Publica integraciones personalizadas

Compatible con:
En este documento, se describen los requisitos para publicar integraciones en Google Security Operations SOAR. Se enumeran los requisitos previos, los estándares de codificación, los lineamientos de desarrollo de acciones, las reglas de formato JSON, las prácticas recomendadas de enriquecimiento de entidades y el proceso para enviar una integración al Centro de contenido. Cumplir con estos requisitos ayuda a garantizar que las integraciones sean confiables, fáciles de mantener y que otros usuarios puedan descubrirlas.

Requisitos de integración

  • Python 3.7: Desarrolla todas las integraciones en Python 3.7.
  • Descripción de la integración: Incluye una descripción clara del producto con el que te integrarás.
  • Icons
    • Ícono SVG: Este ícono se aplica a todas las instancias de la integración en la plataforma.
    • Ícono PNG: Esta imagen aparece en Google SecOps Marketplace.
  • Categoría de integración: Define una categoría para permitir que otros usuarios filtren tu integración en Google SecOps Marketplace. Selecciona una categoría de la lista predefinida en Google SecOps Marketplace.
  • Dependencias: Si tu integración requiere bibliotecas externas, inclúyelas en la configuración de la integración.
  • Parámetros de integración: Incluye todos los parámetros necesarios para una conexión exitosa al producto, junto con descripciones claras.
  • Administrador: Para evitar la duplicación de código, crea un administrador, un archivo de Python al que puedan hacer referencia otros secuencias de comandos en la integración.
  • Acción de ping: Incluye una acción de ping para verificar la conectividad. El resultado debe mostrar true si la conexión es exitosa. Esta acción debe inhabilitarse de forma predeterminada; no está diseñada para usarse en playbooks.
  • Linux: La integración debe admitir CentOS 7 o versiones posteriores.

Requisitos de acción

  • Descripción de la acción: Describe claramente lo que hace la acción.
  • Estructura de la acción: Sigue la plantilla de acción predeterminada del entorno de desarrollo integrado (IDE).
  • Parámetros de acción: Define todos los parámetros que sean relevantes para la acción, incluidas las descripciones. Haz coincidir los tipos de parámetros con los requisitos de la acción.
  • Ejecución de una acción en el contexto de una alerta: Cuando corresponda, diseña la acción para que se ejecute en el contexto de una alerta. Por ejemplo, define el alcance de la lógica para tipos de entidades específicos (por ejemplo, URLs) con siemplify.target_entities. Para ver un ejemplo, consulta Crea acciones personalizadas.
  • Registro: Agrega registros para acciones complejas y registra todas las excepciones o errores con el nivel de gravedad correcto (`info`, `warn`, `error`, y `exception`).

Requisitos de JSON

  • Resultado JSON: Para las acciones que muestran datos, usa add_result_json para mostrar un resultado JSON.
  • Agrega un ejemplo de JSON: Agrega un archivo JSON de ejemplo que puedas importar al Generador de expresiones para crear playbooks. Esta recomendación permite que los valores de resultado JSON representen marcadores de posición en un playbook.

Enriquece entidades

Cuando enriquezcas entidades con datos de un producto integrado, sigue estas prácticas recomendadas:

  • Agrega un paso de enriquecimiento: Incluye datos relevantes del producto en el resultado de la acción.
  • Usa un prefijo: Agrega un prefijo (por lo general, el nombre del producto) a las claves de los campos de enriquecimiento para evitar conflictos.
    • Ejemplo: Para enriquecer una entidad con el nombre y el apellido de un usuario, agrega Zoom como prefijo a los campos nuevos. 
      entity_enrichment = {"first_name":"First Name", "last_name":"Last Name"}
entity_enrichment = add_prefix_to_dict(entity_enrichment, "Zoom")
  • Actualiza la entidad: Usa entity.additional_properties.update() para agregar los datos enriquecidos a las propiedades de la entidad.
  • Actualiza la alerta: Usa siemplify.update_entities(enriched_entities) para agregar las entidades actualizadas a la alerta. Haz clic en la entidad para ver los detalles completos.

Publica la integración

Para que tu integración esté disponible para todos los usuarios de Google SecOps Marketplace, comunícate con el equipo de Atención al cliente para enviarla al equipo de Marketplace para su revisión.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.