将 Axonius 与 Google SecOps 集成

本文档介绍了如何将 Axonius 与 Google Security Operations (Google SecOps) 集成。

使用场景

执行丰富化操作。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://{root} 是 Axonius API 根
API 密钥 字符串 不适用 是 Axonius API 密钥
API 密钥 密码 不适用 是 Axonius API 密钥
验证 SSL 复选框 勾选 是 如果选中，集成会在连接到 Axonius 服务器时验证 SSL 证书。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

Ping

测试与 Axonius 的连接。

运行时间

该操作不针对实体运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 Axonius 服务器！”

操作应失败并停止 playbook 执行：

如果不成功：“Failed to connect to the Axonius server! 错误为 {0}”。format(exception.stacktrace)

 常规

丰富实体

使用 Axonius 中的信息丰富实体。支持的实体包括主机名、IP 地址、MAC 地址、用户和电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数

参数显示名称 类型 默认值 为必填项 说明
创建端点分析 复选框 正确 否 如果启用，操作将创建包含端点相关信息的分析洞见。
创建用户分析 复选框 正确 否 如果启用，操作将创建包含用户相关信息的分析洞见。
返回的备注数上限 整数 50 否 指定要在支持请求墙表格中显示的备注数量。

运行时间

此操作将在以下实体上运行：

  • 主机名
  • IP 地址
  • MAC 地址
  • 用户
  • 电子邮件

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True

JSON 结果 - 针对端点：

{
    "adapters": [
        {
            "accurate_for_datetime": "Sun, 21 Mar 2021 03:44:19 GMT",
            "client_used": "DOMAIN\\axoniusSvc",
            "raw": {
                "ad_distinguished_name": "CN=DESKTOP-ID,OU=Computers,DC=demo,DC=local",
                "ad_object_class": [
                    "top",
                    "person",
                    "organizationalperson",
                    "user",
                    "computer"
                ],
                "ad_sAMAccountName": "",
                "ad_site_location": "Richmond",
                "ad_site_name": "",
                "device_disabled": false,
                "device_managed_by": "Example User",
                "domain": "example.example",
                "hostname": "HOSTNAME",
                "id": "CN=ID,OU=Computers,DC=demo,DC=local",
                "last_seen": "Tue, 16 Mar 2021 19:44:05 GMT",
                "name": "NAME",
                "network_interfaces": [
                    {
                        "ips": [
                            "IP"
                        ],
                        "ips_raw": [
                            "IP_RAW"
                        ],
                        "ips_v4": [
                            "IP_V4"
                        ],
                        "ips_v4_raw": [
                            "IP_V4_RAW"
                        ]
                    }
                ],
                "os": {
                    "bitness": 64,
                    "distribution": "10",
                    "is_windows_server": false,
                    "os_str": "windows 10 pro 64-bit",
                    "type": "Windows",
                    "type_distribution": "Windows 10"
                },
                "part_of_domain": true
            },
            "plugin_name": "",
            "plugin_type": "Adapter",
            "plugin_unique_name": "",
            "quick_id": "active_directory_adapter_0!CN=ID,OU=OU,DC=DOMAIN,DC=DOMAIN",
            "type": "entitydata"
        },
        {
            "accurate_for_datetime": "Sun, 21 Mar 2021 03:43:52 GMT",
            "client_used": "https://DOMAIN",
            "raw": {
                "hostname": "HOSTNAME",
                "id": "ID",
                "last_seen": "Sun, 21 Mar 2021 01:50:28 GMT",
                "name": "NAME",
                "network_id": "NETWORK_ID",
                "network_interfaces": [
                    {
                        "ips": [
                            "IP"
                        ],
                        "ips_raw": [
                            "IP_RAW"
                        ],
                        "ips_v4": [
                            "IP_V4"
                        ],
                        "ips_v4_raw": [
                            "IP_V4_RAW"
                        ],
                        "mac": "01:23:45:AB:CD:EF",
                        "manufacturer": "(Intel Corporate)"
                    }
                ]
            },
            "plugin_name": "Example",
            "plugin_type": "Adapter",
            "plugin_unique_name": "Example",
            "quick_id": "ID",
            "type": "entitydata"
        }
    ],
"Notes": [],
    "internal_axon_id": "",
    "labels": []
}

JSON 结果 - 针对用户：

{
    "adapters": [
        {
            "accurate_for_datetime": "Sun, 21 Mar 2021 03:45:01 GMT",
            "client_used": "DOMAIN\\axoniusSvc",
            "raw": {
                "account_disabled": false,
                "ad_display_name": "",
                "ad_distinguished_name": "CN=example, DC=example",
                "ad_sid": "S-1-5-21-70119-3234025",
                "ad_uac_dont_expire_password": false,
                "ad_uac_password_not_required": false,
                "display_name": "",
                "domain": "example.example",
                "employee_id": "ID",
                "first_name": "Example",
                "id": "CN=example, DC=example",
                "is_admin": false,
                "is_local": false,
                "is_locked": false,
                "last_name": "Example",
                "last_password_change": "Wed, 17 Mar 2021 09:12:11 GMT",
                "last_seen": "Thu, 18 Mar 2021 09:25:08 GMT",
                "mail": "email@example.com",
                "password_never_expires": false,
                "password_not_required": false,
                "user_city": "Boston",
                "user_telephone_number": "(800) 555-0175",
                "username": "user@example.com"
            },
            "user_city": "Boston",
            "user_telephone_number": "(800) 555-0175",
            "username": "user@example.com",
            "plugin_name": "active_directory_adapter",
            "plugin_type": "Adapter",
            "plugin_unique_name": "active_directory_adapter_0",
            "quick_id": "active_directory_adapter_0!CN=example,DC=example",
            "type": "entitydata"
        }
    ],
"Notes": [],
    "internal_axon_id": "",
    "labels": []
}

实体丰富化 - 适用于端点：

扩充项字段名称 逻辑 - 适用场景
object_classes 当 JSON 中有可用数据时
site_name 当 JSON 中有可用数据时
device_disabled 当 JSON 中有可用数据时
device_managed_by 当 JSON 中有可用数据时
主机名 当 JSON 中有可用数据时
ad_distinguished_name 当 JSON 中有可用数据时
asset_name 当 JSON 中有可用数据时
IP 地址 当 JSON 中有可用数据时
os 当 JSON 中有可用数据时
id 当 JSON 中有可用数据时
链接 当 JSON 中有可用数据时

实体丰富化 - 面向用户：

扩充项字段名称 逻辑 - 适用场景
account_disabled 当 JSON 中有可用数据时
ad_display_name 当 JSON 中有可用数据时
ad_distinguished_name 当 JSON 中有可用数据时
ad_sid 当 JSON 中有可用数据时
employee_id 当 JSON 中有可用数据时
is_admin 当 JSON 中有可用数据时
is_local 当 JSON 中有可用数据时
is_locked 当 JSON 中有可用数据时
mail 当 JSON 中有可用数据时
user_telephone_number 当 JSON 中有可用数据时
id 当 JSON 中有可用数据时
链接 当 JSON 中有可用数据时
案例墙
结果类型 值/说明 类型（实体 \ 常规）
输出消息*

操作不应失败，也不应停止 playbook 执行：

If enriched some(is_success = true): "Successfully enriched the following entities using Axonius:\n".format(entity.identifier)

如果未丰富某些实体 (is_success = true)："Action wasn't able to enriche the following entities using Axonius:\n".format(entity.identifier)

如果未扩充所有实体 (is_success = false)：“未扩充任何实体”。

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)

 常规
实体表 实体

案例墙表格

（如果属性/数据/数据列表有值）

名称：{entity.identifier}：备注

列：

  • 用户名
  • 注意
  • 时间
 常规

添加备注

在 Axonius 中为实体添加备注。支持的实体包括主机名、IP 地址、MAC 地址、用户和电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数

参数显示名称 类型 默认值 为必填项 说明
注意 字符串 不适用 是 指定需要添加的备注。

运行时间

此操作将在以下实体上运行：

  • 主机名
  • IP 地址
  • MAC 地址
  • 用户
  • 电子邮件地址

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True

JSON 结果

{
    "data": {
        "attributes": {
            "accurate_for_datetime": "2021-03-21T15:55:10.876568+00:00",
            "note": "example",
            "user_id": "",
            "user_name": "internal/apiNAME",
            "uuid": ""
        },
        "type": "notes_details_schema"
    }
}
案例墙
结果类型 值/说明 类型（实体 \ 常规）
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少有一个成功(is_success = true)： "Successfully added note to the following entities in Axonius: {0}".format(entities)

If at least fail for one(is_success = true): "Action wasn't able to add a note to the following entities in Axonius: {0}".format(entities)

如果所有实体都失败 (is_success = false)：“Note wasn't added to the provided entities.”。

操作应失败并停止 playbook 执行：

如果发生严重错误，例如凭据错误、无法连接到服务器等：“执行‘添加备注’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规

添加标记

在 Axonius 中为实体添加标记。支持的实体：主机名、IP、MAC 地址、用户、电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数

参数显示名称 类型 默认值 为必填项 说明
标记 CSV 是 指定必须添加到实体的标记的逗号分隔列表。

运行时间

此操作将在以下实体上运行：

  • 主机名
  • IP 地址
  • MAC 地址
  • 用户
  • 电子邮件地址

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型（实体 \ 常规）
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少有一个成功(is_success = true)： "Successfully added tags to the following entities in Axonius: {0}".format(entities)

如果至少有一个失败(is_success = true)： "Action wasn't able to add tags to the following entities in Axonius: {0}".format(entities)

如果全部失败 (is_success = false)：“未能向提供的实体添加标签。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示：“执行‘添加标记’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规

移除标记

从 Axonius 中的实体中移除标记。支持的实体：主机名、IP、MAC 地址、用户、电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数
参数显示名称 类型 默认值 为必填项 说明
标记 CSV 是 指定必须从实体中移除的标记列表（以英文逗号分隔）。

运行时间

此操作将在以下实体上运行：

  • 主机名
  • IP 地址
  • MAC 地址
  • 用户
  • 电子邮件地址

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型（实体 \ 常规）
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少有一个成功(is_success = true)：“Successfully removed tags from the following entities in Axonius: {0}”.format(entities)

if at least fail for one(is_success = true): "Action wasn't able to remove tags from the following entities in Axonius: {0}".format(entities)

如果全部失败 (is_success = false)：“未能从提供的实体中移除标签。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action "Remove Tags". Reason: {0}''.format(error.Stacktrace)

 常规

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。