Benutzerdefinierte Integrationen veröffentlichen

Unterstützt in:
In diesem Dokument werden die Anforderungen für die Veröffentlichung von Integrationen in Google Security Operations SOAR beschrieben. Es enthält eine Liste der Voraussetzungen, Coding-Standards, Richtlinien für die Aktionsentwicklung, Regeln für die JSON-Formatierung, Best Practices für die Entitätsanreicherung und die Schritte zum Einreichen einer Integration im Content Hub. Wenn Sie diese Anforderungen erfüllen, sind Ihre Integrationen zuverlässig, wartungsfreundlich und für andere Nutzer auffindbar.

Anforderungen an die Integration

  • Python 3.7: Entwickeln Sie alle Integrationen in Python 3.7.
  • Beschreibung der Integration: Geben Sie eine klare Beschreibung des Produkts an, in das Sie die Integration einbinden.
  • Icons
    • SVG-Symbol: Dieses Symbol wird auf alle Instanzen der Integration auf der Plattform angewendet.
    • PNG-Symbol: Dieses Bild wird im Google SecOps Marketplace angezeigt.
  • Kategorie der Integration: Definieren Sie eine Kategorie, damit andere Nutzer Ihre Integration im Google SecOps Marketplace filtern können. Wählen Sie eine Kategorie aus der vordefinierten Liste im Google SecOps Marketplace aus.
  • Abhängigkeiten: Wenn für Ihre Integration externe Bibliotheken erforderlich sind, listen Sie sie in den Integrationseinstellungen auf.
  • Integrationsparameter: Geben Sie alle Parameter an, die für eine erfolgreiche Verbindung zum Produkt erforderlich sind, und fügen Sie klare Beschreibungen hinzu.
  • Manager: Um doppelten Code zu vermeiden, erstellen Sie einen Manager – eine Python-Datei, auf die von anderen Skripts in der Integration verwiesen werden kann.
  • Ping-Aktion: Fügen Sie eine Ping-Aktion hinzu, um die Verbindung zu prüfen. Das Ergebnis sollte true zurückgeben, wenn die Verbindung erfolgreich ist. Diese Aktion sollte standardmäßig deaktiviert sein und ist nicht für die Verwendung in Playbooks vorgesehen.
  • Linux: Die Integration sollte CentOS 7 oder höher unterstützen.

Anforderungen an die Aktion

  • Aktionsbeschreibung: Beschreiben Sie klar und deutlich, was die Aktion bewirkt.
  • Aktionsstruktur: Folgen Sie der Standardvorlage für Aktionen in der integrierten Entwicklungsumgebung (IDE).
  • Aktionsparameter: Definieren Sie alle Parameter, die für die Aktion relevant sind, einschließlich Beschreibungen. Die Parametertypen müssen den Anforderungen der Aktion entsprechen.
  • Aktion im Kontext einer Benachrichtigung ausführen: Wenn möglich, entwerfen Sie die Aktion so, dass sie im Kontext einer Benachrichtigung ausgeführt wird. Sie können die Logik beispielsweise mit siemplify.target_entities auf bestimmte Entitätstypen (z. B. URLs) beschränken. Ein Beispiel finden Sie unter Benutzerdefinierte Aktionen erstellen.
  • Protokollierung: Fügen Sie Protokolle für komplexe Aktionen hinzu und protokollieren Sie alle Ausnahmen oder Fehler mit der richtigen Schweregradstufe (`info`, `warn`, `error`, und `exception`).

Anforderungen an JSON

  • JSON-Ergebnis: Verwenden Sie für Aktionen, die Daten zurückgeben, add_result_json, um ein JSON-Ergebnis zurückzugeben.
  • JSON-Beispiel hinzufügen: Fügen Sie eine JSON-Beispieldatei hinzu, die Sie für die Playbook-Erstellung in den Ausdrucks-Editor importieren können. Mit dieser Empfehlung können JSON-Ergebniswerte Platzhalter in einem Playbook darstellen.

Entitäten anreichern

Wenn Sie Entitäten mit Daten aus einem integrierten Produkt anreichern, sollten Sie die folgenden Best Practices beachten:

  • Anreicherungsschritt hinzufügen: Fügen Sie der Aktionsausgabe relevante Daten aus dem Produkt hinzu.
  • Präfix verwenden: Fügen Sie den Schlüsseln der Anreicherungsfelder ein Präfix hinzu (in der Regel den Produktnamen), um Konflikte zu vermeiden.
    • Beispiel: Wenn Sie eine Entität mit dem Vor- und Nachnamen eines Nutzers anreichern möchten, fügen Sie den neuen Feldern Zoom als Präfix hinzu. 
      entity_enrichment = {"first_name":"First Name", "last_name":"Last Name"}
entity_enrichment = add_prefix_to_dict(entity_enrichment, "Zoom")
  • Entität aktualisieren: Verwenden Sie entity.additional_properties.update(), um die angereicherten Daten den Eigenschaften der Entität hinzuzufügen.
  • Benachrichtigung aktualisieren: Verwenden Sie siemplify.update_entities(enriched_entities), um die aktualisierten Entitäten der Benachrichtigung hinzuzufügen. Klicken Sie auf die Entität, um alle Details zu sehen.

Integration veröffentlichen

Wenn Sie Ihre Integration allen Google SecOps Marketplace-Nutzern zur Verfügung stellen möchten, wenden Sie sich an den Kundensupport, um sie zur Überprüfung durch das Marketplace-Team einzureichen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten