カスタム統合を公開する

以下でサポートされています。
このドキュメントでは、Google Security Operations SOAR で統合を公開するための要件について説明します。前提条件、コーディング標準、アクション開発ガイドライン、JSON 形式のルール、エンティティ拡充のベスト プラクティス、Content Hub に統合を送信するプロセスが記載されています。これらの要件に準拠することで、統合の信頼性、保守性、他のユーザーによる検出可能性を確保できます。

統合の要件

  • Python 3.7: すべての統合を Python 3.7 で開発します。
  • 統合の説明: 統合するプロダクトの明確な説明を含めます。
  • アイコン
    • SVG アイコン: このアイコンは、プラットフォーム内の統合のすべてのインスタンスに適用されます。
    • PNG アイコン: この画像は Google SecOps Marketplace に表示されます。
  • 統合カテゴリ: カテゴリを定義して、他のユーザーが Google SecOps Marketplace で統合をフィルタリングできるようにします。Google SecOps Marketplace の事前定義リストからカテゴリを選択します。
  • 依存関係: 統合で外部ライブラリが必要な場合は、統合設定でそれらを一覧表示します。
  • 統合パラメータ: プロダクトへの接続を正常に行うために必要なすべてのパラメータと、明確な説明を含めます。
  • マネージャー: コードの重複を避けるため、マネージャー（統合内の他のスクリプトから参照できる Python ファイル）を作成します。
  • Ping アクション: 接続性を確認するには、Ping アクションを含めます。接続が成功した場合は、結果として true が返されます。このアクションはデフォルトで無効にする必要があります。ハンドブックでの使用は想定されていません。
  • Linux: 統合では CentOS 7 以降をサポートする必要があります。

アクションの要件

  • アクションの説明: アクションの内容を明確に説明します。
  • アクションの構造: デフォルトの統合開発環境（IDE）アクション テンプレートに従います。
  • アクション パラメータ: 説明など、アクションに関連するすべてのパラメータを定義します。パラメータの型をアクションの要件と一致させます。
  • アラートのコンテキストでのアクションの実行: 該当する場合は、アラートのコンテキストで実行されるようにアクションを設計します。たとえば、siemplify.target_entities を使用して、ロジックを特定のエンティティ タイプ（URL など）にスコープ設定します。例については、カスタム アクションを作成するをご覧ください。
  • ロギング: 複雑なアクションのログを追加し、すべての例外またはエラーを正しい重大度レベル（`info`、`warn`、`error`、`exception`）で記録します。

JSON の要件

  • JSON 結果: データを返すアクションの場合は、add_result_json を使用して JSON 結果を返します。
  • JSON の例を追加する: Expression Builder にインポートして、ハンドブックの作成に使用できる JSON ファイルの例を追加します。この推奨事項により、JSON の結果値をハンドブックのプレースホルダとして使用できます。

エンティティを拡充する

統合されたプロダクトのデータを使用してエンティティを拡充する場合は、次のベスト プラクティスに従ってください。

  • 拡充ステップを追加する: アクションの出力に関連するプロダクトのデータを含めます。
  • 接頭辞を使用する: 競合を防ぐため、エンリッチメント フィールドキーに接頭辞（通常はプロダクト名）を追加します。
    • 例: ユーザーの氏名でエンティティを拡充するには、新しいフィールドに接頭辞として Zoom を追加します。
      entity_enrichment = {"first_name":"First Name", "last_name":"Last Name"}
entity_enrichment = add_prefix_to_dict(entity_enrichment, "Zoom")
  • エンティティを更新する: entity.additional_properties.update() を使用して、エンティティのプロパティに拡充データを追加します。
  • アラートを更新する: siemplify.update_entities(enriched_entities) を使用して、更新されたエンティティをアラートに追加します。エンティティをクリックして、詳細を表示します。

統合を公開する

インテグレーションを Google SecOps Marketplace のすべてのユーザーが利用できるようにするには、カスタマー サポートにお問い合わせのうえ、Marketplace チームによる審査を依頼してください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。