Varonis Data Security Platform

Questo documento fornisce indicazioni su come integrare Varonis Data Security Platform con Google SecOps.

Casi d'uso del prodotto

  1. Importa gli avvisi di Varonis per l'analisi in Google Security Operations.
  2. Aggiorna gli avvisi Varonis da Google SecOps.

Product PermissionConfiguration

Per configurare Varonis in modo che funzioni con Google SecOps, devi seguire questi passaggi:

  1. È necessario installare una patch API speciale nel deployment di DatAdvantage. Contatta il team di Varonis per informazioni.
  2. L'utente che verrà utilizzato per l'integrazione deve disporre dei ruoli DatAdavantage "Web UI User" e "DatAlertConfiguration".

Configura l'integrazione di Varonis Data Security Platform in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Root API Stringa https://{ip address}:{port} Sì Specifica l'URL dell'API per l'istanza Varonis per la sicurezza dei dati di destinazione.
Nome utente Stringa N/D Sì Specifica il nome utente con cui connetterti.
Password Password N/D Sì Specifica la password per la connessione.
Verifica SSL Casella di controllo Selezionata Sì Se abilitato, il certificato configurato per la radice dell'API viene convalidato.

Azioni

Dindin

Descrizione

Testa la connettività alla piattaforma di sicurezza dei dati Varonis con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Esempi di casi d'uso dei playbook

L'azione viene utilizzata per testare la connettività nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub e può essere eseguita come azione manuale, non utilizzata nei playbook.

Pubblica su

Questa azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
N/A
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: "Connessione alla piattaforma di sicurezza dei dati Varonis riuscita con i parametri di connessione forniti".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

In caso contrario: "Impossibile connettersi alla piattaforma di sicurezza dei dati Varonis. Error is {0}".format(exception.stacktrace)

Generale

Aggiorna avviso

Descrizione

Aggiorna l'avviso di Varonis Data Security Platform.

Parametri

Nome parametro Tipo Valore predefinito Is Mandatory Descrizione
GUID avviso CSV N/D Sì Specifica il GUID dell'avviso per l'aggiornamento. Questa azione può essere eseguita su più avvisi. È possibile specificare più avvisi come stringa separata da virgole.
Stato avviso DDL

Selezionane uno

Valori possibili:

  • Selezionane uno
  • Apri
  • Indagine in corso
  • Chiuso
 Sì Specifica lo stato dell'avviso da aggiornare.
Motivo della chiusura DDL

Non fornito

Valori possibili:

  • Non fornito
  • Risolto
  • Configurazione errata
  • Modellazione delle minacce disabilitata o eliminata
  • Classificazione errata dell'account
  • Attività legittima
  • Altro
 No Specifica il motivo della chiusura dell'avviso. Quando lo stato dell'avviso viene modificato in "Chiuso", è necessario specificare il motivo della chiusura.

Esempi di casi d'uso dei playbook

Aggiorna l'avviso DatAdvantage da Google SecOps.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
N/A
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'avviso viene aggiornato correttamente: "Alert(s) {0} were updated successfully".format(list of alerts)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se l'aggiornamento dell'avviso non è riuscito: "Impossibile aggiornare gli avvisi {0} a causa del seguente codice di errore {1}".format(alert list, error code)

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Failed to execute "Update Alert" action! Error is {0}".format(exception.stacktrace)

Generale

Connettori

Connettore degli avvisi di Varonis Data Security Platform

Descrizione

Il connettore può essere utilizzato per recuperare gli avvisi dalla piattaforma di sicurezza dei dati Varonis. L'elenco dinamico del connettore può essere utilizzato per filtrare avvisi specifici per l'importazione in base al nome dell'avviso della piattaforma di sicurezza dei dati Varonis.

Configura il connettore degli avvisi di Varonis Data Security Platform in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa device_product Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa Tipo Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
PythonProcessTimeout Numero intero 300 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Root API Stringa https://{ip address}:{port} Sì Specifica l'URL dell'API per l'istanza Varonis Data Security Platform di destinazione.
Nome utente Stringa N/D Sì Specifica il nome utente con cui connetterti.
Password Password N/D Sì Specifica la password per la connessione.
Numero massimo di giorni indietro Numero intero 3 Sì Recupera gli avvisi relativi agli X giorni precedenti.
Numero massimo di avvisi per ciclo Numero intero 10 Sì Recupera X avvisi per ciclo del connettore.
Numero massimo di eventi per avviso Varonis Numero intero 25 Sì Numero massimo di eventi recuperati dal connettore per l'avviso di Varonis Data Security Platform.
Stato CSV Aperta, Indagine in corso, Chiusa Sì Stati degli avvisi della piattaforma di sicurezza dei dati da recuperare.
Gravità CSV Basso, Medio, Alto Sì Gravità degli avvisi della piattaforma di sicurezza dei dati da recuperare.
Disattiva overflow Casella di controllo Selezionata No Se abilitato, il connettore ignora il meccanismo di overflow di Google SecOps durante la creazione degli avvisi.
Utilizza l'elenco dinamico come lista bloccata Casella di controllo Deselezionata Sì Se questa opzione è abilitata, il connettore utilizza i nomi degli avvisi specificati nell'elenco dinamico come elenco di blocco. Importa solo gli avvisi che non corrispondono all'elenco dinamico.
Verifica SSL Casella di controllo Selezionata Sì Se abilitato, il certificato configurato per la radice dell'API viene convalidato.
Modello di nome dell'avviso Stringa [Name]

Se fornito, il connettore utilizza questo valore per il nome dell'avviso di Google SecOps.

Puoi fornire segnaposto nel seguente formato: [nome del campo].

Esempio: Avviso Varonis - [nome].

Nota: il connettore utilizza prima l'evento CSOAR per i segnaposto.

Vengono gestite solo le chiavi con valore stringa.

Se non viene fornito nulla o se l'utente fornisce un modello non valido, il connettore utilizza il nome dell'avviso predefinito: [name].
Modello del generatore di regole Stringa [Name]

Se fornito, il connettore utilizza questo valore per il valore del generatore di regole di Google SecOps.

Puoi fornire segnaposto nel seguente formato: [nome del campo].

Esempio: Avviso Varonis - [nome].

Nota: il connettore utilizza prima l'evento Google SecOps per i segnaposto.

Vengono gestite solo le chiavi con valore stringa.

Se non viene fornito nulla o se l'utente fornisce un modello non valido, il connettore utilizza il generatore di regole predefinito: [name].
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.