ExtraHop

本文說明如何將 ExtraHop 與 Google Security Operations 整合。

在 Google SecOps 中設定 ExtraHop 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 根層級 字串 是 ExtraHop 執行個體的 API 根目錄。
用戶端 ID 字串 不適用 是 ExtraHop 執行個體的用戶端 ID。
用戶端密鑰 密碼 不適用 是 ExtraHop 執行個體的用戶端密鑰。
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認連至 ExtraHop 伺服器的 SSL 憑證有效。

產品用途

擷取快訊

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 ExtraHop 的連線能力。

參數

不適用

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_succeed True/False is_succeed:False

案件總覽

結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功：「Successfully connected to the ExtraHop server with the provided connection parameters!」(已使用提供的連線參數成功連線至 ExtraHop 伺服器！)

動作應失敗並停止執行應對手冊：

如果未成功：「無法連線至 ExtraHop 伺服器！Error is {0}".format(exception.stacktrace)

 一般

更新偵測

更新 ExtraHop 中的偵測結果。

執行日期

這項動作不會對實體執行。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
偵測 ID 字串 不適用 是 指定要更新的偵測項目 ID。
狀態 DDL 可能的值：
  • 已關閉
  • 進行中
  • 已確認
 否 指定偵測狀態。
解析度 DDL 可能的值：
  • 採取的行動
  • 未採取任何行動
 否 指定偵測解析度。如果狀態參數設為「Closed」，則必須提供解決方案參數。
指派對象 字串 不適用 否 指定要指派快訊的分析師名稱。如果提供「Unassign」，這項動作會移除快訊的指派對象。

動作輸出內容

類型 可用
指令碼執行結果 是
JSON 結果 是
充實資料表 否
案件總覽表格 否
案件總覽連結 否
案件總覽附件 否
指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
 0: {
   "id": 4294967299,
   "start_time": 1693795020000,
   "update_time": 1693805700000,
   "end_time": 1694198520000,
   "title": "LLMNR Activity",
   "description": "[EVAL\\-W2019\\-PRD](https://wwt-mand.cloud.extrahop.com#/
   // metrics/devices/d0ded7fd86f0459890394969c49d2bf6.005056bd27330000/
   // overview?from=1693795020&interval_type=DT&until=1694198520) sent
   // Link-Local Multicast Name Resolution (LLMNR) requests that are part of an
   // internal broadcast query to resolve a hostname. The LLMNR protocol is 
   // known to be vulnerable to attacks.",
   "risk_score": 30,
   "type": "llmnr_activity_individual",
   "recommended_factors": [],
   "recommended": false,
   "categories": [
       "sec",
       "sec.hardening"
   ],
   "properties": {},
   "participants": [
       {
           "role": "offender",
           "scanner_service": null,
           "endpoint": null,
           "external": false,
           "object_id": 4294967305,
           "object_type": "device",
           "username": null,
           "id": 2
       }
   ],
   "ticket_id": null,
   "assignee": "ankita.shakya@wwtatc.com",
   "status": "in_progress",
   "resolution": null,
   "mitre_tactics": [],
   "mitre_techniques": [],
   "appliance_id": 1,
   "is_user_created": false,
   "mod_time": 1694790591224,
   "create_time": 1693795051521,
   "url": "https://wwt-mand.cloud.extrahop.com/extrahop/#/detections/detail/4294
   // 967299/?from=1693794120&until=1694199420&interval_type=DT"
}

案件總覽

結果類型 值/說明 類型 (實體 \ 一般)
輸出訊息*

動作不應失敗或停止執行應對手冊：

if returned info (is_success = true):

print "Successfully updated detection with ID {detection id} in Extrahop."

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：

print "Error executing action "Update Detection". 原因：{0}''.format(error.Stacktrace)

如果找不到偵測結果 (404 狀態碼)：

執行「更新偵測」動作時發生錯誤。原因：在 Extrahop 找不到 ID 為 {alert id} 的偵測結果。請檢查拼字。」

如果 "type": "request_error"：

執行「更新偵測」動作時發生錯誤。原因：{detail}」

如果「狀態」為「選取一項」，且「指派對象」欄位留空：

執行「更新偵測」動作時發生錯誤。原因：「狀態」或「指派對象」參數至少要有一個值。

 一般

連接器

ExtraHop - Detections 連接器

說明

從 ExtraHop 提取偵測相關資訊。注意：許可清單篩選器會與「type」參數搭配使用。

在 Google SecOps 中設定 ExtraHop - Detections 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填項目 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 類型 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 。 否

要對「Environment Field Name」欄位中的值執行的規則運算式模式。

預設值為 。，以擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 根層級 字串 https://{instance}.api.cloud.extrahop.com 是 ExtraHop 執行個體的 API 根目錄。
用戶端 ID 字串 不適用 是 ExtraHop 執行個體的用戶端 ID。
用戶端密鑰 密碼 不適用 是 ExtraHop 執行個體的用戶端密鑰。
要擷取的最低風險分數 整數 不適用 否 擷取偵測結果時，必須使用的最低風險分數。上限：100。 如未提供，連接器會擷取所有風險評分的偵測結果。
往回查看時數上限 整數 1 否 要擷取偵測項目的時數。
要擷取的偵測項目數量上限 整數 100 否 每次連接器疊代要處理的偵測數量。預設值：100。
將許可清單當做黑名單使用 核取方塊 已取消勾選 是 如果啟用，許可清單會當做黑名單使用。
驗證 SSL 核取方塊 已勾選 是 如果啟用，請確認連至 ExtraHop 伺服器的 SSL 憑證有效。
Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。