Sumo Logic Cloud SIEM

本文档介绍了如何将 Sumo Logic Cloud SIEM 与 Google SecOps 集成。

在 Google Security Operations 中配置 Sumo Logic Cloud SIEM 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://{instance} 是 Sumo Logic Cloud SIEM 实例的 API 根。
API 密钥 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的 API 密钥。

注意：API 密钥的优先级高于其他身份验证方法。
访问 ID 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的访问 ID。

注意：此类身份验证需要同时提供访问 ID 和访问密钥。
访问密钥 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的访问密钥。

注意：此类身份验证需要同时提供访问 ID 和访问密钥。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 Sumo Logic Cloud SIEM 服务器连接的 SSL 证书是否有效。

使用场景

提取提醒。

操作

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 Sumo Logic Cloud SIEM 的连接。

参数

不适用

运行时间

此操作不会对实体运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
N/A
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 Sumo Logic Cloud SIEM 服务器！”

操作应失败并停止 playbook 执行：

如果未成功：“Failed to connect to the Sumo Logic Cloud SIEM server! 错误为 {0}”。format(exception.stacktrace)

 常规

搜索实体信号

说明

在 Sumo Logic Cloud SIEM 中搜索与实体相关的信号。支持的实体：IP 地址、主机名、用户名。

参数

参数显示名称 类型 默认值 为必填项 说明
要返回的最低严重级别 整数 5 否

指定用于返回信号的最低严重级别编号。

最大值：10
时间范围 DDL

过去 1 小时

可能的值：

  • 过去 1 小时
  • 过去 6 小时
  • 过去 24 小时
  • 上周
  • 上个月
  • 提醒时间前后 5 分钟
  • 提醒时间前后 30 分钟
  • 提醒时间前后 1 小时
  • 自定义
 否

指定结果的时间范围。

如果选择“自定义”，您还需要提供“开始时间”。

如果选择“Alert Time Till Now”（从提醒时间到现在），则操作会将提醒的开始时间用作搜索的开始时间，并将当前时间用作结束时间。

如果选择“提醒时间前后 30 分钟”，则该操作会搜索提醒发生前 30 分钟到提醒发生后 30 分钟之间的提醒。“提醒时间前后 1 小时”和“提醒时间前后 5 分钟”也遵循同样的逻辑
开始时间 字符串 不适用 否

指定结果的开始时间。

如果为“时间范围”参数选择了“自定义”，则此参数是必需的。

格式：ISO 8601
结束时间 字符串 不适用 否

指定结果的结束时间。

如果未提供任何内容，并且为“时间范围”参数选择了“自定义”，则此参数会使用当前时间。

格式：ISO 8601
要返回的信号数上限 整数 50 否 指定每个实体要返回的信号数量。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名
  • 用户名

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
[
    {
        "allRecords": [
            {
                "action": "failed password attempt",
                "bro_dns_answers": [],
                "bro_file_bytes": {},
                "bro_file_connUids": [],
                "bro_flow_service": [],
                "bro_ftp_pendingCommands": [],
                "bro_http_cookieVars": [],
                "bro_http_origFuids": [],
                "bro_http_origMimeTypes": [],
                "bro_http_request_headers": {},
                "bro_http_request_proxied": [],
                "bro_http_response_headers": {},
                "bro_http_response_respFuids": [],
                "bro_http_response_respMimeTypes": [],
                "bro_http_tags": [],
                "bro_http_uriVars": [],
                "bro_kerberos_clientCert": {},
                "bro_kerberos_serverCert": {},
                "bro_sip_headers": {},
                "bro_sip_requestPath": [],
                "bro_sip_responsePath": [],
                "bro_ssl_certChainFuids": [],
                "bro_ssl_clientCertChainFuids": [],
                "cseSignal": {},
                "day": 11,
                "device_ip": "172.30.202.30",
                "device_ip_ipv4IntValue": 2887698974,
                "device_ip_isInternal": true,
                "device_ip_version": 4,
                "fieldTags": {},
                "fields": {
                    "auth_method": "ssh2",
                    "endpoint_ip": "172.30.202.30",
                    "endpoint_username": "bL0ofHLH",
                    "event_message": "Failed password for invalid user",
                    "src_port": "39788"
                },
                "friendlyName": "record",
                "hour": 10,
                "http_requestHeaders": {},
                "listMatches": [],
                "matchedItems": [],
                "metadata_deviceEventId": "citrix_xenserver_auth_message",
                "metadata_mapperName": "Citrix Xenserver Auth Message",
                "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                "metadata_parseTime": 1646994593976,
                "metadata_product": "Hypervisor",
                "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                "metadata_receiptTime": 1646994592,
                "metadata_relayHostname": "centos-002",
                "metadata_schemaVersion": 3,
                "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                "metadata_sensorInformation": {},
                "metadata_sensorZone": "default",
                "metadata_vendor": "Citrix",
                "month": 3,
                "normalizedAction": "logon",
                "objectType": "Authentication",
                "srcDevice_ip": "172.30.202.30",
                "srcDevice_ip_ipv4IntValue": 2887698974,
                "srcDevice_ip_isInternal": true,
                "srcDevice_ip_version": 4,
                "success": false,
                "timestamp": 1646994592000,
                "uid": "7a89ebd4-3346-59fe-839a-9fc9bf99f51a",
                "user_username": "bL0ofHLH",
                "user_username_raw": "bL0ofHLH",
                "year": 2022
            }
        ],
        "artifacts": [],
        "contentType": "ANOMALY",
        "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
        "entity": {
            "entityType": "_ip",
            "hostname": null,
            "id": "_ip-172.30.202.30",
            "macAddress": null,
            "name": "172.30.202.30",
            "sensorZone": "",
            "value": "172.30.202.30"
        },
        "id": "a9288779-354c-5a61-b492-f617d302c5ed",
        "name": "Password Attack",
        "recordCount": 10,
        "recordTypes": [],
        "ruleId": "THRESHOLD-S00095",
        "severity": 4,
        "stage": "Initial Access",
        "suppressed": true,
        "tags": [
            "_mitreAttackTactic:TA0001",
            "_mitreAttackTactic:TA0006",
            "_mitreAttackTechnique:T1110",
            "_mitreAttackTechnique:T1078",
            "_mitreAttackTechnique:T1078.001",
            "_mitreAttackTechnique:T1078.002",
            "_mitreAttackTechnique:T1078.003",
            "_mitreAttackTechnique:T1078.004",
            "_mitreAttackTechnique:T1586",
            "_mitreAttackTechnique:T1586.001",
            "_mitreAttackTechnique:T1586.002",
            "_mitreAttackTactic:TA0008",
            "_mitreAttackTechnique:T1110.003",
            "_mitreAttackTechnique:T1110.002",
            "_mitreAttackTechnique:T1110.001"
        ],
        "timestamp": "2022-03-11T10:29:52"
    }
]
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少找到一个信号 (is_success=true)：“已成功返回 Sumo Logic Cloud SIEM 中以下实体的信号：{entities}。”

如果未找到某个实体的任何信息 (is_success=true)：“在 Sumo Logic Cloud SIEM 中未找到以下实体的任何信号：{entities}。”

如果未找到任何实体的信号 (is_success=true)：“在 Sumo Logic Cloud SIEM 中未找到所提供实体的任何信号。”

如果针对一个实体报告了 500 状态代码 (is_success=true)：“操作无法检索 Sumo Logic Cloud SIEM 中以下实体的信号：{entities}。”

如果所有实体都报告了 500 状态代码 (is_success=false)：“操作无法在 Sumo Logic Cloud SIEM 中检索所提供实体的信号。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行操作‘搜索实体信号’时出错。Reason: {0}''.format(error.Stacktrace)

 常规

更新分析洞见

说明

在 Sumo Logic Cloud SIEM 中更新数据分析状态。

参数

参数显示名称 类型 默认值 为必填项 说明
数据分析 ID 字符串 不适用 是 指定需要更新的数据分析的 ID。
状态 DDL

选择一项

可能的值：

  • 选择一项
  • 新上架
  • 已关闭
 是 指定要为数据分析设置的状态。
分配对象类型 DDL

用户

可能的值：

  • 用户
  • 团队
 是 为“Assignee”参数指定受让人类型。
分配对象 字符串 不适用 否 指定分配对象标识符。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
  "data": {
      "artifacts": [],
      "assignedTo": "tip.labops",
      "assignee": {
          "displayName": "tip.labops@siemplify.co",
          "username": "tip.labops"
      },
      "closed": "2022-03-23T11:04:33.731971",
      "closedBy": "tip.labops",
      "confidence": 0.1,
      "created": "2022-03-11T08:48:26.030204",
      "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
      "entity": {
          "entityType": "_ip",
          "hostname": null,
          "id": "_ip-172.30.202.30",
          "macAddress": null,
          "name": "172.30.202.30",
          "sensorZone": "",
          "value": "172.30.202.30"
      },
      "id": "dbc30c20-6d99-4f6f-8580-157ce70368a5",
      "lastUpdated": "2022-03-23T11:04:33.740470",
      "lastUpdatedBy": null,
      "name": "Initial Access",
      "orgId": "siemplify",
      "readableId": "INSIGHT-13927",
      "recordSummaryFields": [],
      "resolution": "False Positive",
      "severity": "CRITICAL",
      "signals": [
          {
              "allRecords": [
                  {
                      "action": "failed password attempt",
                      "bro_dns_answers": [],
                      "bro_file_bytes": {},
                      "bro_file_connUids": [],
                      "bro_flow_service": [],
                      "bro_ftp_pendingCommands": [],
                      "bro_http_cookieVars": [],
                      "bro_http_origFuids": [],
                      "bro_http_origMimeTypes": [],
                      "bro_http_request_headers": {},
                      "bro_http_request_proxied": [],
                      "bro_http_response_headers": {},
                      "bro_http_response_respFuids": [],
                      "bro_http_response_respMimeTypes": [],
                      "bro_http_tags": [],
                      "bro_http_uriVars": [],
                      "bro_kerberos_clientCert": {},
                      "bro_kerberos_serverCert": {},
                      "bro_sip_headers": {},
                      "bro_sip_requestPath": [],
                      "bro_sip_responsePath": [],
                      "bro_ssl_certChainFuids": [],
                      "bro_ssl_clientCertChainFuids": [],
                      "cseSignal": {},
                      "day": 11,
                      "device_ip": "172.30.202.30",
                      "device_ip_ipv4IntValue": 2887698974,
                      "device_ip_isInternal": true,
                      "device_ip_version": 4,
                      "fieldTags": {},
                      "fields": {
                          "auth_method": "ssh2",
                          "endpoint_ip": "172.30.202.30",
                          "endpoint_username": "1ewk0XJn",
                          "event_message": "Failed password for invalid user",
                          "src_port": "59088"
                      },
                      "friendlyName": "record",
                      "hour": 8,
                      "http_requestHeaders": {},
                      "listMatches": [],
                      "matchedItems": [],
                      "metadata_deviceEventId": "citrix_xenserver_auth_message",
                      "metadata_mapperName": "Citrix Xenserver Auth Message",
                      "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                      "metadata_parseTime": 1646987453926,
                      "metadata_product": "Hypervisor",
                      "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                      "metadata_receiptTime": 1646987443,
                      "metadata_relayHostname": "centos-002",
                      "metadata_schemaVersion": 3,
                      "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                      "metadata_sensorInformation": {},
                      "metadata_sensorZone": "default",
                      "metadata_vendor": "Citrix",
                      "month": 3,
                      "normalizedAction": "logon",
                      "objectType": "Authentication",
                      "srcDevice_ip": "172.30.202.30",
                      "srcDevice_ip_ipv4IntValue": 2887698974,
                      "srcDevice_ip_isInternal": true,
                      "srcDevice_ip_version": 4,
                      "success": false,
                      "timestamp": 1646987443000,
                      "uid": "c2e6188b-202c-5736-9b4d-248ab6ba88dd",
                      "user_username": "1ewk0XJn",
                      "user_username_raw": "1ewk0XJn",
                      "year": 2022
                  }
              ],
              "artifacts": [],
              "contentType": "ANOMALY",
              "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
              "id": "b4adb0dc-1340-56ec-87aa-c6f1fc0fa247",
              "name": "Password Attack",
              "recordCount": 10,
              "recordTypes": [],
              "ruleId": "THRESHOLD-S00095",
              "severity": 4,
              "stage": "Initial Access",
              "tags": [
                  "_mitreAttackTactic:TA0001"
              ],
              "timestamp": "2022-03-11T08:31:28"
          }
      ],
      "source": "USER",
      "status": {
          "displayName": "Closed",
          "name": "closed"
      },
      "subResolution": null,
      "tags": [
          "aaa3"
      ],
      "teamAssignedTo": null,
      "timeToDetection": 1271.030204,
      "timeToRemediation": 1044967.701767,
      "timeToResponse": 21.186055,
      "timestamp": "2022-03-11T08:31:28"
  },
  "errors": []
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已在 Sumo Logic Cloud SIEM 中成功更新 ID 为‘{id}’的数据分析。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action "Update Insight". Reason: {0}''.format(error.Stacktrace)

如果报告了错误：“执行操作‘更新数据分析’时出错。原因：{message}。'

如果为“状态”参数选择了“选择一项”，但未提供分配对象：“执行‘更新数据分析’操作时出错。原因：需要提供状态或受让人。”

 常规

为分析洞见添加评论

说明

在 Sumo Logic Cloud SIEM 中为数据洞见添加评论。

参数

参数显示名称 类型 默认值 为必填项 说明
数据分析 ID 字符串 不适用 是 指定需要添加评论的分析洞见的 ID。
评论 字符串 不适用 是 指定需要添加到数据分析中的评论。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已成功在 Sumo Logic Cloud SIEM 中为 ID 为‘{id}’的数据分析添加评论。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘向数据分析添加评论’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了错误：“执行‘向数据分析添加评论’操作时出错。原因：{message}。

 常规

为分析洞见添加标签

说明

在 Sumo Logic Cloud SIEM 中为数据分析添加标签。

参数

参数显示名称 类型 默认值 为必填项 说明
数据分析 ID 字符串 不适用 是 指定需要添加标记的分析洞见的 ID。
标记 CSV 不适用 是 指定需要添加到数据分析中的逗号分隔列表标签。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
    "data": {
        "author": {
            "username": "tip.labops"
        },
        "body": "In Progress",
        "id": "1",
        "timestamp": "2022-03-16T12:03:56.472109"
    },
    "errors": []
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已成功在 Sumo Logic Cloud SIEM 中为 ID 为‘{id}’的数据分析添加标记。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘向数据分析添加标记’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了错误：“执行操作‘向数据分析添加标签’时出错。原因：{message}。

 常规

丰富实体

说明

使用 Sumo Logic Cloud SIEM 中的信息丰富实体。支持的实体：主机名、用户、IP 地址。

参数

参数显示名称 类型 默认值 为必填项 说明
创建分析洞见 复选框 勾选 否 如果启用，该操作会创建一个包含所检索到的实体相关信息的分析洞见。

运行时间

此操作将在以下实体上运行：

  • 主机名
  • 用户
  • IP 地址

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
    "activityScore": 8,
    "criticality": null,
    "entityType": "_ip",
    "firstSeen": null,
    "hostname": null,
    "id": "_ip-172.30.202.30",
    "inventory": [],
    "isSuppressed": false,
    "isWhitelisted": false,
    "lastSeen": "2022-03-11T09:44:53",
    "macAddress": null,
    "name": "172.30.202.30",
    "sensorZone": null,
    "tags": [],
    "value": "172.30.202.30"
}

实体丰富化 - 前缀 SumoLogicCloudSIEM_

扩充项字段名称 来源（JSON 密钥） 逻辑 - 适用情形
isSuppressed isSuppressed 当 JSON 中有此字段时
isWhitelisted isWhitelisted 当 JSON 中有此字段时
标签 包含标签信息的 CSV 文件 当 JSON 中有此字段时
firstSeen firstSeen 当 JSON 中有此字段时
lastSeen lastSeen 当 JSON 中有此字段时
重要性 重要性 当 JSON 中有此字段时
activityScore activityScore 当 JSON 中有此字段时
数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果一个实体有可用数据 (is_success=true)：“已使用 Harmony Mobile 中的信息成功丰富以下实体：{entity.identifier}”。

如果某个实体的数据不可用 (is_success=true)：“Action wasn't able to enrich the following entities using information from Sumo Logic Cloud SIEM: {entity.identifier}”

如果所有实体的数据都不可用 (is_success=false)：“None of the provided entities were enriched.”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“执行操作‘丰富实体’时出错。Reason: {0}''.format(error.Stacktrace)

 常规
案例墙表格

表标题：{entity.identifier}

表列：

  • 键
  • 值
 实体

连接器

Sumo Logic Cloud SIEM - Insights Connector

说明

从 Sumo Logic Cloud SIEM 中拉取有关数据分析的信息。

在 Google SecOps 中配置 Sumo Logic Cloud SIEM - Insights 连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 不适用 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 generalized_data_name 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://{instance} 是 Sumo Logic Cloud SIEM 实例的 API 根。
API 密钥 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的 API 密钥。

注意：API 密钥的优先级高于其他身份验证方法。
访问 ID 字符串 不适用 否

Sumo Logic Cloud SIEM 账号的访问 ID。

注意：此类身份验证需要同时提供访问 ID 和访问密钥。
访问密钥 Secret 不适用 否

Sumo Logic Cloud SIEM 账号的访问密钥。

注意：此类身份验证需要同时提供访问 ID 和访问密钥。
要提取的最低严重级别 字符串 不适用 否

需要用于提取支持请求的最低优先级。

可能的值：低、中、高、严重。

如果未指定任何内容，连接器将注入所有严重级别的分析洞见。
回溯的小时数上限 整数 1 否 提取数据分析的小时数。
要提取的数据分析数量上限 整数 20 否 每次连接器迭代要处理的数据分析数量。
将动态列表用作黑名单 复选框 尚未核查 是 如果启用，动态列表将用作黑名单。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 Sumo Logic Cloud SIEM 服务器连接的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

此连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。