将 LevelBlue USM Anywhere 与 Google SecOps 集成

本文档介绍了如何将 LevelBlue Unified Security Management (USM) Anywhere 与 Google Security Operations (Google SecOps) 集成。

对 LevelBlue USM Anywhere 的网络访问权限

从 Google SecOps 到 LevelBlue USM Anywhere 的 API 访问：允许通过端口 443 (HTTPS) 传输流量。

集成参数

使用以下参数配置集成：

参数名称 类型 默认值 为必填项 说明
实例名称 字符串 不适用 否 您要为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 不适用 是 LevelBlue USM Anywhere 实例的地址。
ClientID 字符串 不适用 是 用户的 ID。
Secret 密码 不适用 是 用户账号的密码。
产品版本 字符串 V2 是 LevelBlue USM Anywhere 产品的版本。
Use SSL（使用 SSL） 复选框 勾选 否 如果选中此选项，则集成会在连接到 LevelBlue USM Anywhere 服务器时验证 SSL 证书。
远程运行 复选框 尚未核查 否 选中该复选框可远程运行配置的集成。选择后，系统会显示用于选择远程用户（代理）的选项。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

获取闹钟详情

按 ID 检索闹钟的详细信息。

参数

参数名称 类型 默认值 为必填项 说明
警报 ID 字符串 不适用 是 闹钟 ID。可通过运行连接器获取。

运行时间

此操作不会对实体执行。

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
案例墙
结果类型 说明 类型
输出消息*

如果出现错误：“Failed to get details about AlienVault Anywhere alarm! 错误为 {}。操作应该会失败。”

操作成功通过： “已成功返回 AlienVault Anywhere 警报 {} 详细信息”

当产品版本参数设置为 V1 时： “操作应失败，并显示 V2 中支持的明确消息。”

 常规
CSV 表格

列：

  • ID
  • 优先级
  • 发生时间
  • 收到时间
  • 来源
  • 来源组织
  • 来源国家/地区
  • 目的地
  • 规则攻击 ID
  • 规则策略
  • 规则 ID
  • 规则攻击策略
  • 规则攻击技术
  • 规则意图
 常规

列出事件

搜索 AlienVault 事件。

参数

参数名称 类型 默认值 为必填项 说明
闹钟数量上限 字符串 不适用 否 要返回的警报数量上限。
账号名称 字符串 不适用 否 账号名称。
事件名称 字符串 不适用 否 事件的名称。
开始时间 字符串 不适用 否

过滤后的结果将包含此时间戳之后发生的事件。

格式：“%d/%m/%Y”
结束时间 字符串 不适用 否

过滤后的结果将包含在此时间戳之前发生的事件。

格式：“%d/%m/%Y”
已禁用 复选框 不适用 否 是否按“已抑制”标志过滤事件。
来源名称 字符串 不适用 否 来源名称。

运行时间

此操作不会对实体执行。

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
JSON 结果
{
    "rep_device_fqdn": "192.0.2.30",
    "sorce_name": "192.0.2.30",
    "tag": "pdate-esp-kernelmodle.sh",
    "timestamp_occred": "1596541223000",
    "destination_address": "198.51.100.130",
    "rep_dev_canonical": "192.0.2.30",
    "destination_name": "198.51.100.130",
    "received_from": "Centos7-001",
    "timestamp_occred_iso8601": "2020-08-04T11:40:23.000Z",
    "id": "f52dd545-ff14-5576-3b70-47f10f528f53",
    "needs_enrichment": True,
    "rep_device_asset_id": "256fa9b1-a066-c9eb-561a-c2110035978a",
    "timestamp_received": "1596541223152",
    "sorce_canonical": "256fa9b1-a066-c9eb-561a-c2110035978a",
    "destination_fqdn": "198.51.100.130",
    "_links": {
        "self": {
            "href": "URL"
        }
    },
    "has_alarm": False,
    "rep_device_address": "192.0.2.30",
    "event_name": "pdate-esp-kernelmodle.sh event",
    "sed_hint": False,
    "transient": False,
    "packet_type": "log",
    "was_fzzied": True,
    "sppressed": False,
    "log": "<13>Ag  4 14:40:23 Centos7-001 pdate-esp-kernelmodle.sh: McAfeeESPFileAccess installed in this system is - 198.51.100.130",
    "sorce_asset_id": "256fa9b1-a066-c9eb-561a-c2110035978a",
    "timestamp_received_iso8601": "2020-08-04T11:40:23.152Z",
    "destination_canonical": "198.51.100.130",
    "time_offset": "Z"
}
案例墙
结果类型 说明 类型
输出消息*

如果出现一般错误：“由于错误，操作未完成：{error}”，结果值应设置为 false，并且操作应失败。

如果操作成功完成：“Successfully returned {len(events)} AlienVault Anywhere events”

如果操作未能运行：“Failed to list Endgame AlienVault Anywhere events!”

当“产品版本”参数设置为 V1 时：“操作应失败，并显示 V2 中支持的明确消息。”

 常规
CSV 表格

表格标题：事件

表列：

  • ID
  • 名称
  • 发生时间
  • 收到时间
  • 已禁用
  • 严重级别
  • 类别
  • 子类别
  • 访问权限控制结果
  • 目的地
  • 目标端口
  • 来源
  • 来源端口

值：

  1. id= uuid
  2. name = event_name
  3. Occurred Time=timestamp_occurred_iso8601
  4. Received Time=timestamp_received_iso8601
  5. Suppressed =suppressed
  6. Severity = event_severity
  7. 类别 = event_category
  8. 子类别 = event_subcategory
  9. 访问权限控制结果 = access_control_outcome
  10. Destination = destination_name
  11. 目标端口 = destination_port
  12. Source = source_name
  13. Source Port= source_port
 常规

Ping

测试连接性。

参数

不适用

运行时间

此操作会在所有实体上运行。

操作结果

脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

AlienVault USM Anywhere 连接器

Google SecOps 会近乎实时地从 LevelBlue USM Anywhere 提取警报，并将其作为提醒转发给案例。

连接器参数

使用以下参数配置连接器：

参数名称 类型 默认值 为必填项 说明
环境 DDL 不适用 是

选择所需的环境。例如，“Customer One”。

如果提醒的环境字段为空，则提醒将被注入此环境。
运行频率 整数 0:0:0:10 否 选择运行连接的时间。
产品字段名称 字符串 device_product 是 用于确定设备产品的字段名称。
事件字段名称 字符串 event_name 是

决定事件名称（子类型）的字段名称。
回溯的天数上限 整数 1 是 在首次连接器迭代之前检索提醒的天数。

此参数可应用于您首次启用连接器后的初始连接器迭代，或应用于过期连接器时间戳的后备值。
每个周期的提醒数量上限 整数 10 是

每个连接器周期内要提取的提醒数量上限。

限制每个周期内的提醒数量。
验证 SSL 复选框 尚未核查 否 如果选中此选项，则集成会在连接到 LevelBlue USM Anywhere 服务器时验证 SSL 证书。
产品版本 字符串 V2 是 AlienVault Anywhere 版本 - V1、V2。
Secret 密码 不适用 是 相应用户的密码。
ClientID 字符串 不适用 是 用户的 ID。
API 根 字符串 不适用 是 示例：https://<instance>.alienvault.com
脚本超时（秒） 字符串 60 是

运行当前脚本的 Python 进程的超时限制（以秒为单位）。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
规则方法 字符串 不适用 否 按规则方法过滤警报。该方法会提供有关攻击目标和特定漏洞的更多详细信息。示例：Firefox - CVE-2008-4064
规则策略 字符串 不适用 否 触发了警报的规则的策略。例如，当攻击者试图利用网络浏览器中的已知漏洞时，请使用“客户端攻击 - 已知漏洞”。
规则意图 字符串 不适用 否 按闹钟用途过滤闹钟。intent 描述了所观察行为的上下文。威胁类别包括：系统入侵、利用和安装、传递和攻击、侦察和探测、环境感知。
优先级 字符串 不适用 否 按警报优先级过滤，以逗号分隔。有效值：high/medium/low
使用“已屏蔽”过滤条件 复选框 尚未核查 否 此参数将用于确定是否使用“显示已抑制的提醒”过滤条件来过滤传入的提醒。
显示已抑制的 复选框 勾选 否 是否在搜索结果中包含已抑制的闹钟。
Padding Period 整数 0 否 连接器执行的缓冲期（以小时为单位）。

AlienVault USM Anywhere 连接器有两个参数，可根据这些提醒具有的 suppressed 属性，对提取到 Google SecOps 中的提醒进行智能过滤：

  • 使用抑制过滤条件：此参数决定是否使用 Show Suppressed 过滤条件过滤传入的提醒。

  • 显示已抑制的警报：此参数决定是否在搜索中包含已抑制的警报。此连接器中有三个选项：

    1. 引入所有 AV 提醒，无论是否已抑制 - 清除这两个复选框。
    2. 仅从 AV 引入未被抑制的警报 - 选中 Use Suppressed Filter 复选框并清除 Show Suppressed 复选框。
    3. 仅从 AV 引入被抑制的警报，而不引入其他任何内容 - 同时选中 Use Suppressed Filter 和 Show Suppressed 复选框。这是默认选项。

如需详细了解 AlienVault 中的警报抑制，请参阅从“警报”页面创建抑制规则。

连接器规则

连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。