Integrar o Wiz ao Google SecOps

Neste documento, explicamos como integrar o Wiz ao Google Security Operations (Google SecOps).

Antes de começar

Para usar a integração, você precisa de uma raiz de API, um ID do cliente e uma chave secreta do cliente.

Para mais informações sobre como gerar essas credenciais, consulte Configurações de contas de serviço.

Permissões e escopos necessários da conta de serviço

Verifique se a conta de serviço do Wiz recebeu os escopos de permissão de API adequados para as operações que você pretende executar no Google SecOps.

Operações de leitura e consulta

Operação / Finalidade	Usado por	Permissões / escopos necessários
Testar conectividade	Ação de ping	read:issues
Ver detalhes do problema	Ação "Receber detalhes do problema"	read:issues read:posture_issues read:threat_issues read:comments
Listar descobertas de vulnerabilidades de recursos	Ação de listar descobertas de vulnerabilidade de recursos	read:vulnerabilities
Receber análise do agente azul	Ação de análise do agente azul	read:threat_issues

Operações de gravação e modificação (mutações)

Operação / Finalidade	Usado por	Permissões / escopos necessários
Reabrir problema	Ação de reabertura de problema	write:issue_status update:posture_issue_status write:threat_issue_status
Resolver problema	Ação para resolver o problema	write:threat_issue_status write:threat_issues
Ignorar problema	Ação de ignorar problema	update:posture_issue_ignore write:issue_ignore
Adicionar comentário ao problema	Adicionar comentário à ação do problema	write:issue_comments write:threat_issue_comments write:comments

Observação: se o escopo granular não for exigido pela política de segurança da sua organização, um administrador do Wiz poderá conceder as permissões amplas read:all, write:all e update:all para cobrir todas as operações de integração.

Parâmetros de integração

A integração do Wiz requer os seguintes parâmetros:

Parâmetro	Descrição
API Root	Obrigatório. O URL do endpoint de API GraphQL para seu locatário do Wiz. O endpoint precisa seguir o formato https://api.<region>.app.wiz.io/graphql (ou https://api.<region>.app.wiz.us/graphql para o Wiz for Gov), em que <region> representa a região do data center do Wiz atribuída a você (como us1, us2, eu1 ou eu2). Consulte os detalhes do locatário do Wiz para saber o URL exato do endpoint. Não use URLs regionais genéricos e sem números.
Authentication URL	Opcional. O URL de autenticação usado para gerar tokens de acesso OAuth. Para ambientes comerciais, use https://auth.app.wiz.io. Para ambientes do Wiz for Gov (FedRAMP), use https://auth.app.wiz.us. O valor padrão é https://auth.app.wiz.io.
Client ID	Obrigatório. O ID do cliente associado às suas credenciais da API Wiz.
Client Secret	Obrigatório. A chave secreta do cliente associada às suas credenciais da API Wiz.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Wiz. Ativado por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Ping

Use a ação Ping para testar a conectividade com o Wiz.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Mensagens de saída

A ação Ping pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully connected to the Wiz server with the provided connection parameters!	A ação foi concluída.
Failed to connect to the Wiz server! Error is ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script	Valor
is_success	True ou False

Receber detalhes do problema

Use a ação Receber detalhes do problema para receber informações sobre um problema especificado no Wiz.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Issue Details requer os seguintes parâmetros:

Parâmetro	Descrição
Issue ID	Obrigatório. O identificador exclusivo do problema do Wiz para recuperar ou agir.

Saídas da ação

A ação Get Issue Details fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado em JSON recebida ao usar a ação Get Issue Details:

{
   "id": "f54e3fb9-a520-4e99-aacc-b99f6ae7f28d",
   "createdAt": "2025-07-26T11:47:43.94524Z",
   "updatedAt": "2025-07-31T07:34:54.445702Z",
   "status": "RESOLVED",
   "severity": "CRITICAL",
   "type": "TOXIC_COMBINATION",
   "description": "This container is using an image that contains a file identified as a high/critical severity malware by ReversingLabs.\n\nMalware can imply a malicious actor's presence in your environment. The malware can be used for crypto-mining, data leakage, lateral movement to other resources in your environment, etc.",
   "resolvedAt": "2025-07-31T07:34:54.445702Z",
   "entitySnapshot": {
       "cloudPlatform": "GCP",
       "id": "1971f945-3476-5b3d-a5a1-ab166c3e2eca",
       "name": "cluster-solr",
       "region": "us-central1",
       "subscriptionName": "Wiz-Labs",
       "type": "KUBERNETES_CLUSTER"
   },
   "projects": [
       {
           "id": "904cbc14-1c52-571c-a6b8-46fee263eb0f",
           "name": "GCP Lab"
       }
   ],
   "sourceRules": [
       {
           "id": "wc-id-1038",
           "name": "Container using an image infected with critical/high severity malware",
           "description": "This container is using an image that contains a file identified as a high/critical severity malware by ReversingLabs.\n\nMalware can imply a malicious actor's presence in your environment. The malware can be used for crypto-mining, data leakage, lateral movement to other resources in your environment, etc."
       }
   ]
}

Mensagens de saída

A ação Get Issue Details pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned details for the following issue using information from Wiz: ISSUE_ID The action wasn't able to return details for the following entities using information from Wiz: ISSUE_ID	A ação foi concluída.
Error executing action "Get Issue Details". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Receber detalhes do problema:

Nome do resultado do script	Valor
is_success	True ou False

Reabrir problema

Use a ação Reabrir problema para reabrir um problema especificado no Wiz.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Reabrir problema requer os seguintes parâmetros:

Parâmetro	Descrição
Issue ID	Obrigatório. O identificador exclusivo do problema no Wiz a ser recuperado ou atualizado.

Saídas da ação

A ação Reabrir problema fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Reabrir problema:

{
    "id": "41facd3f-29b0-4fcf-9a0c-e7fc40416aa0",
    "note": "",
    "status": "OPEN",
    "dueAt": null,
    "resolutionReason": null
}

Mensagens de saída

A ação Reabrir problema pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully reopened issue with ID ISSUE_ID no Wiz.	A ação foi concluída.
Error executing action "Reopen Issue". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Reabrir problema:

Nome do resultado do script	Valor
is_success	True ou False

Ignorar problema

Use a ação Ignorar problema para ignorar um problema específico no Wiz.

Essa ação não é executada em entidades do Google SecOps.

Observação: essa ação só funciona em problemas de controle de gráfico ou de configuração do Cloud.

Entradas da ação

A ação Ignorar problema requer os seguintes parâmetros:

Parâmetro	Descrição
Issue ID	Obrigatório. O identificador exclusivo do problema no Wiz.
Resolution Reason	Obrigatório. O motivo da resolução do problema. Os valores possíveis são os seguintes: False Positive Exception Won't Fix~ O valor padrão é False Positive.
Resolution Note	Opcional. Uma observação que fornece mais contexto para a resolução do problema.

Saídas da ação

A ação Ignorar problema fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Ignorar problema:

{
    "id": "41facd3f-29b0-4fcf-9a0c-e7fc40416aa0",
    "note": "",
    "status": "REJECTED",
    "dueAt": null,
    "resolutionReason": "FALSE_POSITIVE"
}

Mensagens de saída

A ação Ignorar problema pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully ignored issue with ID ISSUE_ID no Wiz.	A ação foi concluída.
Error executing action "Ignore Issue". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ignorar problema:

Nome do resultado do script	Valor
is_success	True ou False

Resolver problema

Use a ação Resolver problema para resolver um problema específico no Wiz.

Essa ação não é executada em entidades do Google SecOps.

Observação : essa ação só funciona em problemas de detecção de ameaças.

Entradas da ação

A ação Resolver problema requer os seguintes parâmetros:

Parâmetro	Descrição
Issue ID	Obrigatório. O identificador exclusivo do problema no Wiz.
Resolution Reason	Obrigatório. O motivo da resolução do problema. Os valores possíveis são os seguintes: Malicious Threat Not Malicious Threat Security Test Threat Planned Action Threat Inconclusive Threat O valor padrão é Not Malicious Threat.
Resolution Note	Opcional. Uma observação que dá mais contexto sobre a resolução.

Saídas da ação

A ação Resolver problema fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Resolver problema:

{
    "id": "0db2222f-7d1f-501a-9ad5-fe669c7da036",
    "resolutionNote": "",
    "status": "RESOLVED",
    "dueAt": null,
    "resolutionReason": "NOT_MALICIOUS_THREAT"
}

Mensagens de saída

A ação Resolver problema pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully resolved issue with ID ISSUE_ID no Wiz.	A ação foi concluída.
Error executing action "Resolve Issue". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Resolver problema:

Nome do resultado do script	Valor
is_success	True ou False

Adicionar comentário ao problema

Use a ação Adicionar comentário ao problema para adicionar um comentário a um problema especificado no Wiz.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar comentário ao problema requer os seguintes parâmetros:

Parâmetro	Descrição
Issue ID	Obrigatório. O identificador exclusivo do problema no Wiz.
Comment	Obrigatório. O texto do comentário a ser adicionado ao problema.

Saídas da ação

A ação Adicionar comentário ao problema fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Adicionar comentário ao problema:

{
  "createdAt": "2025-08-01T11:59:00.843434941Z", "id":
  "6f997da2-85a0-4be2-b205-83ea19e9b17a", "text": "testing"
}

Mensagens de saída

A ação Adicionar comentário ao problema pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added a comment to the issue with ID ISSUE_ID no Wiz.	A ação foi concluída.
Error executing action "Add Comment To Issue". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar comentário ao problema:

Nome do resultado do script	Valor
is_success	True ou False

Receber análise do agente azul

Use a ação Receber análise do agente azul para conferir os detalhes da análise do agente azul do Wiz para uma ameaça específica.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Blue Agent Analysis requer os seguintes parâmetros:

Parâmetro	Descrição
Threat ID	Obrigatório. O identificador exclusivo do ID de ameaça do Wiz.

Saídas da ação

A ação Get Blue Agent Analysis fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get Blue Agent Analysis:

{
  "id": "threat-12345",
  "threatType": "MALWARE_DETECTION",
  "status": "COMPLETED",
  "analysis": {
    "summary": "Blue Agent analysis details",
    "riskScore": "HIGH"
  }
}

Mensagens de saída

A ação Get Blue Agent Analysis pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully retrieved blue agent analysis for threat ID THREAT_ID no Wiz.	A ação foi concluída.
Error executing action "Get Blue Agent Analysis". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Blue Agent Analysis:

Nome do resultado do script	Valor
is_success	True ou False

Jobs

Para mais informações sobre jobs, consulte Configurar um novo job e Programação avançada.

Job de sincronização bidirecional do Wiz e do Google SecOps

Use o job de sincronização bidirecional do Wiz e do Google SecOps para manter a sincronização contínua entre as ameaças do Wiz e os casos do Google SecOps.

Observação: esse job só é compatível com casos do Google SecOps com a tag Wiz.

Parâmetros do job

O job de sincronização bidirecional do Wiz e do Google SecOps requer os seguintes parâmetros:

Parâmetro	Descrição
Environment Name	Obrigatório. Nome do ambiente em que os casos serão sincronizados. O valor padrão é Default Environment.
Wiz API Root	Obrigatório. O endpoint de API GraphQL do Wiz para seu locatário. O endpoint precisa seguir o formato https://api.<region>.app.wiz.io/graphql (ou https://api.<region>.app.wiz.us/graphql para o Wiz for Gov), em que <region> representa a região do data center do Wiz atribuída a você (como us1, us2, eu1 ou eu2). Consulte os detalhes do locatário do Wiz para saber o URL exato do endpoint. Não use URLs regionais genéricos e sem números. O valor padrão do marcador é https://api.<region>.app.wiz.io/graphql. Substitua <region> pela região do data center do Wiz atribuída a você.
Wiz Authentication URL	Opcional. O URL de autenticação usado para gerar tokens de acesso OAuth. Para ambientes comerciais, use https://auth.app.wiz.io. Para ambientes do Wiz for Gov (FedRAMP), use https://auth.app.wiz.us. O valor padrão é https://auth.app.wiz.io.
Wiz Client ID	Obrigatório. ID do cliente da conta de serviço da API Wiz.
Wiz Client Secret	Obrigatório. Chave secreta do cliente para a conta de serviço da API Wiz.
Max Hours Backwards	Opcional. Número de horas antes da iteração inicial do job para recuperar casos atualizados (intervalo: 1 a 720, padrão: 24). Esse parâmetro se aplica à primeira execução do job ou como substituto se o carimbo de data/hora da última execução for redefinido.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Wiz. Essa configuração é selecionada por padrão.
Fields to sync	Obrigatório. Uma lista separada por vírgulas de itens que determina quais campos devem ser sincronizados. Somente os campos listados explicitamente aqui serão sincronizados. Os valores possíveis são: Status, Comments, Product Link, Severity. O valor padrão é Status, Comments, Product Link, Severity.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.