Cisco Orbital

本文档介绍了如何将 Cisco Orbital 与 Google Security Operations 集成。

使用场景

执行主动操作 - 执行 SQL 查询以获取有关端点的更多信息。

配置 Cisco Orbital 集成，以便与 Google Security Operations 搭配使用

产品权限

为了进行身份验证，您需要生成一个令牌，并在 API 请求中使用此令牌。

如何生成客户端 ID 和客户端密钥

如需生成客户端 ID 和客户端密钥，您需要执行以下步骤：

  1. 登录 Cisco Orbital。
  2. 前往账号设置，然后点击创建 API 凭证。
  3. 填写这些字段。
  4. 复制客户端 ID 和客户端密钥。

在 Google SecOps 中配置 Cisco Orbital 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
实例名称 字符串 不适用 否 您要为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
客户端 ID 字符串 不适用 是 Cisco Orbital 账号的客户端 ID。
客户端密钥 密码 不适用 是 Cisco Orbital 账号的客户端密钥。
验证 SSL 复选框 勾选 否 如果启用此设置，系统会验证与 Cisco Orbital 服务器的连接所使用的 SSL 证书是否有效。
远程运行 复选框 尚未核查 否 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。

操作

Ping

说明

使用 Google SecOps 内容中心页面中的集成配置页面上提供的参数，测试与 Cisco Orbital 的连接。

参数

不适用

运行时间

该操作不会对实体运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功： “已使用提供的连接参数成功连接到 Cisco Orbital 服务器！”

操作应失败并停止 playbook 执行：

如果不成功： “Failed to connect to the Cisco Orbital server! 错误为 {0}”。format(exception.stacktrace)

 常规

执行查询

说明

根据 Cisco Orbital 中的 IP 和主机名实体，在端点上执行查询。

参数

参数显示名称 类型 默认值 为必填项 说明
查询 字符串 不适用 是 指定需要执行的查询。
名称 字符串 不适用 否 指定查询作业的名称。如果未指定任何内容，则操作会使用以下格式的名称：PRODUCT_NAME-GUID
自定义上下文字段 字符串 不适用 否 指定应添加到作业中的其他自定义上下文。格式：key_1:value_1,key_2:value_1。
返回的结果数上限 整数 100 否 指定应返回的结果数量。
隐藏案例墙表格 复选框 不适用 否 如果启用，操作将不会准备案例墙表。
超时 整数 1 否 指定在完成操作执行之前等待结果的分钟数。最长：5 分钟。默认值：1 分钟。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
{
    "results": [
        {
            "node": "eXHZw6pLMxepKQtf9B8VTQ",
            "osQuery": [
                {
                    "sql": "SELECT name,pid FROM processes;"
                }
            ],
            "osQueryResult": [
                {
                    "types": [
                        "",
                        ""
                    ],
                    "columns": [
                        "name",
                        "pid"
                    ],
                    "values": [
                        "[System Process]",
                        "0",
                        "System",
                        "4",
                        "Registry",
                        "88",
                        "smss.exe",
                        "516",
                        "csrss.exe",
                        "596",
                        "wininit.exe",
                        "672",
                        "csrss.exe",
                        "680",
                        "winlogon.exe",
                        "724",
                        "services.exe",
                        "796",
                        "lsass.exe",
                        "804",
                        "svchost.exe",
                        "916",
                        "fontdrvhost.exe",
                        "936",
                        "svchost.exe",
                        "944",
                        "svchost.exe",
                        "1020",
                        "svchost.exe",
                        "296",
                        "fontdrvhost.exe",
                        "560",
                        "dwm.exe",
                        "1048",
                        "svchost.exe",
                        "1136",
                        "svchost.exe",
                        "1144",
                        "svchost.exe",
                        "1192",
                        "svchost.exe",
                        "1256",
                        "svchost.exe",
                        "1280",
                        "svchost.exe",
                        "1372",
                        "svchost.exe",
                        "1392",
                        "svchost.exe",
                        "1488",
                        "svchost.exe",
                        "1504",
                        "svchost.exe",
                        "1552",
                        "svchost.exe",
                        "1604",
                        "svchost.exe",
                        "1716",
                        "svchost.exe",
                        "1724",
                        "svchost.exe",
                        "1804",
                        "svchost.exe",
                        "1812",
                        "svchost.exe",
                        "1964"
                    ],
                    "error": "",
                    "secs": 0.06800670176744461,
                    "label": "",
                    "name": ""
                }
            ],
            "error": {
                "en": ""
            },
            "hostinfo": {
                "osinfo": {
                    "os": "windows",
                    "osname": "Windows 10 Enterprise Evaluation",
                    "release": "6.3",
                    "version": "10.0.18363",
                    "arch": "amd64"
                },
                "hostname": "TIP-HW-HOST-034",
                "interfaces": {
                    "Ethernet0": {
                        "name": "Ethernet0",
                        "mac": "00:50:56:a2:05:8b",
                        "ipv4": "172.30.202.128/24",
                        "ipv6": "fe80::983:e8ed:c392:3e3e/64",
                        "active": true
                    }
                },
                "external": {
                    "name": "",
                    "mac": "",
                    "ipv4": "185.180.102.139",
                    "active": true
                },
                "updated": "2020-10-12T12:03:30.1329732Z",
                "version": "v1.7.6"
            },
            "rowcount": 149,
            "context": {
                "description": "front desk",
                "lol": "kek",
                "value": "anything\"}"
            }
        },
        {
            "node": "oHNPQUeWwK1ql3R2J13GSw",
            "osQuery": [
                {
                    "sql": "SELECT name,pid FROM processes;"
                }
            ],
            "osQueryResult": [
                {
                    "types": [
                        "",
                        ""
                    ],
                    "columns": [
                        "name",
                        "pid"
                    ],
                    "values": [
                        "[System Process]",
                        "0",
                        "System",
                        "4",
                        "Registry",
                        "88",
                        "smss.exe",
                        "360",
                        "csrss.exe",
                        "440",
                        "wininit.exe",
                        "520",
                        "csrss.exe",
                        "536",
                        "winlogon.exe",
                        "616",
                        "services.exe",
                        "656",
                        "lsass.exe",
                        "664",
                        "svchost.exe",
                        "772",
                        "fontdrvhost.exe",
                        "784",
                        "fontdrvhost.exe",
                        "792",
                        "svchost.exe",
                        "864",
                        "svchost.exe",
                        "6852",
                        "SystemSettings.exe",
                        "7864",
                        "YourPhone.exe",
                        "5160",
                        "RuntimeBroker.exe",
                        "516",
                        "dllhost.exe",
                        "1496"
                    ],
                    "error": "",
                    "secs": 0.025061199441552162,
                    "label": "",
                    "name": ""
                }
            ],
            "error": {
                "en": ""
            },
            "hostinfo": {
                "osinfo": {
                    "os": "windows",
                    "osname": "Windows 10 Enterprise Evaluation",
                    "release": "6.3",
                    "version": "10.0.18363",
                    "arch": "amd64"
                },
                "hostname": "TIP-HW-HOST-033",
                "fqdn": {
                    "127.0.0.1": "www.virustotal.com"
                },
                "interfaces": {
                    "Ethernet0": {
                        "name": "Ethernet0",
                        "mac": "00:50:56:a2:66:8a",
                        "ipv4": "172.30.202.127/24",
                        "ipv6": "fe80::84:5a0f:7973:63/64",
                        "active": true
                    }
                },
                "external": {
                    "name": "",
                    "mac": "",
                    "ipv4": "185.180.102.139",
                    "active": true
                },
                "updated": "2020-10-07T00:11:31.0951018Z",
                "version": "v1.7.6"
            },
            "rowcount": 132,
            "context": {
                "description": "front desk",
                "lol": "kek",
                "value": "anything\"}"
            }
        }
    ],
    "error": {
        "en": ""
    },
    "next": ""
}
案例墙
结果类型 值 / 说明 类型
输出消息\*

操作不应失败，也不应停止 playbook 执行：

如果 SQL 查询在其中一个实体上成功执行 (is_success=true)： "Successfully executed query and retrieved results from Cisco Orbital on the following entities:\n".format(entity.identifier)

If SQL 查询 is not executed on some entities (is_success=true): "Action wasn't able to successfully execute query and retrieve results from Cisco Orbital on the following entities:\n".format(entity.identifier)

如果第一个响应中报告了 400 状态代码 (is_success=false)：“Action wasn't able to execute queries in Cisco Orbital. Reason: {0}".format(comma-separated list of errors)

如果所有结果都出错：“Action wasn't able to execute queries on all provided entities in Cisco Orbital. 原因：查询中存在错误。”

异步消息：“已提交查询。正在等待结果，直到超时。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示： “执行操作‘列出存储桶’时出错。Reason: {0}''.format(error.Stacktrace)

如果“Timeout”参数不在 1-5 范围内：“Timeout value should be in range from 1 to 5.”

 常规

案例墙表格

对于每个没有错误的搜索结果

如果实体类型为主机名：

表名称： "Results for {0}".format(entity.identifier)

如果是其他实体类型：

表名称：“{0} ({1}) 的结果”.format(entity.identifier, hostinfo/hostname)

响应中的所有列都将用作表列。

 常规

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。