ElasticsearchV7

本文档介绍了如何将 ElasticsearchV7 与 Google Security Operations 集成。

配置 ElasticsearchV7 以与 Google Security Operations 搭配使用

如何创建 API 令牌

如需创建新的 API 令牌，请执行以下请求：

curl --location --request POST 'http://<server address>:<port>/_security/api_key' \
--header 'Authorization: Basic Base64(username, password)' \
--header 'Content-Type: application/json' \
--data-raw '{
    "name": "siemplify-integration",
    "role_descriptors": {}
}':

响应示例：

{
  "id": "G1NIWnI",
  "name": "siemplify-integration",
  "api_key": "dSwyjWJ_Ql"
}

1. 我们从响应中获取“id”和“api_key”参数。
2. 使用由冒号连接的“id”和“api_key”的 base64 编码，例如“id:api_key”。
3. 该结果将用作集成中的 API 令牌。

访问 Elasticsearch

Google SecOps 默认通过 TCP 端口 9200 上的 RESTful API 访问 Elasticsearch。Google SecOps 服务器将需要通过 TCP 9200（默认）或在 Elasticsearch 部署期间未使用的备用端口访问相关 Elasticsearch 节点。

在 Google SecOps 中配置 ElasticsearchV7 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

使用 CA 证书配置 Elasticsearch 集成

您可以根据需要使用 CA 证书文件验证连接。

在开始之前，请确保您已具备以下条件：

• CA 证书文件
• 最新的 Elasticsearch 集成版本

如需配置与 CA 证书的集成，请完成以下步骤：

1. 将您的 CA 证书文件解析为 Base64 字符串。
2. 打开集成配置参数页面。
3. 将该字符串插入到 CA 证书文件字段中。
4. 如需测试集成是否已成功配置，请选中验证 SSL 复选框，然后点击测试。

集成参数

使用以下参数配置集成：

操作

高级 ES 搜索

说明

预先制作的 Elasticsearch 测试，可返回字词字典。

参数

Run On

此操作会针对所有实体运行。

操作执行结果

脚本结果

DSL 搜索

说明

搜索 Elasticsearch 中的所有内容，并以字典格式返回结果。此操作仅支持不含时间范围的查询，如果您想在查询中使用时间范围，请使用“高级 ES 搜索”操作。

参数

Run On

此操作会针对所有实体运行。

操作执行结果

脚本结果

JSON 结果

[
    {
        "_score": 0.2876821,
        "_type": "person",
        "_id": "2",
        "_source": {
            "lastname": "Smith",
            "name": "John",
            "job_description": "Systems administrator"
        },
        "_index": "accounts"
    }, {
        "_score": 0.28582606,
        "_type": "person",
        "_id": "1",
        "_source":
        {
            "lastname": "Doe",
            "name": "John",
            "job_description": "Systems administrator and Linux specialist"
        },
        "_index": "accounts"
    }
]

Ping

说明

测试验证与 Elasticsearch 服务器的连接。

参数

不适用

Run On

此操作会针对所有实体运行。

操作执行结果

脚本结果

简单的 ES 搜索

说明

操作会搜索 Elasticsearch 中的所有内容，并以字典格式返回结果。

参数

Run On

此操作会针对所有实体运行。

操作执行结果

脚本结果

JSON 结果

[{
    "_score": 0.2876821,
    "_type": "person",
    "_id": "2",
    "_source":
        {
          "lastname": "Smith",
          "name": "John",
          "job_description": "Systems administrator"
         },
     "_index": "accounts"
 },
 {
     "_score": 0.28582606,
     "_type": "person",
     "_id": "1",
     "_source":
       {
         "lastname": "Doe",
         "name": "John",
         "job_description": "Systems administrator and Linux specialist"
       },
    "_index": "accounts"
  }
 ]

连接器

在 Google SecOps 中配置 Elasticsearch v7 连接器

有关如何在 Google SecOps 中配置连接器的详细说明，请参阅配置连接器。

如需配置所选连接器，请使用下表中列出的连接器专用参数：

• Elasticsearch 连接器配置参数
• Elasticsearch DSL 连接器配置参数

Elasticsearch 连接器

说明

本主题介绍了 Google SecOps 如何将 Elasticsearch 与用于提取和处理数据的机制和配置相集成。

将 Elasticsearch 提醒转发到 Google SecOps

Google SecOps 将使用提供的查询（使用 Lucene 查询语法）搜索指定的 Elasticsearch 索引，并返回 Elasticsearch 文档，这些文档将被翻译并根据上下文转化为案例的“提醒”。

连接器参数

使用以下参数配置连接器：

如何在连接器中映射严重程度

为了映射严重程度，您需要在“严重程度字段名称”参数中指定应使用哪个字段来获取严重程度值。在响应中，您可以获得 3 种类型的值：整数、浮点数和字符串。对于整数和浮点数，您无需进行任何其他配置。连接器将读取这些值，并根据 Google SecOps 标准对其进行映射。简要回顾一下整数值的映射方式：

• 100 - 严重
• 100 > x >= 80 高
• 80 > x >=60 中等
• 60 > x >=40 低
• 40 > x 信息

如果响应中包含字符串，则需要进行额外配置。在连接器脚本所在的文件夹中，您将看到一个名为 severity_map_config.json 的配置文件。此文件定义了严重程度的映射规则。

最初，该文件将如下所示：

{
    "Default": 50
}

假设所需的值位于 event.severity 中。event.severity 可以包含以下值：“恶意”“良性”“未知”。

首先，我们必须在“严重程度字段名称”参数中指定我们将使用 event.severity。

其次，我们必须更新配置文件。

更改后，severity_map_config.json 文件应如下所示：

{
    "event.severity": {
        "Malicious": 100,
        "Unknown": 60,
        "Benign": -1
    },
    "Default": 50
}

现在，当连接器收到 event.severity = "恶意" 的事件时，会将其严重程度设置为“严重”。

连接器规则

白名单/黑名单

连接器不支持白名单/黑名单。

代理支持

连接器支持代理。

Elasticsearch DSL 连接器

说明

连接器通过使用 DSL 查询进行 REST API 调用来工作。

应用场景和示例

能够在 Elasticsearch 中使用 DSL 查询作为搜索参数。

连接器参数

使用以下参数配置连接器：

支持的表示法

连接器支持三种表示法。例如，如果您想在“事件字段名称”参数中使用 event.type。在这种情况下，您可以提供 _source_event_type、event_type 或 event.type。所有这些值的行为方式都相同。

对于参数：

• 商品字段名称
• 事件字段名称
• 严重程度字段名称
• 环境字段
• 时间戳字段
• “提醒名称”字段
• 提醒说明字段 - 此字段仅适用于 DSL 连接器

如何在连接器中映射严重程度

为了映射严重程度，您需要在“严重程度字段名称”参数中指定应使用哪个字段来获取严重程度值。在响应中，您可以获得 3 种类型的值：整数、浮点数和字符串。对于整数和浮点数，您无需进行任何其他配置。连接器将读取这些值，并根据 Google SecOps 标准对其进行映射。简要回顾一下整数值的映射方式：

• 100 - 严重
• 100 > x >= 80 高
• 80 > x >=60 中等
• 60 > x >=40 低
• 40 > x 信息

如果响应中包含字符串，则需要进行额外配置。在连接器脚本所在的文件夹中，您将看到一个名为 severity_map_config.json 的配置文件。此文件定义了严重程度的映射规则。

最初，该文件将如下所示：

{
    "Default": 50
}

假设所需的值位于 event.severity 中。event.severity 可以包含以下值：“恶意”“良性”“未知”。

首先，我们必须在“严重程度字段名称”参数中指定我们将使用 event.severity。

其次，我们必须更新配置文件。

更改后，severity_map_config.json 文件应如下所示：

{
    "event.severity": {
        "Malicious": 100,
        "Unknown": 60,
        "Benign": -1
    },
    "Default": 50
}

现在，当连接器收到 event.severity = "恶意" 的事件时，会将其严重程度设置为“严重”。

连接器规则

白名单/黑名单

连接器不支持白名单/黑名单。

代理支持

连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。