將 Anomali STAXX 與 Google SecOps 整合
本文說明如何將 Anomali STAXX 與 Google Security Operations (Google SecOps) 整合。
整合參數
請使用下列參數設定整合:
| 參數名稱 | 類型 | 預設值 | 為必填 | 說明 |
|---|---|---|---|---|
| 執行個體名稱 | 字串 | 不適用 | 否 | 要設定整合的執行個體名稱。 |
| 說明 | 字串 | 不適用 | 否 | 執行個體的說明。 |
| 伺服器位址 | 字串 | https://<ip>:<port> | 是 | Anomali STAXX 執行個體的伺服器位址。 |
| 使用者名稱 | 字串 | 不適用 | 是 | Anomali STAXX 帳戶的使用者名稱。 |
| 密碼 | 密碼 | 不適用 | 是 | Anomali STAXX 帳戶的密碼。 |
| 驗證 SSL | 核取方塊 | 已取消勾選 | 否 | 如果啟用,系統會驗證連至 Anomali STAXX 伺服器的 SSL 憑證是否有效。 |
| 遠端執行 | 核取方塊 | 已勾選 | 否 | 勾選這個欄位,即可從遠端執行設定的整合項目。勾選後,系統會顯示選取遠端使用者 (代理) 的選項。 |
如要瞭解如何在 Google SecOps 中設定整合功能,請參閱「設定整合功能」。
如有需要,您可以在後續階段進行變更。設定整合執行個體後,即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體,請參閱「支援多個執行個體」。
動作
如要進一步瞭解動作,請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。
乒乓
在 Google SecOps Content Hub 頁面的整合設定頁面,使用提供的參數測試與 Anomali STAXX 的連線能力。
參數
無
執行日期
這項動作不會對實體執行,也沒有必要輸入參數。
動作結果
指令碼執行結果
| 指令碼結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True 或 False | is_success:False |
案件總覽
| 結果類型 | 說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗,也不應停止執行應對手冊: 如果成功: 「已成功使用提供的連線參數連線至 Anomali STAXX 伺服器!」 動作應失敗並停止執行應對手冊: 如果未成功: 「無法連線至 Anomali STAXX 伺服器!錯誤為 {0}".format(exception.stacktrace) |
一般 |
連接器
如要進一步瞭解如何在 Google SecOps 中設定連接器,請參閱「擷取資料 (連接器)」。
Anomali STAXX - Indicators Connector
從 Anomali STAXX 提取指標。
連接器參數
使用下列參數設定連接器:
| 參數名稱 | 類型 | 預設值 | 為必填 | 說明 |
|---|---|---|---|---|
| 產品欄位名稱 | 字串 | 產品名稱 | 是 |
儲存產品名稱的欄位名稱。 產品名稱主要會影響對應。為簡化及改善連接器的對應程序,預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效,預設會解析為備用值。 預設值為 |
| 事件欄位名稱 | 字串 | itype | 是 | 決定事件名稱 (子類型) 的欄位名稱。 |
| 環境欄位名稱 | 字串 | "" | 否 | 儲存環境名稱的欄位名稱。 如果缺少環境欄位,連接器會使用預設值。 |
Environment Regex Pattern |
字串 | .* | 否 |
規則運算式模式,用於對 使用預設值 如果規則運算式模式為空值或空白,或環境值為空值,則最終環境結果為預設環境。 |
| 指令碼逾時 (秒) | 整數值 | 180 | 是 | 執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。 |
| 伺服器位址 | 字串 | https://<ip>:<port> | 是 | Anomali STAXX 執行個體的伺服器位址。 |
| 使用者名稱 | 字串 | 不適用 | 是 | Anomali STAXX 帳戶的使用者名稱。 |
| 密碼 | 密碼 | 不適用 | 是 | Anomali STAXX 帳戶的密碼。 |
| 伺服器時區 | 字串 | 不適用 | 否 | 指定 Anomali STAXX 伺服器設定的時區 (相對於世界標準時間),例如 +1 或 -1。如未指定,連接器會使用世界標準時間做為預設時區。 |
| 要擷取的最低嚴重性 | 字串 | 中 | 是 | 用於擷取指標的最低嚴重性。 可能的值包括:
|
| 要擷取的最低信賴度 | 整數 | 0 | 否 | 用於擷取指標的最低可信度。 |
| 擷取過去幾小時內的資料 | 整數 | 1 | 否 | 要擷取指標的時間範圍 (以小時為單位,從現在往前推算)。 這個參數可套用至首次啟用連接器後的初始連接器疊代,或過期連接器時間戳記的備用值。 |
| 要擷取的指標數量上限 | 整數 | 50 | 否 | 每次連接器疊代要處理的指標數量。 |
Use whitelist as a blacklist |
核取方塊 | 已取消勾選 | 是 | 如果選取,連接器會將動態清單做為封鎖清單。 |
| 驗證 SSL | 核取方塊 | 已取消勾選 | 是 | 如果選取,整合功能會在連線至 Anomali STAXX 伺服器時驗證 SSL 憑證。 |
| Proxy 伺服器位址 | 字串 | 不適用 | 否 | 要使用的 Proxy 伺服器位址。 |
| Proxy 使用者名稱 | 字串 | 不適用 | 否 | 用於驗證的 Proxy 使用者名稱。 |
| Proxy 密碼 | 密碼 | 不適用 | 否 | 用於驗證的 Proxy 密碼。 |
連接器規則
連接器支援 Proxy。
還有其他問題嗎?向社群成員和 Google SecOps 專業人員尋求解答。