Nozomi Networks

本文說明如何將 Nozomi Networks 與 Google SecOps 整合。

應用實例

  • 充實資產相關資訊。
  • 對 Nozomi 安裝執行查詢。
  • 在 Nozomi 安裝作業中執行 CLI 指令。

在 Google Security Operations 中設定 Nozomi Networks 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 網址 字串 https://x.x.x.x:port 是 要連線的 Nozomi API 網址
使用者名稱 字串 不適用 是 連線要使用的 Nozomi 帳戶使用者名稱
密碼 密碼 不適用 是 連線時要使用的 Nozomi 帳戶密碼
驗證 SSL 核取方塊 已取消勾選 否 指定是否應在連線前驗證 API 網址憑證。
CA 憑證 字串 不適用 否

動作

乒乓

說明

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Nozomi Networks 執行個體的連線能力。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • if successful: print "Successfully connected to the Nozomi Networks instance with the provided connection parameters!"

動作應失敗並停止執行應對手冊：

  • if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Nozomi Networks instance! 錯誤為 {0}".format(exception.stacktrace)
 一般

充實實體

說明

根據 Nozomi Networks 裝置的資訊，充實 Google SecOps 主機或 IP 實體。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
要新增至補充資料的其他欄位 字串 不適用 否 以半形逗號分隔的欄位清單，應從節點查詢中額外擷取，並新增至預設用於擴充的欄位。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "result": [
        {
            "appliance_host": "nozomi-n2os.local",
            "label": "DESKTOP-8P0TH6Q.local",
            "id": "172.30.202.127",
            "_asset_kb_id": null,
            "ip": "172.30.202.127",
            "mac_address": "00:50:56:a2:51:88",
            "mac_address:info": {
                "source": "",
                "likelihood": 0,
                "likelihood_level": "unconfirmed"
            },
            "mac_vendor": "VMware, Inc.",
            "_private_status": "no",
            "subnet": "172.30.202.0/24",
            "vlan_id": null,
            "vlan_id:info": {
                "source": "passive"
            },
            "zone": "Internal",
            "level": "5",
            "type": "computer",
            "type:info": {
                "source": "passive"
            },
            "os": "Windows 10 / Server 2016",
            "vendor": null,
            "vendor:info": {
                "source": "passive"
            },
            "product_name": null,
            "product_name:info": {
                "source": "passive"
            },
            "firmware_version": null,
            "firmware_version:info": {
                "source": "passive"
            },
            "serial_number": null,
            "serial_number:info": {
                "source": "passive"
            },
            "is_broadcast": false,
            "is_public": false,
            "reputation": null,
            "is_confirmed": true,
            "is_learned": true,
            "is_fully_learned": true,
            "is_disabled": false,
            "_is_licensed": true,
            "roles": [
                "other"
            ],
            "links": [
                {
                    "id": "224.0.0.252",
                    "protos": [
                        {
                            "name": "llmnr",
                            "last_activity": "1602495882225"
                        }
                    ]
                },
                {
                    "id": "172.30.202.255",
                    "protos": [
                        {
                            "name": "browser",
                            "last_activity": "1605052230602"
                        },
                        {
                            "name": "netbios-ns",
                            "last_activity": "1604654773056"
                        }
                    ]
                },
                {
                    "id": "224.0.0.251",
                    "protos": [
                        {
                            "name": "mdns",
                            "last_activity": "1602636321803"
                        }
                    ]
                },
                {
                    "id": "239.255.255.250",
                    "protos": [
                        {
                            "name": "ssdp",
                            "last_activity": "1600331209918"
                        }
                    ]
                }
            ],
            "links_count": "5",
            "protocols": [
                "browser",
                "llmnr",
                "mdns",
                "netbios-ns",
                "ssdp"
            ],
            "created_at": "1595315728295",
            "first_activity_time": "1595315728295",
            "last_activity_time": "1605052230602",
            "received.packets": "0",
            "received.bytes": "0",
            "received.last_5m_bytes": "0",
            "received.last_15m_bytes": "0",
            "received.last_30m_bytes": "0",
            "sent.packets": "5088",
            "sent.bytes": "1031179",
            "sent.last_5m_bytes": "0",
            "sent.last_15m_bytes": "0",
            "sent.last_30m_bytes": "0",
            "tcp_retransmission.percent": 0,
            "tcp_retransmission.packets": "0",
            "tcp_retransmission.bytes": "0",
            "tcp_retransmission.last_5m_bytes": "0",
            "tcp_retransmission.last_15m_bytes": "0",
            "tcp_retransmission.last_30m_bytes": "0",
            "variables_count": null,
            "device_id": "TIP-HW-HOST-033",
            "properties": {},
            "custom_fields": {},
            "bpf_filter": "ip host 172.30.202.127",
            "device_modules": {},
            "capture_device": "em1"
        }
    ],
實體資料充實
補充資料欄位名稱 邏輯 - 應用時機
Nozomi.level 非空值時
Nozomi.appliance_host 非空值時
Nozomi.ip 非空值時
Nozomi.mac_address 非空值時
Nozomi.vlan_id 非空值時
Nozomi.os 非空值時
Nozomi.roles 非空值時
Nozomi.vendor 非空值時
Nozomi.firmware_version 非空值時
Nozomi.serial_number 非空值時
Nozomi.product_name 非空值時
Nozomi.type 非空值時
Nozomi.protocols 非空值時
Nozomi.device_id 非空值時
Nozomi.capture_device 非空值時
Nozomi.is_broadcast 非空值時
Nozomi.is_public 非空值時
Nozomi.is_confirmed 非空值時
Nozomi.is_disabled 非空值時
Nozomi.is_licensed 非空值時
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • 如果成功，且至少有一個提供的實體已擴充：列印「Successfully enriched entities: {0}」.format([entity.Identifier])。
  • 如果無法擴充所有提供的實體：列印「No entities were enriched.」。
  • 如果無法在 Nozomi 裝置中找到資料來充實特定實體：列印「動作無法找到 Nozomi Guardian 資訊來充實下列實體：{0}」。format([entity.identifier])
  • If action found multiple matches in Nozomi for some Google SecOps entities, first match was taken to enrich entities: print "Multiple matches were found in Nozomi Guardian, taking first match for the following entities:/n {0}".format(entity.identifiers list)

動作應失敗並停止執行應對手冊：

  • 如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：列印「Failed to execute Enrich Entities action! 錯誤為 {0}".format(exception.stacktrace)
 一般

執行查詢

說明

對 Nozomi Networks 裝置執行查詢。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
查詢 字串 不適用 是 指定要在 Nozomi Networks 裝置上執行的查詢，例如：alerts | head 10。
記錄上限 整數 10 否 可用於指定動作可傳回的記錄數量。如果設為預設值 10，參數會在最終查詢中加入「| head 10」，限制傳回的記錄數量。如果未提供參數，系統會傳回所有查詢結果。系統會忽略負值。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "result": [
        {
            "id": "0bee5f36-9b50-4037-8b02-f02f5cd637c3",
            "type_id": "VI:NEW-ARP",
            "name": "New ARP",
            "description": "New ARP packet from node with MAC address 00:50:56:a2:e8:0b and IP address 172.30.202.8",
            "severity": 10,
            "mac_src": "00:50:56:a2:e8:0b",
            "mac_dst": "ff:ff:ff:ff:ff:ff",
            "ip_src": "172.30.202.8",
            "ip_dst": null,
            "risk": "6.0",
            "protocol": "arp",
            "src_roles": "other",
            "dst_roles": "other",
            "time": 1604974955058,
            "ack": false,
            "id_src": "00:50:56:a2:e8:0b",
            "id_dst": "ff:ff:ff:ff:ff:ff",
            "synchronized": false,
            "appliance_id": "",
            "port_src": null,
            "port_dst": null,
            "label_src": null,
            "label_dst": null,
            "trigger_id": null,
            "trigger_type": null,
            "appliance_host": "nozomi-n2os.local",
            "appliance_ip": "172.30.202.226",
            "transport_protocol": "ethernet",
            "is_security": true,
            "note": null,
            "appliance_site": null,
            "parents": [
                "9827b15f-bbdf-483a-b074-8991793f80f3",
                "e76a4060-50f1-47cd-98c4-fb25bfb16433"
            ],
            "is_incident": false,
            "properties": {
                "base_risk": 4,
                "from_id": "00:50:56:a2:e8:0b",
                "is_dst_node_learned": true,
                "is_dst_reputation_bad": false,
                "is_src_node_learned": false,
                "is_src_reputation_bad": false,
                "to_id": "ff:ff:ff:ff:ff:ff"
            },
            "created_time": 1604974955058,
            "incident_keys": [],
            "bpf_filter": "ether host 00:50:56:a2:e8:0b and ether host ff:ff:ff:ff:ff:ff and ether proto 0x0806",
            "closed_time": 0,
            "status": "open",
            "session_id": "154400:50:56:a2:e8:0bff:ff:ff:ff:ff:ff0000175aff64a32",
            "replicated": false,
            "capture_device": "em1",
            "threat_name": "",
            "type_name": "New ARP",
            "sec_profile_visible": true,
            "zone_src": "Layer2",
            "zone_dst": "Layer2"
        },
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • if successful: print "Query executed successfully".
  • 如果找不到任何結果：輸出「查詢執行成功，但未傳回任何結果。」
  • if error: print "Query didn't completed due to error: {0}".format(exception.stacktrace).
  • If timeout: print "Query didn't completed due to timeout {0}".format(exception.stacktrace).

動作應失敗並停止執行應對手冊：

  • 如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：列印「Failed to execute Run a Query action! 錯誤為 {0}".format(exception.stacktrace)
 一般
資料表

表格標題：查詢結果

資料欄：根據查詢結果動態產生資料欄

 一般

執行 CLI 指令

說明

在 Nozomi Networks 裝置上執行 CLI 指令。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
CLI 指令 字串 不適用 是 指定要在 Nozomi Networks 裝置上執行的 CLI 指令。注意：Nozomi API 不會驗證執行的 CLI 指令，使用者必須自行確保提供的 CLI 指令正確無誤。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • 如果成功：列印「CLI Command executed」。

動作應失敗並停止執行應對手冊：

  • 如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：列印「Failed to execute Run a Query action! 錯誤為 {0}".format(exception.stacktrace)
 一般

列出安全漏洞

說明

根據提供的動作輸入參數，列出 Nozomi 裝置發現的安全漏洞。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
IP 位址 字串 不適用 否 列出指定 IP 位址的安全漏洞。參數接受多個值，請以半形逗號分隔。
CVE 分數 整數 不適用 否 必須列出最低 CVE 分數安全漏洞，分數可以是 0 到 10 之間的數字。
安全漏洞名稱包含 字串 不適用 否 指定安全漏洞名稱應包含的字串，以便列出。
CVE ID 字串 不適用 否 如果您知道要尋找的特定 CVE，請在這個欄位提供相關 ID，例如 CVE-2020-1207。參數接受多個值，請以半形逗號分隔。
記錄上限 整數 25 是 可用於指定動作可傳回的記錄數量。
是否要納入標示為已解決的安全漏洞？ 核取方塊 已取消勾選 否 指定動作是否也應傳回標示為已解決的安全漏洞。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "result": [
        {
            "id": "cb9054a6-11a6-47ff-9c08-8033e42f9e63",
            "node_id": "172.30.202.71",
            "cve": "CVE-2017-8718",
            "cve_summary": "The Microsoft JET Database Engine in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1 and RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an attacker to take control of an affected system, due to how it handles objects in memory, aka \"Microsoft JET Database Engine Remote Code Execution Vulnerability\". This CVE ID is unique from CVE-2017-8717.",
            "cve_score": 9.3,
            "cve_creation_time": 1507886940000,
            "cve_update_time": 1508488860000,
            "time": 1598516419115,
            "cwe_id": "119",
            "cwe_name": "Improper Restriction of Operations within the Bounds of a Memory Buffer",
            "matching_cpes": [
                "cpe:/o:microsoft:windows_server_2016:-:-:-"
            ],
            "cve_references": [
                {
                    "name": "101162",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "BID",
                    "url": "http://www.securityfocus.com/bid/101162"
                },
                {
                    "name": "1039527",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "SECTRACK",
                    "url": "http://www.securitytracker.com/id/1039527"
                },
                {
                    "name": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "CONFIRM",
                    "url": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718"
                }
            ],
            "likelihood": 0.4,
            "resolved": false,
            "resolved_reason": "",
            "resolved_source": null,
            "installed_on": null,
            "appliance_id": "",
            "appliance_ip": "",
            "appliance_host": "",
            "zone": "Internal"
        }
    ],
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • if successful: print "Search executed successfully".
  • if nothing found: print "Search executed successfully, but did not return any results.".

動作應失敗並停止執行應對手冊：

  • 如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：列印「Failed to execute Run a Query action! 錯誤為 {0}".format(exception.stacktrace)
 一般
資料表

表格標題：找到的安全漏洞

欄：

IP 位址

CVE ID

安全漏洞名稱

安全漏洞說明

CVE 分數

區域

已解決

參考資料

CVE 建立時間

CVE 更新時間

 一般

連接器

Nozomi Networks 快訊連接器

說明

這個連接器可將 Nozomi Networks 警告擷取至 Google SecOps。

在 Google SecOps 設定 Nozomi Networks 快訊連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填項目 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 作業 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 網址 字串 https://x.x.x.x:port 是 要連線的 Nozomi API 網址
使用者名稱 字串 不適用 是 連線要使用的 Nozomi 帳戶使用者名稱
密碼 密碼 不適用 是 連線時要使用的 Nozomi 帳戶密碼
驗證 SSL 核取方塊 已取消勾選 否 指定是否應在連線前驗證 API 網址憑證。
CA 憑證 字串 不適用 否
要擷取的最低嚴重性 整數 不適用 否 必須擷取最低嚴重性快訊，嚴重性可以是 0 到 10 之間的數字。
是否只擷取「is_security」屬性設為 True 的快訊？ 核取方塊 已取消勾選 否 指定是否只擷取「is_security」屬性設為 True 的快訊。
是否只擷取「is_incident」屬性設為 True 的警告？ 核取方塊 已取消勾選 否 指定是否只擷取「is_incident」屬性設為 True 的快訊。
擷取過去幾小時內的資料 (上限) 整數 8 是 擷取 X 小時前的快訊。
擷取過去資料的時間間隔 (分鐘) 整數 60 是 連接器應使用的時間間隔，用於擷取過去最多幾小時內的警示。如果 Nozomi 裝置部署在大型網路中，可能會產生大量警示。因此，這個參數 (以分鐘為單位) 可用於將最大時數向後分割成較小的區段，並個別處理。時間間隔不得大於最大回溯時數值。
將許可清單當做黑名單使用 核取方塊 已取消勾選 是 如果啟用，許可清單會當做黑名單使用。
Proxy 伺服器位址 字串 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 否 用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。