se autenticará.
Contraseña del proxy Contraseña N/A No Es la contraseña del proxy con la que se realizará la autenticación.

Reglas de conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.