將 Armis 與 Google SecOps 整合

本文說明如何將 Armis 與 Google Security Operations 整合。

應用實例

  1. 執行充實動作。
  2. 擷取快訊。
  3. 執行分類動作 (更新快訊狀態)。

整合參數

請使用下列參數設定整合：

參數名稱 類型 預設值 為必填 說明
API 根層級 字串 是 Armis API 根
API 密鑰 密碼 不適用 是 Armis API 密鑰
驗證 SSL 核取方塊 已勾選 是 如果啟用，系統會驗證連至 Armis 伺服器的 SSL 憑證是否有效。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

乒乓

測試與 Armis 的連線能力。

參數

不適用

執行日期

動作不使用實體，也沒有必要輸入參數。

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功：「已使用提供的連線參數成功連線至 Armis 伺服器！」

動作應失敗並停止執行應對手冊：

如果失敗：「無法連線至 Armis 伺服器！錯誤為 {0}".format(exception.stacktrace)

 一般

充實實體

使用 Armis 的資訊充實實體。支援的實體：IP、MAC 位址。

參數

參數名稱 類型 預設值 為必填 說明
建立端點洞察 核取方塊 已勾選 是 如果啟用，這項動作會建立包含端點資訊的深入分析。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • MAC 位址

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True/False is_success:False

JSON 結果

{
    "accessSwitch": null,
    "category": "Computers",
    "dataSources": [
        {
            "firstSeen": "2021-03-07T04:04:22.562873+00:00",
            "lastSeen": "2021-03-07T04:04:22.562873+00:00",
            "name": "Example",
            "types": [
                "Asset & System Management",
                "Virtualization"
            ]
        },
        {
            "firstSeen": "2021-03-07T04:04:22.562873+00:00",
            "lastSeen": "2021-03-07T04:04:22.562873+00:00",
            "name": "Armis Smart Scanner",
            "types": [
                "Vulnerability Management"
            ]
        }
    ],
    "firstSeen": "2021-03-07T04:04:22.562873+00:00",
    "id": 1616,
    "ipAddress": "192.0.2.120",
    "ipv6": null,
    "lastSeen": "2021-03-21T08:05:40.244960+00:00",
    "macAddress": "01:23:45:ab:cd:ef",
    "manufacturer": "VMware",
    "model": "VMware Virtual Platform",
    "name": "Example",
    "operatingSystem": "CentOS",
    "operatingSystemVersion": "6.6",
    "purdueLevel": 4.0,
    "riskLevel": 5,
    "sensor": {
        "name": "North conference room",
        "type": "Physical Sensor"
    },
    "site": {
        "location": "Palo Alto",
        "name": "Palo Alto Offices"
    },
    "tags": [
        "Discover",
        "Example"
    ],
    "type": "Virtual Machines",
    "user": "",
    "visibility": "Full"
}

實體擴充

補充資料欄位名稱 邏輯 - 應用時機
category JSON 格式 (如有)
id JSON 格式 (如有)
ipAddress JSON 格式 (如有)
macAddress JSON 格式 (如有)
名稱 JSON 格式 (如有)
os JSON 格式 (如有)
purdue_level JSON 格式 (如有)
risk_level JSON 格式 (如有)
標記 JSON 格式 (如有)
類型 JSON 格式 (如有)
使用者 JSON 格式 (如有)
可見度 JSON 格式 (如有)
網站 JSON 格式 (如有)
連結 JSON 格式 (如有)
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if enriched some(is_success = true): "Successfully enriched the following entities using Armis:\n".format(entity.identifier)

如果未擴充部分實體 (is_success = true)："Action wasn't able to enriche the following entities using Armis:\n".format(entity.identifier)

如果未擴充所有實體 (is_success = false)：「未擴充任何實體」。

動作應失敗並停止執行自動化動作：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『充實實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
實體表格 實體

列出警告連結

在 Armis 中列出與快訊相關的連線。

參數

參數名稱 類型 預設值 為必填 說明
快訊 ID 整數 是 指定要提取連線資料的快訊 ID。
要擷取的最低嚴重性 DDL

中

可能的值：

  • 低
  • 中
  • 高
 否 指定擷取連線時應使用的最低嚴重性。
要傳回的連線數量上限 整數 50 否 指定要傳回的連線數量。

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True/False is_success:False

JSON 結果

{
    "band": null,
    "channel": null,
    "dhcpAuthenticationDuration": null,
    "duration": 12339,
    "endTimestamp": "2021-03-18T20:19:31.562873+00:00",
    "id": 33355,
    "inboundTraffic": 12412512,
    "outboundTraffic": 19626489,
    "protocol": "Bluetooth",
    "radiusAuthenticationDuration": null,
    "risk": "Medium",
    "rssi": null,
    "sensor": {
        "name": "EXAMPLE",
        "type": "Switch"
    },
    "site": {
        "location": "Location",
        "name": "Location HQ"
    },
    "snr": null,
    "sourceId": 2097,
    "startTimestamp": "2021-03-18T16:53:52.562873+00:00",
    "targetId": 217,
    "title": "Connection between Example and user's iPhone",
    "totalAssociationDuration": null,
    "traffic": 32039001,
    "wlanAssociationDuration": null
}
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果狀態碼為 200 且有資料 (is_success = true)：「Successfully returned connections related to the alert {alertId} based on the provided criteria in Armis.」

如果狀態碼為 200，且沒有可用資料 (is_success=false)：「根據 Armis 中提供的條件，找不到與快訊 {alertId} 相關的連線。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『列出快訊連線』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

名稱：Available Communications

欄：

  • 標題
  • 通訊協定
  • 嚴重性
  • 開始時間
  • 結束時間
 一般

更新警告狀態

在 Armis 中更新快訊狀態。

參數

參數名稱 類型 預設值 為必填 說明
快訊 ID 整數 是 指定要更新狀態的快訊 ID。
狀態 DDL

未處理

可能的值包括：

  • 未處理
  • 受限
  • 已解決
 否 指定快訊應設定的狀態。

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if 200 (is_success = true):「已成功在 Armis 中將快訊「{alert id}」的狀態更新為「{status}」。」

If 400 (is_success=true): "Alert "{alert id}" already has status "{status}" in Armis. 」

動作應失敗並停止執行應對手冊：

if fatal error, like wrong credentials, no connection to server, other: "Error executing action "Update Alert Status". 原因：{0}''.format(error.Stacktrace)

如果 404：「Error executing action "Update Alert Status". 原因：在 Armis 中找不到快訊「{alert id}」。

 一般

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Armis - 警告連接器

從 Armis 提取快訊和相關活動。

連接器參數

使用下列參數設定連接器：

參數名稱 類型 預設值 為必填 說明
產品欄位名稱 字串 alert_type 是

儲存產品名稱的欄位名稱。

預設值為 alert_type。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值 alert_type 會解析為程式碼參照的備用值。如果這個參數的輸入值無效，預設會解析為備用值。
事件欄位名稱 字串 類型 是

決定事件名稱 (子類型) 的欄位名稱。
環境欄位名稱 字串 "" 否

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。
Environment Regex Pattern 字串 .* 否

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。
API 根層級 字串 https:// 是 Armis 執行個體的 API 根目錄。
API 密鑰 密碼 不適用 是 Armis 帳戶的 API 密鑰。
要擷取的最低嚴重性 低 低 否 用於擷取快訊的最低嚴重性。可能的值：Low、Medium、High。
往回查詢時數上限 整數 1 否

在第一次連接器疊代前，擷取快訊的小時數。

這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。
要擷取的警告數量上限 整數 10 否 每個連接器疊代要處理的警告數量。最大值為 1000。
Use whitelist as a blacklist 核取方塊 已勾選 是

如果選取，連接器會將動態清單做為封鎖清單。
驗證 SSL 核取方塊 已取消勾選 是 如果選取，整合項目會在連線至 Armis 伺服器時驗證 SSL 憑證。
Proxy 伺服器位址 字串 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 否 用於驗證的 Proxy 密碼。

連接器規則

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。