将 LevelBlue USM Appliance 与 Google SecOps 集成

本文档介绍了如何将 LevelBlue Unified Security Management (USM) Appliance 与 Google Security Operations (Google SecOps) 集成。

集成参数

使用以下参数配置集成：

参数名称 类型 默认值 为必填项 说明
实例名称 字符串 不适用 否 您要为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 https://<instance>.alienvault.com 是 LevelBlue USM Appliance 实例的地址。
用户名 字符串 不适用 是 用户用于连接到 LevelBlue USM Appliance 的邮箱。
密码 密码 不适用 是 用户账号的密码。
远程运行 复选框 尚未核查 否 选择该字段可远程运行配置的集成。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

丰富资产

检索 LevelBlue USM Appliance 资产详情。在 USM Appliance 中，资产作为集成设备在组织的网络上运行，其中包括一个专属 IP 地址。资产可以是 PC、打印机、防火墙、路由器、服务器或网络允许的多个设备。资产至少由一个 USM Appliance 传感器监控。

参数

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作结果

实体丰富化
扩充项字段名称 逻辑 - 适用场景
模型 如果存在于 JSON 结果中，则返回
descr 如果存在于 JSON 结果中，则返回
主机名 如果存在于 JSON 结果中，则返回
asset_type 如果存在于 JSON 结果中，则返回
fqdn 如果存在于 JSON 结果中，则返回
设备 如果存在于 JSON 结果中，则返回
asset_value 如果存在于 JSON 结果中，则返回
IP 地址 如果存在于 JSON 结果中，则返回
id 如果存在于 JSON 结果中，则返回
传感器 如果存在于 JSON 结果中，则返回
os 如果存在于 JSON 结果中，则返回
网络 如果存在于 JSON 结果中，则返回
图标 如果存在于 JSON 结果中，则返回
脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False
JSON 结果
[
    {
        "EntityResult": {
            "model": null,
            "descr": " ",
            "hostname": "Hostname",
            "asset_type": "Internal",
            "fqdn": " ",
            "devices": [],
            "asset_value": "2",
            "ips": {
                "3.3.3.3": {
                    "ip": "192.0.2.1",
                    "mac": "01:23:45:AB:CD:EF"
                }},
            "id": "123D37D595B800734550B9D9D6A958C6",
            "sensors": {
                "C221234962EA11E697DE0AF71A09DF3B": {
                    "ip": "192.0.2.1",
                    "ctxs": {
                        "C228355962EA11E697DE0AF71A09DF3B": "AlienVault"
                    },
                    "name": "DA"
                }},
            "os": "Linux",
            "networks": {
                "7E4B12EEFD06A21F898345C2AB46EB10": {
                    "ips": "192.0.2.1/24",
                    "ctx": "C228355962EA11E697DE0AF71A09DF3B",
                    "name": "Pvt_000"
                }},
            "icon": " "
        },
        "Entity": "example.com"
    }
]

丰富漏洞信息

从 LevelBlue USM Appliance 检索漏洞信息。USM Appliance Sensor 上的集成式漏洞扫描程序可以检测关键资产中的漏洞。然后，这些发现的漏洞可用于交叉关联规则、强制执行和审核报告。

参数

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作结果

实体丰富化
扩充项字段名称 逻辑 - 适用场景
AlientVault_Severity 如果存在于 JSON 结果中，则返回
AlientVault_Service 如果存在于 JSON 结果中，则返回
AlientVault_Vulnerability 如果存在于 JSON 结果中，则返回
AlientVault_Scan Time 如果存在于 JSON 结果中，则返回
AlientVault_Asset 如果存在于 JSON 结果中，则返回
AlientVault_Id 如果存在于 JSON 结果中，则返回
脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False
JSON 结果
[
    {
        "EntityResult": [{
            "Severity": "High",
            "Service": "general (0/tcp))",
            "Vulnerability": "TCP Sequence Number Approximation Reset Denial of Service Vulnerability",
            "Scan Time": "2014-02-26 02:08:59",
            "Asset": "Hostname (192.0.2.1)",
            "Id": "123456"
        }, {
            "Severity": "High",
            "Service": "https (443/tcp)",
            "Vulnerability": "robot(s).txt exists on the Web Server",
            "Scan Time": "2014-02-26 02:08:59",
            "Asset": "Hostname (192.0.2.1)",
            "Id": "123457"
        }, {
            "Severity": "Medium",
            "Service": "general (0/tcp))",
            "Vulnerability": "TCP timestamps",
            "Scan Time": "2014-02-26 02:08:59",
            "Asset": "Hostname (192.0.2.1)",
            "Id": "123458"
        }],
        "Entity": "test"
    }
]

提取上次的 PCAP 文件

从 AlienVault 提取最新的 PCAP 文件。

参数

参数名称 类型 默认值 说明
要提取的文件数 字符串 不适用 示例：10

运行时间

此操作会在所有实体上运行。

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
JSON 结果
[
    {
        "scan_name": "pcap_file_1545041396_10_192.0.2.1.pcap",
        "creation_time": "2018-12-17 10:09:56",
        "user": null,
        "download_link": "https://www.alienvault.com/ossim/pcap/download.php?scan_name=0000000_10_192.0.2.1.pcap&sensor_ip=192.0.2.1",
        "sensor_ip": "192.0.2.1",
        "duration": "10"
    }, {
        "scan_name": "pcap_file_1545041397_10_192.0.2.1.pcap",
        "creation_time": "2018-12-17 10:09:56",
        "user": null,
        "download_link": "https://www.alienvault.com/ossim/pcap/download.php?scan_name=0000000_10_192.0.2.1.pcap&sensor_ip=192.0.2.1",
        "sensor_ip": "192.0.2.1",
        "duration": "10"
    }, {
        "scan_name": "pcap_file_1545041398_10_192.0.2.1.pcap",
        "creation_time": "2018-12-17 10:09:56",
        "user": null,
        "download_link": "https://www.alienvault.com/ossim/pcap/download.php?scan_name=0000000_10_192.0.2.1.pcap&sensor_ip=192.0.2.1",
        "sensor_ip": "192.0.2.1",
        "duration": "10"
    }
]

获取事件的 PCAP 文件

获取提醒中事件的 PCAP 文件。

参数

不适用

运行时间

此操作会在所有实体上运行。

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
JSON 结果
{
    "#0-1B09DN3B0D2011E985730AS799BFE5BC": "obLD1AACAAQAAAAAAAAAAAAABdwAAAABV+kUZQAHyFMAAAXqAAAF6gr3GgnfOwobLz7Y6wgARQAF3Dd3QABnBvvXVduqw6wfLg8MmgG7xmc2dMr3EdxQEAD+OgAAABcDAwdVAAAAAAAAAASEw70Ys0kQbz8wdaj1lsHAAA=="
}

获取漏洞报告

获取环境漏洞报告文件。

参数

参数名称 类型 默认值 说明
要提取的文件数 字符串 不适用 示例：10

运行时间

此操作会在所有实体上运行。

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
JSON 结果
[
    {
        "creation_time": "2014-02-26 02:08:59",
        "download_link": "https://www.alienvault.com/ossim/vulnmeter/lr_rescsv.php?treport=latest&ipl=192.0.2.1&ctx=C22835597DE0AF71A09DF3B&scantype=M",
        "Address": "Hostname (192.0.2.1)"
    }, {
        "creation_time": "2014-02-26 02:08:59",
        "download_link":
        "https://www.alienvault.com/ossim/vulnmeter/lr_rescsv.php?treport=latest&ipl=192.0.2.1&ctx=C228351E697DE071A09DF3B&scantype=M",
        "Address": "Hostname (192.0.2.1)"
    }, {
        "creation_time": "2014-02-26 02:08:59",
        "download_link": "https://www.alienvault.com/ossim/vulnmeter/lr_rescsv.php?treport=latest&ipl=192.0.2.1&ctx=C22835597DE0AF71A09DF3B&scantype=M",
        "Address": "Hostname (192.0.2.1)"
    }
]

Ping

测试连接。

参数

不适用

运行时间

此操作会在所有实体上运行。

操作结果

脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

AlienVault USM Appliance 连接器

使用以下参数配置连接器：

参数名称 类型 默认值 为必填项 说明
环境 DDL 不适用 是

选择所需的环境。例如，“Customer One”。

如果提醒的环境字段为空，则提醒将被注入此环境。
运行频率 整数 0:0:0:10 否 选择运行连接的时间。
产品字段名称 字符串 device_product 是 用于确定设备产品的字段名称。
事件字段名称 字符串 event_name 是

决定事件名称（子类型）的字段名称。
脚本超时（秒） 字符串 60 是

运行当前脚本的 Python 进程的超时限制（以秒为单位）。
API 根 字符串 不适用 是 LevelBlue USM Appliance 实例的地址，例如 https://<instance>.alienvault.com
用户名 字符串 不适用 是 用户的邮箱。
密码 密码 不适用 是 相应用户的密码。
每个提醒的事件数量上限 整数 10 是 限制每个提醒的事件数量。
回溯的天数上限 整数 1 是 检索今天之前多少天的提醒。

此参数可应用于您首次启用连接器后的初始连接器迭代，或应用于过期连接器时间戳的后备值。
每个周期的提醒数量上限 整数 10 是

每个连接器周期内要提取的提醒数量上限。

限制每个周期内的提醒数量。
服务器时区 字符串 UTC 是 在 AlienVault 实例中配置的时区，例如 UTC Asia/Jerusalem。
环境字段名称 字符串 不适用 否

存储环境名称的字段的名称。

如果缺少环境字段，连接器将使用默认值。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。

连接器规则

连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。