Outpost24

本文档介绍了如何将 Outpost24 与 Google SecOps 集成。

在 Google Security Operations 中配置 Outpost24 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://your-appliance.outpost24.com 是 Outpost24 实例的 API 根。
用户名 字符串 不适用 是 Outpost24 账号的用户名。
密码 密码 不适用 是 Outpost24 账号的密码。
验证 SSL 复选框 勾选 是 如果启用，则会验证与 Outpost24 服务器连接的 SSL 证书是否有效。

使用场景

  1. 执行实体丰富化
  2. 提醒提取

操作

丰富实体

说明

使用 Outpost24 中的信息丰富实体。支持的实体：IP 地址、主机名。

参数

参数显示名称 类型 默认值 为必填项 说明
创建分析洞见 复选框 勾选 否 如果启用，该操作会创建一个包含所检索到的实体相关信息的分析洞见。
返回发现结果信息 复选框 勾选 否 如果启用，该操作还会检索在端点上发现的发现结果的相关信息。
发现结果类型 DDL

全部

可能的值：

  • 全部
  • 漏洞
  • 信息
  • 端口
 否 指定要返回的发现结果类型。
发现结果风险等级过滤条件 CSV Initial, Recommendation, Low, Medium, High, Critical 否

指定在过滤期间使用的风险级别发现结果的逗号分隔列表。

可能的值：Initial、Recommendation、Low、Medium、High、Critical。

如果未提供任何内容，该操作会提取所有风险级别的发现结果。
要返回的发现结果数上限 整数 100 否

指定每个实体要处理的发现结果数量。

如果未提供任何内容，则该操作会返回 100 条发现结果。

运行时间

该操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
{
    "id": 24358,
    "ip": "10.205.0.35",
    "hostname": "lix18.mirmine.net",
    "businessCriticality": "MEDIUM",
    "exposed": false,
    "created": "2021-09-09T12:58:47.085514Z",
    "firstSeen": "2021-09-09T12:58:47.085514Z",
    "source": [
        "NETSEC"
    ]
"Findings": [list of findings]
}
实体丰富化
扩充项字段名称 逻辑 - 适用情形
主机名 当 JSON 中有此字段时
ip 当 JSON 中有此字段时
已泄露 当 JSON 中有此字段时
businessCriticality 当 JSON 中有此字段时
已创建 当 JSON 中有此字段时
firstSeen 当 JSON 中有此字段时
来源 当 JSON 中有此字段时
count_initial_findings 当 JSON 中有此字段时
count_recommendation_findings 当 JSON 中有此字段时
count_low_findings 当 JSON 中有此字段时
count_medium_findings 当 JSON 中有此字段时
count_high_findings 当 JSON 中有此字段时
count_critical_findings 当 JSON 中有此字段时
案例墙
结果类型 值 / 说明 类型（实体 \ 常规）
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果一个实体有可用数据 (is_success=true)：“已使用 Outpost24 Mobile 中的信息成功丰富了以下实体：{entity.identifier}”。

如果某个实体没有可用数据 (is_success=true)：“操作无法使用 Outpost24 中的信息丰富以下实体：{entity.identifier}”

如果任何实体的数据都不可用 (is_success=false)：“None of the provided entities were enriched.”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“执行操作‘丰富实体’时出错。Reason: {0}''.format(error.Stacktrace): "Error executing action "Enrich Entities". 原因：提供的风险等级过滤条件值无效：{csv of invalid values}。可能的值：Initial、Recommendation、Low、Medium、High、Critical。'

 常规
案例墙表格

表标题：{entity.identifier}

表列：

  • 键
  • 值
 实体
案例墙表格

表标题：{entity.identifier}

表列：

  • CVE
  • 产品名称
  • 服务名称
  • 类型
  • 解决方案
  • 原因
  • 说明
  • 风险等级
 表

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 Outpost24 的连接。

参数

不适用

运行时间

此操作不会对实体运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
N/A
案例墙
结果类型 值/说明 类型（实体 \ 常规
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 Outpost24 服务器！”

操作应失败并停止 playbook 执行：

如果不成功：“Failed to connect to the Outpost24 server! 错误为 {0}”。format(exception.stacktrace)

 常规

连接器

Outpost24 - Outscan 发现结果连接器

说明

从 Outpost24 中拉取 Outscan 发现结果的相关信息。

在 Google SecOps 中配置 Outpost24 - Outscan Findings 连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 产品名称 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 类型 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 300 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://your-appliance.outpost24.com 是 Outpost24 实例的 API 根。
用户名 字符串 不适用 是 Outpost24 账号的用户名。
密码 密码 不适用 是 Outpost24 账号的密码。
类型过滤条件 CSV 漏洞、信息、端口 是

发现结果的类型过滤条件的英文逗号分隔列表。

可能的值：Vulnerability、Information、Port。
提取风险最低 字符串 不适用 否

需要用于提取提醒的最低风险。

可能的值：Initial、Recommendation、Low、Medium、High、Critical。

如果未指定任何内容，连接器会注入所有风险级别的提醒。
回溯的天数上限 整数 1 否 应提取发现结果的小时数。
要提取的发现结果数上限 整数 100 否 每次连接器迭代要处理的发现结果数量。
将白名单用作黑名单 复选框 尚未核查 是 如果启用，白名单将用作黑名单。
验证 SSL 复选框 勾选 是 如果启用，则会验证与 Outpost24 服务器连接的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

此连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。