הגדרת מחברים בהתאמה אישית

נתמך ב:

כשמגדירים מחבר חדש, הפלטפורמה משתמשת בסקריפט של המחבר בשילוב כבתבנית בלבד. המחבר שהוגדר הוא מופע של תבנית המחבר הזו. אפשר להוסיף כמה מחברים עם הגדרות שונות באמצעות אותו קוד שיצרתם למחבר ב-IDE.

כדי להגדיר מחבר, מבצעים את השלבים הבאים:

  1. עוברים אל SOAR Settings > Ingestion > Connectors (הגדרות SOAR > קליטה > מחברים) כדי לגשת למודול המחברים ולהגדיר מחבר בסביבה הרלוונטית.
  2. לוחצים על Create new Connector (יצירת מחבר חדש).
  3. בתיבת הדו-שיח הוספת מחבר, בוחרים את סוג המחבר מהרשימה.
  4. אופציונלי: מסמנים את התיבה מחבר מרחוק.
  5. לוחצים על יצירה.
  6. בקטע Parameters (פרמטרים), מזינים את פרמטרים המחבר הבאים:
    • סביבה: מגדיר את הסביבה שאליה המחבר מתחבר. אם אתם לא צריכים להגדיר את הסביבה, בחרו באפשרות Default Environment.
    • הפעלה כל: מגדירה את המרווח בין הפעלות המחבר.
    • שם שדה המוצר: נדרש על ידי המחבר כדי לזהות את המוצר שמייצר את ההתראות שנשלפות אל Google Security Operations. אל תזינו כאן את שם המוצר. במקום זאת, מזינים את שדה האירוע (מפתח מאירוע ה-JSON) במקום שם המוצר. לדוגמה: כותבים _index כדי לציין ש-cloudtrail הוא המוצר שיצר את ההתראה.
    • שם שדה האירוע: נדרש על ידי המחבר כדי לזהות את סוג אירוע האבטחה שנשלף אל Google SecOps. אל תזינו כאן את שם האירוע או הסוג שלו. מזינים את שדה האירוע (מפתח מאירוע ה-JSON) במקום את שם האירוע או סוג האירוע.
      לדוגמה: מזינים _source.userIdentity.type כדי לציין ש-AssumedRole הוא סוג אירוע האבטחה.
    • מגבלת ספירת אירועים: אם אתם שולפים התראה על קורלציה, מציינים את מגבלת האירועים הבסיסיים ש-Google SecOps צריך לאחזר איתה. הפעולה הזו נדרשת כדי שהמחבר יפעל מהר יותר (אם ההתראות כוללות הרבה אירועים מיותרים) וכדי לצמצם את הכפילות עבור אנליסטים בתחום האבטחה.
  7. המחבר מוגדר בקטע Default Environment (סביבת ברירת המחדל). אחרי שממלאים את כל הפרמטרים, לוחצים על שמירה כדי לשמור את המחבר.

רשימה מלאה של הפרמטרים של כל מחבר מופיעה במאמר שילובים של תגובות ב-Google SecOps.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.