Varonis Data Security Platform
本文說明如何將 Varonis Data Security Platform 與 Google SecOps 整合。
產品用途
- 擷取 Varonis 警示，在 Google Security Operations 進行分析。
- 更新 Google SecOps 的 Varonis 警示。
產品權限設定
如要設定 Varonis 與 Google SecOps 搭配使用，請按照下列步驟操作：
- DatAdvantage 部署作業需要安裝特殊 API 修補程式，請與 Varonis 團隊聯絡。
- 用於整合的使用者應具備 DatAdavantage「Web UI User」和「DatAlertConfiguration」角色。
在 Google SecOps 中設定 Varonis 資料安全性平台整合
如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。
整合參數
請使用下列參數設定整合：
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| API 根層級 | 字串 | https://{ip address}:{port} | 是 | 指定目標 Varonis 資料安全性 執行個體的 API 網址。 |
| 使用者名稱 | 字串 | 不適用 | 是 | 指定要連線的使用者名稱。 |
| 密碼 | 密碼 | 不適用 | 是 | 指定連線密碼。 |
| 驗證 SSL | 核取方塊 | 已勾選 | 是 | 如果啟用，系統會驗證為 API 根目錄設定的憑證。 |
動作
乒乓
說明
在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Varonis 資料安全性 Platform 的連線能力。
參數
不適用
應對手冊用途範例
這項動作可用於在 Google SecOps Content Hub 頁面的整合設定頁面測試連線能力，並可做為人工判決處罰執行，不適用於教戰手冊。
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
N/A
案件總覽
| 結果類型 | 值 / 說明 | 類型 | |
|---|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果成功：「已使用提供的連線參數成功連線至 Varonis 資料安全性 Platform！」 動作應失敗並停止執行應對手冊： 如果未成功：「Failed to connect to the Varonis 資料安全性 Platform! Error is {0}".format(exception.stacktrace) |
一般 |
更新警告內容
說明
更新 Varonis Data Security Platform 快訊。
參數
| 參數名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 快訊 GUID | CSV | 不適用 | 是 | 指定要更新的快訊 GUID。這項動作可對多個快訊執行。如要指定多個快訊，請以半形逗號分隔。 |
| 警告狀態 | DDL | 請選取一項 可能的值包括：
|
是 | 指定要更新的警告狀態。 |
| 關閉原因 | DDL | 未提供 可能的值包括：
|
否 | 指定快訊的關閉原因。將快訊狀態變更為「已關閉」時，必須指定關閉原因。 |
應對手冊用途範例
更新 Google SecOps 的 DatAdvantage 警示。
執行日期
這項動作不會對實體執行。
動作執行結果
指令碼執行結果
| 指令碼結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
N/A
案件總覽
| 結果類型 | 值 / 說明 | 類型 | |
|---|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果快訊更新成功：「快訊 {0} 已更新成功」。format(list of alerts) 動作應失敗並停止執行應對手冊： 如果無法更新快訊：「Failed to update alert(s) {0} due to following error {1}」.format(alert list, error code) 如果發生嚴重錯誤 (例如憑證錯誤、無法連線至伺服器等)，系統會回報：「無法執行『更新快訊』動作！Error is {0}".format(exception.stacktrace) |
一般 |
連接器
Varonis Data Security Platform 警示連接器
說明
這個連接器可用於從 Varonis 資料安全性 Platform 擷取警示。連接器動態清單可用於根據 Varonis 資料安全性 Platform 警告名稱，篩選要擷取的特定警告。
在 Google SecOps 中設定 Varonis 資料安全性平台快訊連接器
如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。
連接器參數
使用下列參數設定連接器：
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 產品欄位名稱 | 字串 | device_product | 是 | 輸入來源欄位名稱，擷取產品欄位名稱。 |
| 事件欄位名稱 | 字串 | 類型 | 是 | 輸入來源欄位名稱，擷取事件欄位名稱。 |
| 環境欄位名稱 | 字串 | "" | 否 | 說明儲存環境名稱的欄位名稱。 如果找不到環境欄位，則環境為預設環境。 |
| 環境規則運算式模式 | 字串 | .* | 否 | 要對「環境欄位名稱」欄位中的值執行的規則運算式模式。 預設值為 .*，可擷取所有值並傳回未變更的值。 用於允許使用者透過規則運算式邏輯操控環境欄位。 如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。 |
| PythonProcessTimeout | 整數 | 300 | 是 | 執行目前指令碼的 Python 程序逾時限制。 |
| API 根層級 | 字串 | https://{ip address}:{port} | 是 | 指定目標 Varonis 資料安全性平台 執行個體的 API 網址。 |
| 使用者名稱 | 字串 | 不適用 | 是 | 指定要連線的使用者名稱。 |
| 密碼 | 密碼 | 不適用 | 是 | 指定連線密碼。 |
| 回溯天數上限 | 整數 | 3 | 是 | 擷取 X 天前的快訊。 |
| 每個週期的警告數量上限 | 整數 | 10 | 是 | 每個連接器週期擷取 X 個快訊。 |
| 每則 Varonis 快訊的事件數量上限 | 整數 | 25 | 是 | 連接器為 Varonis 資料安全性平台警告擷取的事件數量上限。 |
| 狀態 | CSV | 開放、調查中、不開放 | 是 | 要擷取的資料安全性平台警示狀態。 |
| 嚴重性 | CSV | 低、中、高 | 是 | 要擷取的資料安全性平台警示嚴重性。 |
| 停用溢位 | 核取方塊 | 已勾選 | 否 | 如果啟用，連接器在建立快訊時會忽略 Google SecOps 溢位機制。 |
| 將動態清單做為封鎖清單 | 核取方塊 | 已取消勾選 | 是 | 啟用後，連接器會將動態清單中指定的快訊名稱做為封鎖清單。只會擷取不符合動態清單的快訊。 |
| 驗證 SSL | 核取方塊 | 已勾選 | 是 | 如果啟用，系統會驗證為 API 根目錄設定的憑證。 |
| 警告名稱範本 | 字串 | [Name]敬上 | 如有提供，連接器會將這個值用於 Google SecOps 警示名稱。 您可以使用下列格式提供預留位置：[欄位名稱]。 範例：Varonis 快訊 - [名稱]。 注意：連接器會先使用 CSOAR 事件做為預留位置。 系統只會處理具有字串值的鍵。 如果未提供任何內容或使用者提供的範本無效，連接器會使用預設快訊名稱 - [name]。 |
|
| 規則產生器範本 | 字串 | [Name]敬上 | 如有提供，連接器會將這個值用於 Google SecOps 規則產生器值。 您可以使用下列格式提供預留位置：[欄位名稱]。 範例：Varonis 快訊 - [名稱]。 注意：連接器會先使用 Google SecOps 事件做為預留位置。 系統只會處理具有字串值的鍵。 如果未提供任何內容，或使用者提供的範本無效，連接器會使用預設規則產生器：[name]。 |
|
| Proxy 伺服器位址 | 字串 | 不適用 | 否 | 要使用的 Proxy 伺服器位址。 |
| Proxy 使用者名稱 | 字串 | 不適用 | 否 | 用於驗證的 Proxy 使用者名稱。 |
| Proxy 密碼 | 密碼 | 不適用 | 否 | 用於驗證的 Proxy 密碼。 |
連接器規則
Proxy 支援
連接器支援 Proxy。
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。