Humio

本文說明如何將 Humio 與 Google SecOps 整合。

在 Google Security Operations 中設定 Humio 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 根層級 字串 https://cloud.us.humio.com 是 Humio 執行個體的 API 根目錄。
API 權杖 密碼 不適用 是 Humio 執行個體的 API 權杖。
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認 Humio 伺服器連線的 SSL 憑證有效。

應用實例

  1. 從存放區擷取事件
  2. 執行搜尋

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 Humio 的連線能力。

參數

不適用

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功：「Successfully connected to the Humio server with the provided connection parameters!」(已使用提供的連線參數成功連線至 Humio 伺服器！)

動作應失敗並停止執行應對手冊：

如果未成功：「Failed to connect to the Humio server! 錯誤為 {0}".format(exception.stacktrace)

 一般

說明

根據 Humio 中的參數搜尋事件。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
存放區名稱 字串 不適用 是 指定要搜尋的存放區名稱。
查詢篩選器 字串 不適用 否

指定搜尋期間應執行的查詢。

注意：請勿提供「head()」和「select()」函式。
時間範圍 DDL

過去 1 小時

可能的值：

  • 過去 1 小時
  • 過去 6 小時
  • 最近 24 小時
  • 上週
  • 上個月
  • 自訂
 否

指定結果的時間範圍。

如果選取「自訂」，則必須一併提供 「開始時間」參數。
開始時間 字串 不適用 否

指定結果的開始時間。

如果「Time Frame」參數選取「Custom」，則必須提供這項參數。

格式：ISO 8601
結束時間 字串 不適用 否

指定結果的結束時間。

格式：ISO 8601。

如果未提供任何值，且「Time Frame」參數選取「Custom」，則這個參數會使用目前時間。
要傳回的欄位 CSV 不適用 否

指定要傳回的欄位。

如未提供，動作會傳回所有欄位。
排序欄位 字串 不適用 否

指定要用於排序的參數。

根據預設，查詢會依時間戳記遞增排序資料。
排序欄位類型 DDL

字串

可能的值：

  • 字串
  • 數字
  • 十六進位
 否

指定用於排序的欄位類型。

必須提供這項參數，才能確保傳回正確的結果。
排列順序 DDL

遞增

可能的值：

  • 遞增
  • 遞減
 否 指定排序順序。
要傳回的結果數量上限 整數 50 否 指定要傳回的結果數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
  {
    "@timestamp": 1636028056292,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "method": "google",
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:16.292Z",
      "type": "user.signin"
    },
    "@id": "gZPMhXMMcScGXHwxZ7bRH6Ns_88_264_1636028056"
  },
  {
    "@timestamp": 1636028057934,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:17.934Z",
      "type": "notifications.user.create"
    },
    "@id": "lSLLg2gMDW8GwHtpZTGD8GU1_65_108_1636028057"
  }
]
案件總覽
結果類型 值 / 說明 類型
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果找到至少一項結果 (is_success=true)：「已成功傳回 Humio 中查詢「{query}」的結果。」

如果找不到結果 (is_succees=true)：「在 Humio 中找不到與查詢『{query}』相符的結果。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『執行簡易搜尋』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 400 狀態碼：「Error executing action "Execute Simple Search". Reason: {0}''.format(response)

如果回報 404 狀態碼：「Error executing action "Execute Custom Search". Reason: {0}''.format(response)

 一般
案件總覽 名稱：Results 一般

說明

在 Humio 中使用自訂查詢搜尋事件。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
存放區名稱 字串 不適用 是 指定要搜尋的存放區名稱。
查詢 字串 不適用 是

指定要在 Humio 中執行的查詢。

注意：「head()」函式不應包含在這個字串中。
要傳回的結果數量上限 整數 50 否 指定要傳回的結果數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
  {
    "@timestamp": 1636028056292,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "method": "google",
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:16.292Z",
      "type": "user.signin"
    },
    "@id": "gZPMhXMMcScGXHwxZ7bRH6Ns_88_264_1636028056"
  },
  {
    "@timestamp": 1636028057934,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",

              "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:17.934Z",
      "type": "notifications.user.create"
    },
    "@id": "lSLLg2gMDW8GwHtpZTGD8GU1_65_108_1636028057"
  }
]
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果找到至少一項結果 (is_success=true)：「已成功傳回 Humio 中查詢『{query}』的結果。」

如果找不到結果 (is_succees=true)：「在 Humio 中找不到與查詢『{query}』相符的結果」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『執行自訂搜尋』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 400 狀態碼：「Error executing action "Execute Custom Search". Reason: {0}''.format(response)

如果回報 404 狀態碼：「Error executing action "Execute Custom Search". Reason: {0}''.format(response)

 一般
案件總覽 名稱：Results 一般

連接器

Humio - 事件連接器

說明

從 Humio 提取存放區中的事件資訊。

在 Google SecOps 中設定 Humio - Events 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填項目 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 event_field 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 360 是 執行目前指令碼的 Python 程序逾時限制。
API 根層級 字串 https://cloud.us.humio.com 是 Humio 執行個體的 API 根目錄。
API 權杖 密碼 不適用 否 Humio 執行個體的 API 權杖。
存放區名稱 字串 不適用 是 要擷取結果的存放區名稱。
查詢 字串 不適用 否 查詢事件。注意：請勿在此新增 select() 和 head() 函式。
快訊欄位名稱 字串 不適用 否 快訊名稱應使用的鍵名。如果未提供任何值或提供無效值，連接器會使用「Humio Alert」做為備用值。
嚴重性欄位名稱 CSV 不適用 是 以半形逗號分隔的鍵清單，用於對應嚴重性。注意：如果鍵包含「字串」值，應使用「嚴重性對應 JSON」進行對應。如果提供的鍵無效，系統會使用「Severity Mapping JSON」參數中的「Default」。
嚴重性對應 JSON JSON

{

"fieldName": {

"value_1": 100,

"value_2": 75,

"value_3": -1

},

「預設」：50

}

 是 JSON 物件，包含所有具有對應字串值的鍵。注意：必須提供「Default」鍵。
往回查看時數上限 整數 1 否 擷取事件的時間範圍 (以小時為單位)。
要擷取的事件數量上限 整數 20 否 每個連接器疊代要處理的事件數量。
將許可清單當做黑名單使用 核取方塊 已勾選 是 如果啟用，許可清單會當做黑名單使用。
驗證 SSL 核取方塊 已勾選 是 如果啟用，系統會驗證 Humio 連線的 SSL 憑證是否有效。
Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。