Exabeam Advanced Analytics

本文說明如何將 Exabeam Advanced Analytics 與 Google Security Operations 整合。

應用實例

  1. 執行主動動作：建立/刪除觀察清單、將實體新增至觀察清單、為實體新增註解。
  2. 執行擴充：使用 Exabeam 的資訊擴充實體相關資訊。

在 Google Security Operations 中設定 Exabeam Advanced Analytics 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

產生叢集驗證權杖

  1. 在 Exabeam 中，依序選取 「Settings」 > 「Core」 > 「Admin Operations」 > 「Cluster Authentication Token」。「Cluster Authorization Token」(叢集授權權杖) 頁面隨即顯示。
  2. 按一下「新增」符號。系統隨即會顯示「設定權杖」對話方塊。
  3. 在相關欄位中輸入權杖名稱和到期日。
  4. 在「Permission Level」部分，選取權杖的「Default Roles」。
    1. 按一下「新增權杖」。使用產生的檔案，讓 API 透過權杖進行驗證。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 根層級 字串 https://{api root} 是 Exabeam Advanced Analytics 執行個體的 API 根目錄。
API 權杖 Secret 不適用 是 Exabeam Advanced Analytics 執行個體的 API 權杖。
驗證 SSL 核取方塊 已勾選 是 如果啟用，系統會驗證 Exabeam Advanced Analytics 伺服器連線的 SSL 憑證是否有效。

動作

乒乓

說明

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Exabeam Advanced Analytics 的連線能力。

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化動作：
如果成功：「已使用提供的連線參數成功連線至 Logpoint 伺服器！」

動作應失敗並停止執行應對手冊：
if not successful: "Failed to connect to the Logpoint server! 錯誤為 {0}".format(exception.stacktrace)

 一般

充實實體

說明

使用 Exabeam Advanced Analytics 的資訊擴充實體。支援的實體：主機名稱、IP 和使用者。事件時間範圍參數是以小時為單位。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
退貨實體時間軸 核取方塊 是 是 啟用後，這項動作會傳回實體的時間軸。
事件時間範圍 整數 24 否 指定要查看的事件時間範圍 (以小時為單位)。
僅限異常事件 核取方塊 是 否 如果啟用，動作只會傳回視為異常的事件。
要擷取的最低事件風險分數 整數 不適用 否 指定事件的最低風險分數，系統才會擷取事件。如未指定，動作就不會執行任何篩選。
退貨留言 核取方塊 是 否 如果啟用，動作會傳回與實體相關的註解。
建立洞察 核取方塊 是 否 如果啟用，動作會為每個實體建立一項洞察。
要傳回的事件數量上限 整數 否 指定應傳回的事件數量。如未指定，動作會傳回所有事件。
要傳回的留言數量上限 整數 10 否 指定要傳回的留言數量。

執行日期

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址
  • 使用者

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
使用者的 JSON 結果
{
    "username": "root",
    "userInfo": {
        "username": "root",
        "riskScore": 0.0,
        "averageRiskScore": 0.0,
        "pastScores": [
            0.0,
            0.0,
            0.0,
            0.0,
            0.0,
            0.0
        ],
        "lastSessionId": "root-20201010000111",
        "firstSeen": 1601510468890,
        "lastSeen": 1602298872682,
        "lastActivityType": "Account deleted",
        "lastActivityTime": 1602288071248,
        "info": {},
        "labels": [
            "service_account"
        ],
        "pendingRiskTransfers": []
    },
    "isExecutive": false,
    "accountNames": [],
    "peerGroupFieldName": "Peer Groups",
    "peerGroupType": "",
    "isMultiPeerGroup": true,
    "commentCount": 0,
    "isOnWatchlist": false,
    "hasDisabledModel": false,
    "hasDisabledEventType": false,
    "comments": [
        {
            "commentId": "6002d31b130b3800072d1c1d",
            "commentType": "user",
            "commentObjectId": "sysadmin",
            "text": "asd",
            "exaUser": "admin",
            "createTime": 1610797851298,
            "updateTime": 1610797851298,
            "edited": false
        }
    ],
    "events": [
        {
            "risk_score": "{value if available}",
            "source": "systemd",
            "session_id": "root-20201009000110",
            "rawlog_time": 1602201670967,
            "host": "centos-002",
            "session_order": 1,
            "hash": 1013256238,
            "event_type": "local-logon",
            "account": "root",
            "time": 1602201670967,
            "event_id": "4602@m",
            "user": "root",
            "event_code": "Started Session",
            "nonmachine_user": "root",
            "is_session_first": true
        }
    ]
}
資產的 JSON 結果
{
    "username": "root",
    "userInfo": {
        "username": "root",
        "riskScore": 0.0,
        "averageRiskScore": 0.0,
        "pastScores": [
            0.0,
            0.0,
            0.0,
            0.0,
            0.0,
            0.0
        ],
        "lastSessionId": "root-20201010000111",
        "firstSeen": 1601510468890,
        "lastSeen": 1602298872682,
        "lastActivityType": "Account deleted",
        "lastActivityTime": 1602288071248,
        "info": {},
        "labels": [
            "service_account"
        ],
        "pendingRiskTransfers": []
    },
    "isExecutive": false,
    "accountNames": [],
    "peerGroupFieldName": "Peer Groups",
    "peerGroupType": "",
    "isMultiPeerGroup": true,
    "commentCount": 0,
    "isOnWatchlist": false,
    "hasDisabledModel": false,
    "hasDisabledEventType": false,
    "comments": [
        {
            "commentId": "6002d31b130b3800072d1c1d",
            "commentType": "user",
            "commentObjectId": "sysadmin",
            "text": "asd",
            "exaUser": "admin",
            "createTime": 1610797851298,
            "updateTime": 1610797851298,
            "edited": false
        }
    ],
    "events": [
        {
            "risk_score": "{value if available}",
            "event_category": [
                "user-events",
                "asset-events"
            ],
            "source": "UNIX",
            "session_id": "sysadmin-20201009125727",
            "rawlog_time": 1602248247376,
            "host": "centos-002",
            "src_ip": "172.30.202.187",
            "session_order": 1,
            "getvalue('zone_info', src)": "siemplify",
            "dest_host": "centos-002",
            "hash": 1236616962,
            "event_type": "remote-logon",
            "src_network_type": "LAN",
            "account": "sysadmin",
            "time": 1602248247376,
            "event_id": "4619@m",
            "user": "sysadmin",
            "event_code": "ssh",
            "nonmachine_user": "sysadmin",
            "is_session_first": true,
            "entity_asset_id": "asset@centos-002-20201009"
        }
    ]
}
使用者實體資料充實
補充資料欄位名稱 邏輯 - 應用時機
EXBAA_riskScore JSON 格式 (如有)
EXBAA_pastScores JSON 格式 (如有)
EXBAA_lastSessionId JSON 格式 (如有)
EXBAA_firstSeen JSON 格式 (如有)
EXBAA_lastSeen JSON 格式 (如有)
EXBAA_lastActivityType JSON 格式 (如有)
EXBAA_lastActivityTime JSON 格式 (如有)
EXBAA_labels JSON 格式 (如有)
EXBAA_isExecutive JSON 格式 (如有)
EXBAA_commentCount JSON 格式 (如有)
EXBAA_accountNames JSON 格式 (如有)
EXBAA_isNotable JSON 格式 (如有)
資產實體充實
補充資料欄位名稱 邏輯 - 應用時機
EXBAA_riskScore JSON 格式 (如有)
EXBAA_hostname JSON 格式 (如有)
EXBAA_ipAddress JSON 格式 (如有)
EXBAA_assetType JSON 格式 (如有)
EXBAA_lastSessionId JSON 格式 (如有)
EXBAA_firstSeen JSON 格式 (如有)
EXBAA_lastSeen JSON 格式 (如有)
EXBAA_labels JSON 格式 (如有)
EXBAA_commentCount JSON 格式 (如有)
EXBAA_accountNames JSON 格式 (如有)
EXBAA_isNotable JSON 格式 (如有)
使用者實體洞察

洞察範例

素材資源的實體洞察

洞察範例

案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：
if success for entities (is_success = true): "Successfully returned information about the following entities from Exabeam Advanced Analytics:\n{0}".format(entity.identifier)

If unsuccess for some (is_success = true): "Action wasn't able to return information about the following entities from Exabeam Advanced Analytics:\n {0}".format(entity.identifier)

如果並非所有項目都成功 (is_success = false)：沒有任何實體使用 Exabeam 的資訊進行擴充。

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『擴充實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

Case Wall 資料表，以擴充資料表為基礎，但不含前置字元。

概念是我們有一個名為「Key」的資料欄，第二個資料欄名為「Value」

 實體

案件總覽表格

使用者事件 (如有)

資料表名稱：「{entity.identifier} Events」

資料欄：

時間

風險評分

類型

主機

來源

 一般

案件總覽表格

資產事件 (如有)

資料表名稱：「{entity.identifier} Events」

資料欄：

時間

類型

使用者

風險評分

來源

 一般

案件總覽表格

留言

資料表名稱：「{entity.identifier} 評論」

資料欄：

使用者

註解

 一般
案件總覽連結 {link}

列出觀察清單

說明

列出 Exabeam Advanced Analytics 中可用的觀察清單。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
要傳回的觀察清單數量上限 整數 100 否 指定要傳回的觀察清單數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
[
    {
        "watchlistId": "5e66f85c8fe56e9a122ccb45",
        "title": "Service Accounts",
        "category": "UserLabels"
    },
    {
        "watchlistId": "5e66f85c8fe56e9a122ccb44",
        "title": "Executive Users",
        "category": "UserLabels"
    },
    {
        "watchlistId": "5ffd9686130b3800072d1bef",
        "title": "user watchlist",
        "category": "Users"
    },
    {
        "watchlistId": "5ffb0fc0130b3800072d1bd3",
        "title": "testdan",
        "category": "Assets"
    },
    {
        "watchlistId": "5f7c37a2130b38000701691f",
        "title": "linux",
        "category": "Assets"
    },
    {
        "watchlistId": "5f7adc46130b38000701690d",
        "title": "Test-UBA",
        "category": "AssetLabels"
    },
    {
        "watchlistId": "5f22851d130b3800070168ff",
        "title": "DM Test",
        "category": "Users"
    },
    {
        "watchlistId": "5eb27c20130b3800077954e2",
        "title": "PrivilegedUsers-SailPoint",
        "category": "Users"
    },
    {
        "watchlistId": "5eb27ab6130b3800077954df",
        "title": "DisabledUsers-SailPoint",
        "category": "Users"
    },
    {
        "watchlistId": "5eb27a92130b3800077954dc",
        "title": "ServiceAccountsList-SailPoint",
        "category": "Users"
    },
    {
        "watchlistId": "5e9495d8130b380007795476",
        "title": "DANOTEST",
        "category": "Assets"
    }
]
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行應對手冊：
如果狀態碼為 200 且有可用資料(is_success = true)：「已成功從 Exabeam Advanced Analytics 擷取可用的觀察清單」。

if 200 and data is not available: "No watchlists were found in Exabeam Advanced Analytics".

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『列出觀察清單項目』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)

 一般
案件總覽表格

表格名稱：「可用的觀察清單」

欄

觀察清單 ID

標題

類別

 一般

列出觀察清單項目

說明

列出 Exabeam Advanced Analytics 觀察清單中的可用項目。

參數

參數顯示名稱 類型 預設值 為必填 說明
觀察清單標題 CSV 不適用 是 指定要傳回項目的觀察清單標題，並以逗號分隔的清單表示。
回溯天數上限 整數 1 否 指定要列出幾天前的觀察清單。預設值：1。
要傳回的項目數量上限 整數 100 否 指定要傳回的觀察清單項目數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "title": "Test-UBA",
    "creator": "admin",
    "accessControl": "public",
    "category": "AssetLabels",
    "description": "Testing for dev purpose",
    "isOutOfBox": false,
    "items": [],
    "criteria": [
        "Server",
        "Workstation",
        "LdifFile",
        "Domain Controller",
        "TopTalker",
        "EducatedGuess"
    ],
    "totalNumberOfItems": 3,
    "accessControlRoles": [],
    "numberOfNotableItems": 0
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：
if data is available(is_success = true): "Successfully retrieve available items for the following watchlists in Exabeam Advanced Analytics:\n{0}".format(list of watchlist titles)

if data is not available for some(is_success = true): "Action wasn't able to retrieve available items for the following watchlists in Exabeam Advanced Analytics:\n{0}".format(list of watchlist titles)

如果所有項目都沒有資料：「在 Exabeam Advanced Analytics 中找不到所提供觀察清單的項目」。

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『列出觀察清單』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

案件總覽表格
(使用者)

資料表名稱：「Watchlists {0} Items」.format(watchlist title)

欄

使用者名稱

風險評分

 一般

案件總覽表格
(資產)

Table Name: "Watchlists {0} Items".format(watchlist title)

欄

類型

端點

風險評分

 一般

將實體新增至觀察清單

說明

在 Exabeam Advanced Analytics 中，將實體新增至觀察清單。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
觀察清單標題 字串 不適用 是 指定要新增實體的觀察清單標題。

執行日期

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址
  • 使用者

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if data is available(is_success = true): "Successfully added the following entities to the watchlist {0}in Exabeam Advanced Analytics:\n{1}".format( watchlist title, entity identifier)

if some were not added(is_success = true): "Action wasn't able to add the following entities to the watchlist {0} in Exabeam Advanced Analytics:\n{1}".format(watchlist title, entity identifier)

如果未新增任何實體：「No entities were added to the watchlist {0} in Exabeam Advanced Analytics」.format(watchlist title)

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『將實體新增至監控清單』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果找不到待觀看影劇清單，則會顯示：「執行『將實體新增至待觀看影劇清單』動作時發生錯誤。原因：在 Exabeam Advanced Analytics 中找不到觀察清單「{0}」''.format(watchlist title)

如果觀察清單類別 ==「AssetLabel」或「UserLabel」：「執行『將實體新增至觀察清單』動作時發生錯誤。原因：這項動作不支援類別為「AssetLabels」和「UserLabels」的觀察清單。

 一般

從觀察清單中移除實體

說明

從 Exabeam Advanced Analytics 的觀察清單中移除實體。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
觀察清單標題 字串 不適用 是 指定要從哪個觀察清單移除實體。

執行日期

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址
  • 使用者

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if removed(is_success = true): "Successfully removed the following entities from the watchlist{0} in Exabeam Advanced Analytics:\n{1}".format(title, entity identifier)

if some were not added(is_success = true): "Action wasn't able to remove the following entities from watchlist {0} in Exabeam Advanced Analytics:\n{1}".format(title, entity identifier)

如果未新增任何實體：「未從 Exabeam Advanced Analytics 的觀察清單『{0}』中移除任何實體」。format(watchlist title)

動作應失敗並停止執行應對手冊：

if fatal error, like wrong credentials, no connection to server, other: "Error executing action "Remove Entity From Watchlist". 原因：{0}''.format(error.Stacktrace)

如果找不到觀察清單：「執行『從觀察清單中移除實體』動作時發生錯誤。原因：在 Exabeam Advanced Analytics 中找不到觀察清單「{0}」''.format(watchlist title)

如果觀察清單類別 ==「AssetLabel」或「UserLabel」：「執行『從觀察清單中移除實體』動作時發生錯誤。原因：這項動作不支援類別為「AssetLabels」和「UserLabels」的觀察清單。

 一般

為實體新增註解

說明

在 Exabeam Advanced Analytics 中為實體新增註解。支援的實體：主機名稱、IP 和使用者。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
註解 字串 不適用 是 指定要新增至實體的註解。

執行日期

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址
  • 使用者

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "newComment": {
        "commentId": "6003e6e8130b3800072d1c35",
        "commentType": "asset",
        "commentObjectId": "centos-002",
        "text": "qwe",
        "exaUser": "admin",
        "createTime": 1610868456906,
        "updateTime": 1610868456906,
        "edited": false
    }
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if status code 200 for some(is_success = true): "Successfully added comment to the following entities {0} in Exabeam Advanced Analytics:\n{1}".format(entity identifier)

如果找不到實體：「動作無法在 Exabeam Advanced Analytics 的下列實體 {0} 中新增註解：\n{1}」。format(實體 ID)

如果不是實體：「未在提供的實體中新增註解。」

動作應失敗並停止執行應對手冊：

if fatal error, like wrong credentials, no connection to server, other: "Error executing action "Add Comments To Entity". 原因：{0}''.format(error.Stacktrace)

 一般

建立觀察清單

說明

在 Exabeam Advanced Analytics 中建立監控清單。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
標題 字串 不適用 是 指定待觀看影劇清單的名稱。
類別 DDL

使用者

可能的值：

使用者

資產

 是 指定觀察清單的類別。
存取權控管 DDL

私人

可能的值：

公開

 是 指定觀察清單的存取控管。
說明 字串 不適用 否 指定觀察清單的說明。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "watchlistId": "6003ed61130b3800072d1c37",
    "title": "Keke",
    "category": "Users"
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if status code 200(is_success = true): "Successfully created watchlist {0} in Exabeam Advanced Analytics:\n{1}".format(title)

If response contains "_apiErrorCode" (is_success=false): "Action wasn't able to create a watchlist in Exabeam Advanced Analytics. 原因：{0}".format(internalError)

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『建立觀察清單』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

刪除觀察清單

說明

刪除 Exabeam Advanced Analytics 中的觀察清單。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
觀察清單標題 字串 不適用 是 指定要刪除的待觀看影劇清單名稱。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if status code 200(is_success = true): "Successfully deleted watchlist {0} in Exabeam Advanced Analytics:\n{1}".format(title)

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『刪除觀察清單』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。