將 LevelBlue USM Anywhere 與 Google SecOps 整合

本文說明如何將 LevelBlue Unified Security Management (USM) Anywhere 與 Google Security Operations (Google SecOps) 整合。

LevelBlue USM Anywhere 的網路存取權

從 Google SecOps 到 LevelBlue USM Anywhere 的 API 存取權：允許透過通訊埠 443 (HTTPS) 傳輸流量。

整合參數

請使用下列參數設定整合：

參數名稱 類型 預設值 為必填 說明
執行個體名稱 字串 不適用 否 要設定整合的執行個體名稱。
說明 字串 不適用 否 執行個體的說明。
API 根 字串 不適用 是 LevelBlue USM Anywhere 執行個體的位址。
ClientID 字串 不適用 是 使用者的 ID。
Secret 密碼 不適用 是 使用者帳戶的密碼。
產品版本 字串 V2 是 LevelBlue USM Anywhere 產品版本。
使用 SSL 核取方塊 已勾選 否 如果選取，整合功能會在連線至 LevelBlue USM Anywhere 伺服器時驗證 SSL 憑證。
遠端執行 核取方塊 已取消勾選 否 勾選核取方塊，即可從遠端執行設定的整合。選取後，系統會顯示選取遠端使用者 (代理程式) 的選項。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

取得警報詳細資料

依 ID 擷取鬧鐘詳細資料。

參數

參數名稱 類型 預設值 為必填 說明
警報 ID 字串 不適用 是 警示 ID。執行連接器即可取得。

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True 或 False is_success:False
案件總覽
結果類型 說明 類型
輸出訊息*

發生錯誤時：「Failed to get details about AlienVault Anywhere alarm! 錯誤為 {}。動作應會失敗。」

動作成功通過： 「已成功傳回 AlienVault Anywhere 警報 {} 詳細資料」

產品版本參數設為 V1 時： 「動作應失敗，並顯示 V2 支援的明確訊息。」

 一般
CSV 表格

欄：

  • ID
  • 優先順序
  • 發生時間
  • 接收時間
  • 來源
  • 來源機構
  • 來源國家/地區
  • 目的地
  • 規則攻擊 ID
  • 規則策略
  • 規則 ID
  • 規則攻擊策略
  • 規則攻擊技術
  • 規則意圖
 一般

列出事件

搜尋 AlienVault 事件。

參數

參數名稱 類型 預設值 為必填 說明
鬧鐘數量上限 字串 不適用 否 要傳回的鬧鐘數量上限。
帳戶名稱 字串 不適用 否 帳戶名稱。
事件名稱 字串 不適用 否 事件名稱。
開始時間 字串 不適用 否

篩選結果會包含這個時間戳記之後發生的事件。

格式：「%d/%m/%Y」
結束時間 字串 不適用 否

篩選結果會包含這個時間戳記之前發生的事件。

格式：「%d/%m/%Y」
受限 核取方塊 不適用 否 是否要依據隱藏標記篩選事件。
來源名稱 字串 不適用 否 來源名稱。

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True 或 False is_success:False
JSON 結果
{
    "rep_device_fqdn": "192.0.2.30",
    "sorce_name": "192.0.2.30",
    "tag": "pdate-esp-kernelmodle.sh",
    "timestamp_occred": "1596541223000",
    "destination_address": "198.51.100.130",
    "rep_dev_canonical": "192.0.2.30",
    "destination_name": "198.51.100.130",
    "received_from": "Centos7-001",
    "timestamp_occred_iso8601": "2020-08-04T11:40:23.000Z",
    "id": "f52dd545-ff14-5576-3b70-47f10f528f53",
    "needs_enrichment": True,
    "rep_device_asset_id": "256fa9b1-a066-c9eb-561a-c2110035978a",
    "timestamp_received": "1596541223152",
    "sorce_canonical": "256fa9b1-a066-c9eb-561a-c2110035978a",
    "destination_fqdn": "198.51.100.130",
    "_links": {
        "self": {
            "href": "URL"
        }
    },
    "has_alarm": False,
    "rep_device_address": "192.0.2.30",
    "event_name": "pdate-esp-kernelmodle.sh event",
    "sed_hint": False,
    "transient": False,
    "packet_type": "log",
    "was_fzzied": True,
    "sppressed": False,
    "log": "<13>Ag  4 14:40:23 Centos7-001 pdate-esp-kernelmodle.sh: McAfeeESPFileAccess installed in this system is - 198.51.100.130",
    "sorce_asset_id": "256fa9b1-a066-c9eb-561a-c2110035978a",
    "timestamp_received_iso8601": "2020-08-04T11:40:23.152Z",
    "destination_canonical": "198.51.100.130",
    "time_offset": "Z"
}
案件總覽
結果類型 說明 類型
輸出訊息*

一般錯誤：「由於發生錯誤，因此無法完成動作：{error}」，結果值應設為 false，且動作應失敗。

如果動作順利完成：「Successfully returned {len(events)} AlienVault Anywhere events」

如果動作無法執行：「Failed to list Endgame AlienVault Anywhere events!」

產品版本參數設為 V1 時：「動作應失敗，並顯示 V2 支援的明確訊息。」

 一般
CSV 表格

表格標題：事件

表格欄：

  • ID
  • 名稱
  • 發生時間
  • 接收時間
  • 受限
  • 嚴重性
  • 類別
  • 子類別
  • 存取控管結果
  • 目的地
  • 目的地通訊埠
  • 來源
  • 來源通訊埠

值：

  1. id= uuid
  2. name = event_name
  3. Occurred Time=timestamp_occurred_iso8601
  4. Received Time=timestamp_received_iso8601
  5. Suppressed =suppressed
  6. Severity = event_severity
  7. 類別 = event_category
  8. 子類別 = event_subcategory
  9. 存取控管結果 = access_control_outcome
  10. Destination = destination_name
  11. Destination Port = destination_port
  12. Source = source_name
  13. Source Port= source_port
 一般

乒乓

測試連線能力。

參數

不適用

執行日期

這項操作會對所有實體執行。

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
成功 True 或 False success:False

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

AlienVault USM Anywhere 連接器

Google SecOps 會近乎即時地從 LevelBlue USM Anywhere 擷取警報，並轉送為案件的警告。

連接器參數

使用下列參數設定連接器：

參數名稱 類型 預設值 為必填 說明
環境 DDL 不適用 是

選取所需環境。例如「Customer One」。

如果快訊的「Environment」(環境) 欄位空白，就會插入這個環境。
執行頻率 整數 0:0:0:10 否 選取執行連結的時間。
產品欄位名稱 字串 device_product 是 用於判斷裝置產品的欄位名稱。
事件欄位名稱 字串 event_name 是

決定事件名稱 (子類型) 的欄位名稱。
回溯天數上限 整數 1 是 擷取快訊前，連接器首次疊代的天數。

這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。
每個週期最多可傳送的快訊數量 整數 10 是

每個連接器週期中擷取的快訊數量上限。

限制每個週期的快訊數量。
驗證 SSL 核取方塊 已取消勾選 否 如果選取，整合功能會在連線至 LevelBlue USM Anywhere 伺服器時驗證 SSL 憑證。
產品版本 字串 V2 是 AlienVault Anywhere 版本：V1、V2。
Secret 密碼 不適用 是 對應使用者的密碼。
ClientID 字串 不適用 是 使用者 ID。
API 根 字串 不適用 是 範例：https://<instance>.alienvault.com
指令碼逾時 (秒) 字串 60 是

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。
Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。
Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
規則方法 字串 不適用 否 依規則方法篩選警報。這個方法會提供攻擊目標和特定安全漏洞的更多詳細資料。範例：Firefox - CVE-2008-4064
規則策略 字串 不適用 否 觸發警報的規則策略。舉例來說，如果攻擊者試圖利用網路瀏覽器中的已知安全漏洞，請使用「用戶端攻擊 - 已知安全漏洞」。
規則意圖 字串 不適用 否 依警報用途篩選警報。意圖會說明觀察到的行為背景。威脅類別包括：系統入侵、入侵與安裝、傳遞與攻擊、偵察與探測、環境感知。
優先順序 字串 不適用 否 依警報優先順序篩選，以半形逗號分隔。有效值：high/medium/low
使用「已隱藏」篩選器 核取方塊 已取消勾選 否 這個參數會用來判斷是否要使用「顯示已隱藏」篩選器，篩選傳入的警告。
顯示已隱藏的項目 核取方塊 已勾選 否 是否要在搜尋中納入已隱藏的警示。
緩衝期 整數 0 否 連接器執行作業的緩衝期 (以小時為單位)。

AlienVault USM Anywhere 連接器有兩個參數，可根據快訊的 suppressed 屬性，智慧篩選要擷取至 Google SecOps 的快訊：

  • Use Suppressed Filter：這項參數決定是否要使用 Show Suppressed 篩選器篩選傳入的警告。

  • Show Suppressed：這項參數決定是否要在搜尋結果中納入已抑制的警報。這個連接器有三個選項：

    1. 帶入所有 AV 警示，無論是否隱藏 - 清除兩個方塊。
    2. 只從 AV 帶入未抑制的警示：勾選「Use Suppressed Filter」方塊，並清除「Show Suppressed」方塊。
    3. 只從 AV 匯入已隱藏的警示，不匯入其他內容：請同時勾選「Use Suppressed Filter」和「Show Suppressed」方塊。這是預設選項。

如要進一步瞭解 AlienVault 的警報抑制功能，請參閱「從警報頁面建立抑制規則」。

連接器規則

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。