Varonis Data Security Platform
במסמך הזה מוסבר איך לשלב את Varonis Data Security Platform עם Google SecOps.
תרחישי שימוש במוצר
- הטמעת התראות של Varonis לניתוח ב-Google Security Operations.
- מעדכנים את ההתראות של Varonis מ-Google SecOps.
Product PermissionConfiguration
כדי להגדיר את Varonis כך שיפעל עם Google SecOps, צריך לבצע את הפעולות הבאות:
- צריך להתקין תיקון API מיוחד בפריסה של DatAdvantage. פנו לצוות של Varonis בנושא.
- למשתמש שבו משתמשים לשילוב צריכים להיות התפקידים DatAdavantage "Web UI User" ו-"DatAlertConfiguration".
הגדרת השילוב של Varonis Data Security Platform ב-Google SecOps
איך מגדירים שילובים ב-Google SecOps
פרמטרים של שילוב
כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:
| שם הפרמטר לתצוגה | סוג | ערך ברירת המחדל | חובה | תיאור |
|---|---|---|---|---|
| הרמה הבסיסית (root) של ה-API | String | https://{ip address}:{port} | כן | צריך לציין את כתובת ה-URL של ה-API של המכונה של Varonis אבטחת מידע. |
| שם משתמש | String | לא רלוונטי | כן | מציינים את שם המשתמש שאיתו רוצים להתחבר. |
| סיסמה | סיסמה | לא רלוונטי | כן | מציינים את הסיסמה להתחברות. |
| אימות SSL | תיבת סימון | סימן אישור | כן | אם המדיניות מופעלת, האישור שהוגדר לשורש ה-API מאומת. |
פעולות
פינג
תיאור
בודקים את הקישוריות ל-Varonis Data Security Platform באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בדף Google SecOps Content Hub.
פרמטרים
לא רלוונטי
דוגמאות לתרחישים לדוגמה של פלייבוקים
הפעולה משמשת לבדיקת הקישוריות בדף הגדרת השילוב בדף Google SecOps Content Hub, ואפשר לבצע אותה כפעולה ידנית, לא במסגרת פלייבוקים.
הפעלה ב-
הפעולה הזו לא פועלת על ישויות, ואין לה פרמטרים של קלט חובה.
תוצאות הפעולה
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות לערכים | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success=False |
תוצאת JSON
N/A
קיר נרתיקים
| סוג התוצאות | ערך / תיאור | סוג | |
|---|---|---|---|
| הודעת פלט* | הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם החיבור הצליח: "החיבור ל-Varonis Data Security Platform בוצע בהצלחה באמצעות פרמטרי החיבור שסופקו". הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם החיבור נכשל: "החיבור ל-Varonis Data Security Platform נכשל. השגיאה היא {0}".format(exception.stacktrace) |
כללי |
התראה על עדכון
תיאור
עדכון התראה של Varonis Data Security Platform.
פרמטרים
| שם הפרמטר | סוג | ערך ברירת המחדל | חובה | תיאור |
|---|---|---|---|---|
| ה-GUID של ההתראה | CSV | לא רלוונטי | כן | צריך לציין את ה-GUID של ההתראה לעדכון. אפשר להפעיל את הפעולה הזו על כמה התראות. אפשר לציין כמה התראות כמחרוזת מופרדת בפסיקים. |
| סטטוס ההתראה | DDL | יש לבחור טווח ערכים אפשריים:
|
כן | מציינים את סטטוס ההתראה שרוצים לעדכן. |
| הסיבה לסגירה | DDL | לא צוין ערכים אפשריים:
|
לא | מציינים את הסיבה לסגירת ההתראה. כשסטטוס ההתראה משתנה ל "סגורה", צריך לציין את סיבת הסגירה. |
דוגמאות לתרחישים לדוגמה של פלייבוקים
עדכון התראה של DatAdvantage מ-Google SecOps.
הפעלה ב-
הפעולה הזו לא פועלת על ישויות.
תוצאות הפעולה
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות לערכים | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success=False |
תוצאת JSON
N/A
קיר נרתיקים
| סוג התוצאות | ערך / תיאור | סוג | |
|---|---|---|---|
| הודעת פלט* | הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם ההתראה עודכנה בהצלחה: "ההתראות {0} עודכנו בהצלחה".format(רשימת ההתראות) הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם העדכון של ההתראה נכשל: "Failed to update alert(s) {0} due to following error {1}".format(alert list, error code) אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "הפעולה 'עדכון התראה' נכשלה! השגיאה היא {0}".format(exception.stacktrace) |
כללי |
מחברים
מחבר ההתראות של Varonis Data Security Platform
תיאור
אפשר להשתמש במחבר כדי לאחזר התראות מ-Varonis Data Security Platform. אפשר להשתמש ברשימה הדינמית של המחבר כדי לסנן התראות ספציפיות להטמעה על סמך שם ההתראה ב-Varonis Data Security Platform.
הגדרת מחבר ההתראות של Varonis Data Security Platform ב-Google SecOps
הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.
פרמטרים של מחברים
כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:
| שם הפרמטר לתצוגה | סוג | ערך ברירת המחדל | חובה | תיאור |
|---|---|---|---|---|
| שם שדה המוצר | String | device_product | כן | מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר. |
| שם השדה של האירוע | String | סוג | כן | מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע. |
| שם השדה של הסביבה | String | "" | לא | מתאר את שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל. |
| תבנית ביטוי רגולרי של סביבה | String | .* | לא | תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה". ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי. משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל. |
| PythonProcessTimeout | מספר שלם | 300 | כן | מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי. |
| הרמה הבסיסית (root) של ה-API | String | https://{ip address}:{port} | כן | צריך לציין את כתובת ה-API של המכונה של Varonis Data Security Platform. |
| שם משתמש | String | לא רלוונטי | כן | מציינים את שם המשתמש שאיתו רוצים להתחבר. |
| סיסמה | סיסמה | לא רלוונטי | כן | מציינים את הסיסמה להתחברות. |
| מספר הימים המקסימלי אחורה | מספר שלם | 3 | כן | אחזור התראות X ימים אחורה. |
| מספר ההתראות המקסימלי בכל מחזור | מספר שלם | 10 | כן | אחזור של X התראות בכל מחזור של המחבר. |
| מספר האירועים המקסימלי לכל התראה של Varonis | מספר שלם | 25 | כן | מספר האירועים המקסימלי שהמחבר מאחזר להתראה של Varonis פלטפורמת אבטחת מידע. |
| סטטוס | CSV | פתוח, בבדיקה, סגור | כן | סטטוסים של התראות מפלטפורמת אבטחת המידע שצריך לאחזר. |
| חוּמרה | CSV | נמוך, בינוני, גבוה | כן | רמות החומרה של ההתראות של פלטפורמת אבטחת המידע שצריך לאחזר. |
| השבתת התפריט הנפתח | תיבת סימון | סימן אישור | לא | אם ההגדרה מופעלת, המחבר מתעלם ממנגנון ההצפה של Google SecOps כשהוא יוצר התראות. |
| שימוש ברשימה דינמית כרשימת חסימה | תיבת סימון | התיבה לא מסומנת | כן | אם המדיניות מופעלת, המחבר משתמש בשמות ההתראות שצוינו ברשימה הדינמית כרשימת חסימה. הוא מטמיע רק התראות שלא תואמות לרשימה הדינמית. |
| אימות SSL | תיבת סימון | סימן אישור | כן | אם המדיניות מופעלת, האישור שהוגדר לשורש ה-API מאומת. |
| תבנית לשם ההתראה | String | [Name] | אם הוא מסופק, המחבר משתמש בערך הזה בתור שם ההתראה ב-Google SecOps. אפשר להוסיף פלייסהולדרים בפורמט הבא: [שם השדה]. דוגמה: התראה של Varonis – [שם]. הערה: המחבר משתמש קודם באירוע CSOAR לפלייסהולדרים. המערכת מטפלת רק במפתחות שיש להם ערך מחרוזת. אם לא צוין דבר או שהמשתמש ציין תבנית לא חוקית, המחבר משתמש בשם ברירת המחדל של ההתראה – [name]. |
|
| תבנית של RuleGenerator | String | [Name] | אם הוא מסופק, המחבר משתמש בערך הזה בתור הערך של Google SecOps Rule Generator. אפשר להוסיף פלייסהולדרים בפורמט הבא: [שם השדה]. דוגמה: התראה של Varonis – [שם]. הערה: המחבר משתמש קודם באירוע של Google SecOps בשביל פלייסהולדרים. המערכת מטפלת רק במפתחות שיש להם ערך מחרוזת. אם לא צוין דבר או שהמשתמש ציין תבנית לא חוקית, המחבר ישתמש במחולל הכללים שמוגדר כברירת מחדל – [name]. |
|
| כתובת שרת ה-Proxy | String | לא רלוונטי | לא | הכתובת של שרת ה-Proxy שבו רוצים להשתמש. |
| שם המשתמש בשרת ה-proxy | String | לא רלוונטי | לא | שם המשתמש של שרת ה-proxy לאימות. |
| סיסמת שרת ה-Proxy | סיסמה | לא רלוונטי | לא | הסיסמה לאימות מול שרת ה-proxy. |
כללי מחברים
תמיכה בשרת proxy
המחבר תומך בשרת proxy.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.