Plataforma de seguridad de datos de Varonis

Versión de integración: 4.0

Casos de uso del producto

  1. Transfiere alertas de Varonis para su análisis en Google Security Operations.
  2. Actualiza las alertas de Varonis desde Google SecOps.

Product PermissionConfiguration

Para configurar Varonis para que funcione con Google SecOps, se deben seguir los siguientes pasos:

  1. Se debe instalar un parche especial de la API en la implementación de DatAdvantage. Comunícate con el equipo de Varonis para obtener más información.
  2. El usuario que se usará para la integración debe tener los roles "Usuario de la IU web" y "DatAlertConfiguration" de DatAdantage.

Configura la integración de la plataforma de seguridad de datos de Varonis en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la API String https://{ip address}:{port} Sí Especifica la URL de la API para la instancia de Varonis Data Security de destino.
Nombre de usuario String N/A Sí Especifica el nombre de usuario con el que te conectarás.
Contraseña Contraseña N/A Sí Especifica la contraseña con la que te conectarás.
Verificar SSL Casilla de verificación Marcado Sí Si está habilitado, se valida el certificado configurado para la raíz de la API.

Acciones

Ping

Descripción

Prueba la conectividad con la plataforma de seguridad de datos de Varonis con los parámetros proporcionados en la página de configuración de la integración en la pestaña Google Security Operations Marketplace.

Parámetros

N/A

Ejemplos de casos de uso de manuales

La acción se usa para probar la conectividad en la página de configuración de la integración en la pestaña Google Security Operations Marketplace y se puede ejecutar como una acción manual, no se usa en los playbooks.

Fecha de ejecución

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success=False
Resultado de JSON
N/A
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la conexión se realiza correctamente: "Successfully connected to the Varonis Data Security Platform with the provided connection parameters!"

La acción debería fallar y detener la ejecución de la guía:

Si no se realiza correctamente: "No se pudo conectar a la plataforma de seguridad de datos de Varonis. Error is {0}".format(exception.stacktrace)

General

Actualizar alerta

Descripción

Actualiza la alerta de la plataforma de seguridad de datos de Varonis.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Es obligatorio Descripción
GUID de alerta CSV N/A Sí Especifica el GUID de la alerta para la actualización. Esta acción se puede ejecutar en varias alertas. Se pueden especificar varias alertas como una cadena separada por comas.
Estado de alertas DDL

Selecciona una opción

Valores posibles:

  • Selecciona una opción
  • Abrir
  • En investigación
  • Cerrado
 Sí Especifica el estado de la alerta al que se actualizará.
Motivo del cierre DDL

No se proporcionó

Valores posibles:

  • No se proporcionó
  • Resuelto
  • Configuración incorrecta
  • Se inhabilitó o borró el modelo de amenazas
  • Clasificación errónea de la cuenta
  • Actividad legítima
  • Otro
 No Especifica el motivo de cierre de la alerta. Cuando el estado de la alerta cambia a "cerrada", se debe especificar el motivo del cierre.

Ejemplos de casos de uso de manuales

Se actualizó la alerta de DatAdvantage de Google SecOps.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success=False
Resultado de JSON
N/A
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la alerta se actualiza correctamente: "Las alertas {0} se actualizaron correctamente".format(lista de alertas)

La acción debería fallar y detener la ejecución de la guía:

Si no se pudo actualizar la alerta: "No se pudieron actualizar las alertas {0} debido al siguiente error {1}".format(lista de alertas, código de error)

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, se mostrará el mensaje "Failed to execute "Update Alert" action!". Error is {0}".format(exception.stacktrace)

General

Conectores

Conector de alertas de la plataforma de seguridad de datos de Varonis

Descripción

El conector se puede usar para recuperar alertas de la plataforma de seguridad de datos de Varonis. La lista dinámica del conector se puede usar para filtrar alertas específicas para la transferencia según el nombre de la alerta de la plataforma de seguridad de datos de Varonis.

Configura el conector de alertas de la plataforma de seguridad de datos de Varonis en Google SecOps

Si quieres obtener instrucciones detalladas para configurar un conector en Google SecOps, consulta Cómo configurar el conector.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo del producto String device_product Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento String Tipo Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo del evento.
Nombre del campo del entorno String "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo del entorno, se usa el entorno predeterminado.
Patrón de expresión regular del entorno String .* No

Es un patrón de regex que se ejecutará en el valor que se encuentra en el campo "Nombre del campo del entorno".

El valor predeterminado es .* para capturar todo y devolver el valor sin cambios.

Se usa para permitir que el usuario manipule el campo del entorno a través de la lógica de regex.

Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
PythonProcessTimeout Número entero 300 Sí Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API String https://{ip address}:{port} Sí Especifica la URL de la API para la instancia de la plataforma de seguridad de datos de Varonis de destino.
Nombre de usuario String N/A Sí Especifica el nombre de usuario con el que te conectarás.
Contraseña Contraseña N/A Sí Especifica la contraseña con la que te conectarás.
Máx. de días hacia atrás Número entero 3 Sí Recupera las alertas de X días anteriores.
Cantidad máxima de alertas por ciclo Número entero 10 Sí Recupera X alertas por ciclo del conector.
Cantidad máxima de eventos por alerta de Varonis Número entero 25 Sí Es la cantidad máxima de eventos que recupera el conector para la alerta de la plataforma de seguridad de datos de Varonis.
Estado CSV Abierta, En investigación, Cerrada Sí Son los estados de alerta de la Plataforma de seguridad de datos que se recuperarán.
Gravedad CSV Baja, media y alta Sí Es la gravedad de las alertas de la plataforma de seguridad de datos que se recuperarán.
Inhabilita el desbordamiento Casilla de verificación Marcado No Si se habilita, el conector ignora el mecanismo de desbordamiento de Google SecOps cuando crea alertas.
Usar la lista dinámica como lista de bloqueo Casilla de verificación Desmarcado Sí Si está habilitado, el conector usa los nombres de alerta especificados en la lista dinámica como una lista de bloqueo. Solo se transfieren las alertas que no coinciden con la Lista dinámica.
Verificar SSL Casilla de verificación Marcado Sí Si está habilitado, se valida el certificado configurado para la raíz de la API.
Plantilla de nombre de alerta String [Nombre]

Si se proporciona, el conector usa este valor para el nombre de la alerta de Google SecOps.

Puedes proporcionar marcadores de posición en el siguiente formato: [nombre del campo].

Ejemplo: Alerta de Varonis: [nombre].

Nota: Primero, el conector usa el evento CSOAR para los marcadores de posición.

Solo se controlan las claves que tienen un valor de cadena.

Si no se proporciona nada o el usuario proporciona una plantilla no válida, el conector usa el nombre de alerta predeterminado: [nombre].
Plantilla del generador de reglas String [Nombre]

Si se proporciona, el conector usa este valor para el valor del generador de reglas de SecOps de Google.

Puedes proporcionar marcadores de posición en el siguiente formato: [nombre del campo].

Ejemplo: Alerta de Varonis: [nombre].

Nota: El conector primero usa el evento de SecOps de Google para los marcadores de posición.

Solo se controlan las claves que tienen un valor de cadena.

Si no se proporciona nada o el usuario proporciona una plantilla no válida, el conector usa el generador de reglas predeterminado: [name].
Dirección del servidor proxy String N/A No Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy String N/A No Nombre de usuario del proxy con el que se realizará la autenticación.
Contraseña de proxy Contraseña N/A No Contraseña del proxy para la autenticación.

Reglas del conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.