将 Wiz 与 Google SecOps 集成

本文档介绍了如何将 Wiz 与 Google Security Operations (Google SecOps) 集成。

准备工作

如需使用此集成，您需要 API 根、客户端 ID 和客户端密钥。

如需详细了解如何生成这些凭证，请参阅服务账号设置。

所需的服务账号权限和范围

确保您的 Wiz 服务账号已获得适当的 API 权限范围，以便在 Google SecOps 中执行您打算运行的操作。

读取和查询操作

操作/目的 使用方 所需权限/范围
测试连接 Ping 操作 read:issues
获取问题详情 “获取问题详情”操作 read:issues
read:posture_issues
read:threat_issues
read:comments
列出资源漏洞发现结果 “列出资源漏洞发现结果”操作 read:vulnerabilities
获取 Blue Agent 分析 获取蓝色代理分析操作 read:threat_issues

写入和修改操作（变更）

操作/目的 使用方 所需权限/范围
重新打开问题 重新打开问题操作 write:issue_status
update:posture_issue_status
write:threat_issue_status
解决问题 解决问题操作 write:threat_issue_status
write:threat_issues
忽略问题 忽略问题操作 update:posture_issue_ignore
write:issue_ignore
为问题添加评论 “向问题添加评论”操作 write:issue_comments
write:threat_issue_comments
write:comments

集成参数

Wiz 集成需要以下参数：

参数 说明
API Root

必填。

Wiz 租户的 GraphQL API 端点网址。

端点必须采用 https://api.<region>.app.wiz.io/graphql 格式（或 Wiz for Gov 的 https://api.<region>.app.wiz.us/graphql 格式），其中 <region> 表示分配给您的 Wiz 数据中心区域（例如 us1、us2、eu1 或 eu2）。

请参阅 Wiz 租户详细信息，获取确切的端点网址。请勿使用未编号的通用区域网址。
Authentication URL

可选。

用于生成 OAuth 访问令牌的身份验证网址。对于商业环境，请使用 https://auth.app.wiz.io。对于 Wiz for Gov (FedRAMP) 环境，请使用 https://auth.app.wiz.us。

默认值为 https://auth.app.wiz.io。
Client ID

必填。

与您的 Wiz API 凭证关联的客户端 ID。
Client Secret

必填。

与您的 Wiz API 凭证关联的客户端密钥。
Verify SSL

必填。

如果选中此选项，则集成会在连接到 Wiz 服务器时验证 SSL 证书。

默认处于启用状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

Ping

使用 Ping 操作测试与 Wiz 的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果。 可用
输出消息

Ping 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully connected to the Wiz server with the provided connection parameters!

 操作成功。
Failed to connect to the Wiz server! Error is ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取问题详情

使用获取问题详情操作可获取 Wiz 中指定问题的相关信息。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取问题详情操作需要以下参数：

参数 说明
Issue ID

必填。

要检索或处理的 Wiz 问题的唯一标识符。

操作输出

获取问题详情操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取问题详情操作时收到的 JSON 结果输出：

{
   "id": "f54e3fb9-a520-4e99-aacc-b99f6ae7f28d",
   "createdAt": "2025-07-26T11:47:43.94524Z",
   "updatedAt": "2025-07-31T07:34:54.445702Z",
   "status": "RESOLVED",
   "severity": "CRITICAL",
   "type": "TOXIC_COMBINATION",
   "description": "This container is using an image that contains a file identified as a high/critical severity malware by ReversingLabs.\n\nMalware can imply a malicious actor's presence in your environment. The malware can be used for crypto-mining, data leakage, lateral movement to other resources in your environment, etc.",
   "resolvedAt": "2025-07-31T07:34:54.445702Z",
   "entitySnapshot": {
       "cloudPlatform": "GCP",
       "id": "1971f945-3476-5b3d-a5a1-ab166c3e2eca",
       "name": "cluster-solr",
       "region": "us-central1",
       "subscriptionName": "Wiz-Labs",
       "type": "KUBERNETES_CLUSTER"
   },
   "projects": [
       {
           "id": "904cbc14-1c52-571c-a6b8-46fee263eb0f",
           "name": "GCP Lab"
       }
   ],
   "sourceRules": [
       {
           "id": "wc-id-1038",
           "name": "Container using an image infected with critical/high severity malware",
           "description": "This container is using an image that contains a file identified as a high/critical severity malware by ReversingLabs.\n\nMalware can imply a malicious actor's presence in your environment. The malware can be used for crypto-mining, data leakage, lateral movement to other resources in your environment, etc."
       }
   ]
}
输出消息

获取问题详情操作可能会返回以下输出消息：

输出消息 消息说明

Successfully returned details for the following issue using information from Wiz: ISSUE_ID

The action wasn't able to return details for the following entities using information from Wiz: ISSUE_ID

 操作成功。
Error executing action "Get Issue Details". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取问题详情操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

重新打开问题

使用重新打开问题操作在 Wiz 中重新打开指定问题。

此操作不会在 Google SecOps 实体上运行。

操作输入

重新打开问题操作需要以下参数：

参数 说明
Issue ID

必填。

Wiz 中要检索或更新的问题的唯一标识符。

操作输出

重新打开问题操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用重新打开问题操作时收到的 JSON 结果输出：

{
    "id": "41facd3f-29b0-4fcf-9a0c-e7fc40416aa0",
    "note": "",
    "status": "OPEN",
    "dueAt": null,
    "resolutionReason": null
}
输出消息

Reopen Issue 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully reopened issue with ID ISSUE_ID。

 操作成功。
Error executing action "Reopen Issue". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用重新打开问题操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

忽略问题

使用忽略问题操作可忽略 Wiz 中的指定问题。

此操作不会在 Google SecOps 实体上运行。

操作输入

忽略问题操作需要以下参数：

参数 说明
Issue ID

必填。

Wiz 中问题的唯一标识符。
Resolution Reason

必填。

问题解决的原因。

可能的值如下：

  • False Positive
  • Exception
  • Won't Fix~

默认值为 False Positive。
Resolution Note

可选。

提供有关问题解决的其他背景信息的备注。

操作输出

忽略问题操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用忽略问题操作时收到的 JSON 结果输出：

{
    "id": "41facd3f-29b0-4fcf-9a0c-e7fc40416aa0",
    "note": "",
    "status": "REJECTED",
    "dueAt": null,
    "resolutionReason": "FALSE_POSITIVE"
}
输出消息

忽略问题操作可能会返回以下输出消息：

输出消息 消息说明

Successfully ignored issue with ID ISSUE_ID。

 操作成功。
Error executing action "Ignore Issue". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用忽略问题操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

解决问题

使用解决问题操作来解决 Wiz 中的指定问题。

此操作不会在 Google SecOps 实体上运行。

操作输入

解决问题操作需要以下参数：

参数 说明
Issue ID

必填。

Wiz 中问题的唯一标识符。
Resolution Reason

必填。

问题解决的原因。

可能的值如下：

  • Malicious Threat
  • Not Malicious Threat
  • Security Test Threat
  • Planned Action Threat
  • Inconclusive Threat

默认值为 Not Malicious Threat。
Resolution Note

可选。

提供有关解决方案的其他背景信息的备注。

操作输出

解决问题操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用解决问题操作时收到的 JSON 结果输出：

{
    "id": "0db2222f-7d1f-501a-9ad5-fe669c7da036",
    "resolutionNote": "",
    "status": "RESOLVED",
    "dueAt": null,
    "resolutionReason": "NOT_MALICIOUS_THREAT"
}
输出消息

解决问题操作可能会返回以下输出消息：

输出消息 消息说明

Successfully resolved issue with ID ISSUE_ID。

 操作成功。
Error executing action "Resolve Issue". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用解决问题操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

为问题添加评论

使用向问题添加评论操作向 Wiz 中的指定问题添加评论。

此操作不会在 Google SecOps 实体上运行。

操作输入

Add Comment To Issue 操作需要以下参数：

参数 说明
Issue ID

必填。

Wiz 中问题的唯一标识符。
Comment

必填。

要添加到问题中的评论文本。

操作输出

向问题添加评论操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用向问题添加评论操作时收到的 JSON 结果输出：

{
  "createdAt": "2025-08-01T11:59:00.843434941Z", "id":
  "6f997da2-85a0-4be2-b205-83ea19e9b17a", "text": "testing"
}
输出消息

向问题添加评论操作可能会返回以下输出消息：

输出消息 消息说明

Successfully added a comment to the issue with ID ISSUE_ID。

 操作成功。
Error executing action "Add Comment To Issue". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用向问题添加评论操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取蓝色代理分析

使用获取 Blue Agent 分析操作，从 Wiz Blue Agent 获取指定威胁的分析详情。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取 Blue Agent 分析操作需要以下参数：

参数 说明
Threat ID

必填。

Wiz 威胁 ID 的唯一标识符。

操作输出

Get Blue Agent Analysis 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取 Blue Agent 分析操作时收到的 JSON 结果输出：

{
  "id": "threat-12345",
  "threatType": "MALWARE_DETECTION",
  "status": "COMPLETED",
  "analysis": {
    "summary": "Blue Agent analysis details",
    "riskScore": "HIGH"
  }
}
输出消息

获取蓝色代理分析操作可能会返回以下输出消息：

输出消息 消息说明

Successfully retrieved blue agent analysis for threat ID THREAT_ID。

 操作成功。
Error executing action "Get Blue Agent Analysis". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取蓝色代理分析操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

作业

如需详细了解作业，请参阅 配置新作业和 高级调度。

Wiz 和 Google SecOps 双向同步作业

使用 Wiz 和 Google SecOps 双向同步作业在 Wiz 威胁和 Google SecOps 案例之间保持持续同步。

作业参数

Wiz 和 Google SecOps 双向同步作业需要以下参数：

参数 说明
Environment Name

必填。

要在其中同步案例的环境的名称。

默认值为 Default Environment。
Wiz API Root

必填。

租户的 Wiz GraphQL API 端点。

端点必须采用 https://api.<region>.app.wiz.io/graphql 格式（或 Wiz for Gov 的 https://api.<region>.app.wiz.us/graphql 格式），其中 <region> 表示分配给您的 Wiz 数据中心区域（例如 us1、us2、eu1 或 eu2）。

请参阅 Wiz 租户详细信息，获取确切的端点网址。请勿使用未编号的通用区域网址。

默认占位值为 https://api.<region>.app.wiz.io/graphql。将 <region> 替换为您分配的 Wiz 数据中心区域。
Wiz Authentication URL

可选。

用于生成 OAuth 访问令牌的身份验证网址。对于商业环境，请使用 https://auth.app.wiz.io。对于 Wiz for Gov (FedRAMP) 环境，请使用 https://auth.app.wiz.us。

默认值为 https://auth.app.wiz.io。
Wiz Client ID

必填。

Wiz API 服务账号的客户端 ID。
Wiz Client Secret

必填。

Wiz API 服务账号的客户端密钥。
Max Hours Backwards

可选。

在初始作业迭代之前，要从中检索更新后的支持请求的小时数（范围：1 到 720，默认值：24）。此参数适用于首次作业运行，或在上次运行时间戳重置时作为后备。
Verify SSL

必填。

如果选中，集成会在连接到 Wiz 服务器时验证 SSL 证书。

默认处于选中状态。
Fields to sync

必填。

以逗号分隔列表形式的项，用于确定应同步哪些字段。系统只会同步此处明确列出的字段。可能的值包括：Status、Comments、Product Link、Severity。

默认值为 Status, Comments, Product Link, Severity。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。