Varonis Data Security Platform

Ce document explique comment intégrer la plate-forme de sécurité des données Varonis à Google SecOps.

Cas d'utilisation des produits

  1. Ingérez les alertes Varonis pour les analyser dans Google Security Operations.
  2. Mettez à jour les alertes Varonis depuis Google SecOps.

Product PermissionConfiguration

Pour configurer Varonis afin qu'il fonctionne avec Google SecOps, procédez comme suit :

  1. Un correctif d'API spécial doit être installé sur le déploiement DatAdvantage. Veuillez contacter l'équipe Varonis à ce sujet.
  2. L'utilisateur qui sera utilisé pour l'intégration doit disposer des rôles DatAdavantage "Web UI User" et "DatAlertConfiguration".

Configurer l'intégration de Varonis Data Security Platform dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Racine de l'API Chaîne https://{ip address}:{port} Oui Spécifiez l'URL de l'API pour l'instance Varonis Data Security cible.
Nom d'utilisateur Chaîne N/A Oui Spécifiez le nom d'utilisateur à utiliser pour la connexion.
Mot de passe Mot de passe N/A Oui Spécifiez le mot de passe à utiliser pour la connexion.
Vérifier le protocole SSL Case à cocher Cochée Oui Si cette option est activée, le certificat configuré pour la racine de l'API est validé.

Actions

Ping

Description

Testez la connectivité à Varonis Data Security Platform avec les paramètres fournis sur la page de configuration de l'intégration dans la page Google SecOps Content Hub.

Paramètres

N/A

Exemples de cas d'utilisation des playbooks

L'action est utilisée pour tester la connectivité sur la page de configuration de l'intégration de la page Google SecOps Content Hub. Elle peut être exécutée en tant qu'action manuelle, et non utilisée dans les playbooks.

Exécution

Cette action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success=False
Résultat JSON
N/A
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit : "Connexion à la plate-forme de sécurité des données Varonis établie avec les paramètres de connexion fournis."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si l'opération échoue : "Failed to connect to the Varonis Data Security Platform! Error is {0}".format(exception.stacktrace)

Général

Mettre à jour l'alerte

Description

Mettez à jour l'alerte Varonis Data Security Platform.

Paramètres

Nom du paramètre Type Valeur par défaut Est obligatoire Description
GUID de l'alerte CSV N/A Oui Spécifiez le GUID de l'alerte pour la mise à jour. Cette action peut être exécutée sur plusieurs alertes. Vous pouvez spécifier plusieurs alertes sous la forme d'une chaîne de valeurs séparées par une virgule.
État de l'alerte LDD

Sélectionnez une réponse

Valeurs possibles :

  • Sélectionnez une réponse
  • Ouvrir
  • Enquête en cours
  • Fermé
 Oui Spécifiez l'état d'alerte à appliquer.
Motif de la fermeture LDD

Non indiqué

Valeurs possibles :

  • Non indiqué
  • Résolu
  • Erreur de configuration
  • Modèle de menace désactivé ou supprimé
  • Classification incorrecte du compte
  • Activité légitime
  • Autre
 Non Spécifiez le motif de clôture de l'alerte. Lorsque l'état de l'alerte passe à "Fermée", vous devez indiquer un motif de fermeture.

Exemples de cas d'utilisation des playbooks

Mettez à jour l'alerte DatAdvantage depuis Google SecOps.

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success=False
Résultat JSON
N/A
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'alerte est mise à jour : "Alert(s) {0} were updated successfully".format(list of alerts)

L'action doit échouer et arrêter l'exécution d'un playbook :

Si la mise à jour de l'alerte échoue : "Failed to update alert(s) {0} due to following error {1}".format(alert list, code d'erreur)

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Échec de l'exécution de l'action "Mettre à jour l'alerte" ! Error is {0}".format(exception.stacktrace)

Général

Connecteurs

Connecteur d'alertes de la plate-forme de sécurité des données Varonis

Description

Le connecteur peut être utilisé pour récupérer des alertes depuis la plate-forme de sécurité des données Varonis. La liste dynamique du connecteur peut être utilisée pour filtrer des alertes spécifiques à ingérer en fonction du nom de l'alerte Varonis Data Security Platform.

Configurer le connecteur d'alertes Varonis Data Security Platform dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom du champ de produit Chaîne device_product Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne Type Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ d'environnement Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.
Modèle d'expression régulière de l'environnement Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
PythonProcessTimeout Integer 300 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne https://{ip address}:{port} Oui Spécifiez l'URL de l'API pour l'instance cible de la plate-forme de sécurité des données Varonis.
Nom d'utilisateur Chaîne N/A Oui Spécifiez le nom d'utilisateur à utiliser pour la connexion.
Mot de passe Mot de passe N/A Oui Spécifiez le mot de passe à utiliser pour la connexion.
Nombre maximal de jours en arrière Integer 3 Oui Récupérer les alertes des X derniers jours.
Nombre maximal d'alertes par cycle Integer 10 Oui Récupérer X alertes par cycle de connecteur.
Nombre maximal d'événements par alerte Varonis Integer 25 Oui Nombre maximal d'événements que le connecteur récupère pour l'alerte Varonis Data Security Platform.
État CSV Ouvert, Enquête en cours, Fermé Oui États d'alerte de la plate-forme de sécurité des données à récupérer.
Gravité CSV Faible, Moyen, Élevé Oui Niveaux de gravité des alertes de la plate-forme de sécurité des données à récupérer.
Désactiver le dépassement Case à cocher Cochée Non Si cette option est activée, le connecteur ignore le mécanisme de dépassement de Google SecOps lors de la création d'alertes.
Utiliser une liste dynamique comme liste de blocage Case à cocher Décochée Oui Si cette option est activée, le connecteur utilise les noms d'alerte spécifiés dans la liste dynamique comme liste de blocage. Il n'ingère que les alertes qui ne correspondent pas à la liste dynamique.
Vérifier le protocole SSL Case à cocher Cochée Oui Si cette option est activée, le certificat configuré pour la racine de l'API est validé.
Modèle de nom d'alerte Chaîne [Nom]

Si elle est fournie, le connecteur utilise cette valeur pour le nom de l'alerte Google SecOps.

Vous pouvez fournir des espaces réservés au format suivant : [nom du champ].

Exemple : Alerte Varonis - [nom].

Remarque : Le connecteur utilise d'abord l'événement CSOAR pour les espaces réservés.

Seules les clés ayant une valeur de chaîne sont gérées.

Si rien n'est fourni ou si l'utilisateur fournit un modèle non valide, le connecteur utilise le nom d'alerte par défaut : [name].
Modèle de générateur de règles Chaîne [Nom]

Si elle est fournie, le connecteur utilise cette valeur pour la valeur du générateur de règles Google SecOps.

Vous pouvez fournir des espaces réservés au format suivant : [nom du champ].

Exemple : Alerte Varonis - [nom].

Remarque : Le connecteur utilise d'abord l'événement Google SecOps pour les espaces réservés.

Seules les clés ayant une valeur de chaîne sont gérées.

Si rien n'est fourni ou si l'utilisateur fournit un modèle non valide, le connecteur utilise le générateur de règles par défaut : [name].
Adresse du serveur proxy Chaîne N/A Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne N/A Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe N/A Non Mot de passe du proxy pour l'authentification.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec les proxys.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.