Qualys EDR

本文說明如何將 Qualys EDR 與 Google SecOps 整合。

在 Google Security Operations 中設定 Qualys EDR 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱	類型	預設值	是否為必要	說明
API 根層級	字串	http://x.x.x.x	是	Qualys EDR 執行個體的 API 根目錄。
使用者名稱	字串	不適用	是	Qualys EDR 帳戶的使用者名稱。
密碼	密碼	不適用	是	Qualys EDR 帳戶的密碼。
驗證 SSL	核取方塊	已勾選	是	如果啟用，則會驗證連至 Qualys EDR 伺服器的 SSL 憑證是否有效。

動作

乒乓

說明

在 Google SecOps Content Hub 整合設定頁面，使用提供的參數測試與 Qualys EDR 的連線能力。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項
is_success	is_success=False
is_success	is_success=True

案件總覽

充電盒	成功	失敗	訊息
如果成功	true	false	已使用提供的連線參數，成功連線至 Qualys EDR 伺服器！
如果未成功	false	true	無法連線至 Qualys EDR 伺服器！錯誤：{0}".format(exception.stacktrace)

連接器

Qualys EDR - 事件連接器

說明

從 Qualys EDR 提取事件相關資訊。

在 Google SecOps 中設定 Qualys EDR - Events 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱	類型	預設值	為必填項目	說明
產品欄位名稱	字串	產品名稱	是	輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱	字串	類型	是	輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱	字串	""	否	說明儲存環境名稱的欄位名稱。 如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式	字串	.*	否	要對「環境欄位名稱」欄位中的值執行的規則運算式模式。 預設值為 .*，可擷取所有值並傳回未變更的值。 用於允許使用者透過規則運算式邏輯操控環境欄位。 如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒)	整數	180	是	執行目前指令碼的 Python 程序逾時限制。
API 根層級	字串	不適用	是	Qualys EDR 執行個體的 API 根目錄。
使用者名稱	字串	不適用	是	Qualys EDR 帳戶的使用者名稱。
密碼	字串	不適用	是	Qualys EDR 帳戶的密碼。
要擷取的最低分數	整數	5	否	擷取事件時，必須使用的最低分數。上限：10。如未指定，連接器會擷取所有分數的事件。
類型篩選器	CSV	檔案、網路	是	事件的類型篩選器。可能的值包括： file,mutex,process,network,registry.
往回查看時數上限	整數	1	否	擷取事件的時間範圍 (以小時為單位)。
要擷取的事件數量上限	整數	100	否	每次連接器疊代要處理的警告記錄數量。預設值：100。
將許可清單當做黑名單使用	核取方塊	已勾選	是	如果啟用，許可清單會當做黑名單使用。
驗證 SSL	核取方塊	已勾選	是	如果已啟用，請確認 Qualys EDR 伺服器連線的 SSL 憑證有效。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼	不適用	否	用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。