Devo

Integrationsversion: 8.0

Produktberechtigung

Devo bietet verschiedene Authentifizierungsmethoden, die im Dokument Security credentials (Sicherheitsanmeldedaten) in der Devo-Dokumentation beschrieben werden.

Die Google Security Operations-Integration unterstützt entweder Authentifizierungstokens oder Zugriffsschlüssel für die Authentifizierung.

Es wird empfohlen, die tokenbasierte Authentifizierung zu konfigurieren:

  1. Rufen Sie das Dokument Authentifizierungstokens in der Devo-Dokumentation auf.
  2. Folgen Sie der Anleitung zum Erstellen eines Tokens. Wählen Sie in Schritt 3 Daten mit der REST API abfragen aus.
  3. Geben Sie in Schritt 4 für die Zieltabelle „siem.logtrust.alert.info“ an.

Schließen Sie die Erstellung gemäß der Dokumentation ab, um ein Token zu erhalten.

API

Weitere Informationen zur API finden Sie in der API-Referenz in der Devo-Dokumentation.

Devo-Integration in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-URL String https://apiv2-us.devo.com Ja Geben Sie den API-Stamm für die Ziel-Devo-Instanz an.
API-Token Passwort – Nein

Wenn eine tokenbasierte Authentifizierung verwendet wird, geben Sie das API-Token für die Ziel-Devo-Instanz an.

Wenn sowohl Token als auch Zugriffsschlüssel angegeben werden, funktioniert die Integration mit dem API-Token und ignoriert die Zugriffsschlüssel.
API-Schlüssel Passwort – Nein Wenn die Authentifizierung mit Zugriffsschlüsseln verwendet wird, geben Sie den API-Schlüssel für die Ziel-Devo-Instanz an.
API-Secret Passwort – Nein Wenn die Authentifizierung mit Zugriffsschlüsseln verwendet wird, geben Sie das API-Secret für die Ziel-Devo-Instanz an.
SSL überprüfen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, prüft der Google SecOps-Server das für den API-Root konfigurierte Zertifikat.

Anwendungsbereiche

  1. Devo kann als Quelle für Benachrichtigungen verwendet werden, die von Google SecOps verarbeitet werden.
  2. Devo kann von Google SecOps abgefragt werden, um den Kontext von Google SecOps-Benachrichtigungen zu erweitern.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zur Devo-Instanz mit Parametern, die auf der Seite mit der Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Wenn für das generierte Zugriffstoken nicht „siem.logtrust.alert.info“ gewährt wird, schlägt die Ping-Aktion fehl, auch wenn das Token gültig ist. Weitere Informationen finden Sie im Abschnitt Produktberechtigung.

Parameter

–

Anwendungsfall

Die Aktion wird verwendet, um die Konnektivität auf der Seite „Integrationskonfiguration“ auf dem Tab „Google Security Operations Marketplace“ zu testen. Sie kann als manuelle Aktion ausgeführt werden und wird nicht in Playbooks verwendet.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine erforderlichen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Bei Erfolg: „Successfully connected to the Devo instance with the provided connection parameters!“ (Die Verbindung zur Devo-Instanz wurde mit den angegebenen Verbindungsparametern hergestellt.)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn das nicht funktioniert: „Verbindung zum LogRhythm-Server konnte nicht hergestellt werden. Fehler: {0}".format(exception.stacktrace)

 Allgemein

Erweiterte Abfrage

Beschreibung

Führt eine erweiterte Abfrage auf Grundlage der angegebenen Parameter aus. Beachten Sie, dass die Aktion nicht für Google SecOps-Entitäten funktioniert. Wenn Sie eine andere Tabelle als „siem.logtrust.alert.info“ abfragen möchten, erstellen Sie ein zusätzliches Token für diese Tabelle. Folgen Sie dazu der Dokumentation Authentication tokens (Authentifizierungstokens) in der Devo-Dokumentation und geben Sie das Token auf der Seite mit der Integrationskonfiguration an.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Abfrage String – Ja

Geben Sie eine Abfrage an, die für die Devo-Instanz ausgeführt werden soll.

Beispiel: „from siem.logtrust.alert.info“.
Zeitraum DDL

Letzte Stunde

Mögliche Werte:

  • Letzte Stunde
  • Letzte 6 Stunden
  • Letzte 24 Stunden
  • Letzte Woche
  • Letzter Monat
  • Benutzerdefiniert
 Nein

Geben Sie einen Zeitraum für die Ergebnisse an.

Wenn „Benutzerdefiniert“ ausgewählt ist, müssen Sie auch den Parameter „Startzeit“ angeben.
Beginn String – Nein

Geben Sie die Startzeit für die Abfrage an.

Dieser Parameter ist erforderlich, wenn für den Parameter „Zeitrahmen“ die Option „Benutzerdefiniert“ ausgewählt ist.

Format: ISO 8601

Beispiel: 2021-08-05T05:18:42Z
Ende String – Nein

Geben Sie die Endzeit für die Abfrage an.

Wenn nichts angegeben ist und für den Parameter „Zeitrahmen“ die Option „Benutzerdefiniert“ ausgewählt ist, wird für diesen Parameter die aktuelle Zeit verwendet.

Format: ISO 8601

Beispiel: 2021-08-05T05:18:42Z
Maximale Anzahl zurückzugebender Zeilen Ganzzahl 50 Nein Geben Sie die maximale Anzahl von Zeilen an, die von der Aktion zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Wenn mindestens einige Daten gefunden wurden (is_success=true): „Successfully retrieved results for the provided query in Devo.“ (Die Ergebnisse für die angegebene Abfrage wurden in Devo erfolgreich abgerufen.)

Wenn keine Ergebnisse gefunden werden (is_success=false): „No results found for the provided query in Devo.“ (Für die angegebene Anfrage in Devo wurden keine Ergebnisse gefunden.)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn in der Anfrage Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Erweiterte Suche‘. Grund: {message}''.format(error.Stacktrace)

Wenn der Parameter „Start Time“ (Startzeit) leer ist und der Parameter „Time Frame“ (Zeitrahmen) auf „Custom“ (Benutzerdefiniert) festgelegt ist (Fehler): „Error executing action "". Reason: "Start Time" should be provided, when "Custom" is selected in the "Time Frame" parameter.“ (Fehler beim Ausführen der Aktion „“. Grund: „Start Time“ (Startzeit) muss angegeben werden, wenn im Parameter „Time Frame“ (Zeitrahmen) „Custom“ (Benutzerdefiniert) ausgewählt ist.)

Wenn der Wert des Parameters „Start Time“ (Startzeit) größer als der Wert des Parameters „End Time“ (Endzeit) ist (Fehler): „Error executing action "". Reason: "End Time" should be later than "Start Time".“ (Fehler beim Ausführen der Aktion „“. Grund: „End Time“ (Endzeit) sollte später als „Start Time“ (Startzeit) sein.)

Wenn für den Parameter „Zurückzugebende maximale Zeilen“ ein negativer Wert oder 0 festgelegt ist: „Fehler beim Ausführen der Aktion „“. Grund: „Zurückzugebende maximale Zeilen“ sollte eine positive Zahl ungleich null sein.“

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Erweiterte Abfrage‘. Grund: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle

Tabellenname:Erweiterte Abfrageergebnisse

Tabellenspalten:

Alle Spalten, die in der Antwort zurückgegeben werden.

 Allgemein

Einfache Abfrage

Beschreibung

Führe eine einfache Abfrage basierend auf den bereitgestellten Parametern aus. Hinweis: Die Aktion funktioniert nicht für Google SecOps-Entitäten. Wenn Sie eine andere Tabelle als „siem.logtrust.alert.info“ abfragen möchten, erstellen Sie ein zusätzliches Token für diese Tabelle. Folgen Sie dazu der Dokumentation Authentication tokens (Authentifizierungstokens) in der Devo-Dokumentation und geben Sie das Token auf der Seite mit der Integrationskonfiguration an.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Tabellenname String siem.logtrust.alert.info Ja Geben Sie die Tabelle an, die abgefragt werden soll.
Zurückzugebende Felder CSV – Nein

Geben Sie die Felder an, die zurückgegeben werden sollen.

Wenn nichts angegeben ist, werden alle Felder zurückgegeben.
Where-Filter String – Nein Geben Sie den Where-Filter für die auszuführende Abfrage an.
Zeitraum DDL

Letzte Stunde

Mögliche Werte:

Letzte Stunde

Letzte 6 Stunden

Letzte 24 Stunden

Letzte Woche

Letzter Monat

Benutzerdefiniert

 Nein

Geben Sie einen Zeitraum für die Ergebnisse an.

Wenn „Benutzerdefiniert“ ausgewählt ist, müssen Sie auch den Parameter „Startzeit“ angeben.
Beginn String – Nein

Geben Sie die Startzeit für die Abfrage an.

Dieser Parameter ist erforderlich, wenn für den Parameter „Zeitrahmen“ die Option „Benutzerdefiniert“ ausgewählt ist.

Format: ISO 8601

Beispiel: 2021-08-05T05:18:42Z
Ende String – Nein

Geben Sie die Endzeit für die Abfrage an.

Wenn nichts angegeben ist und für den Parameter „Zeitrahmen“ die Option „Benutzerdefiniert“ ausgewählt ist, wird für diesen Parameter die aktuelle Zeit verwendet.

Format: ISO 8601 Beispiel: 2021-08-05T05:18:42Z
Maximale Anzahl zurückzugebender Zeilen Ganzzahl 50 Nein Geben Sie die maximale Anzahl von Zeilen an, die von der Aktion zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Wenn mindestens einige Daten gefunden wurden (is_success=true): „Successfully retrieved results for the query: "{constructed query}" in Devo.“ (Die Ergebnisse für die Abfrage: „{constructed query}“ wurden in Devo abgerufen.)

Wenn keine Ergebnisse gefunden werden (is_success=false): „No results found for the query {constructed query} in Devo“ (Für die Abfrage {constructed query} in Devo wurden keine Ergebnisse gefunden).

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn in der Anfrage Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Einfache Suche‘. Grund: {message}''.format(error.Stacktrace)

Wenn der Parameter „Start Time“ (Startzeit) leer ist und der Parameter „Time Frame“ (Zeitrahmen) auf „Custom“ (Benutzerdefiniert) festgelegt ist (Fehler): „Error executing action "". Reason: "Start Time" should be provided, when "Custom" is selected in the "Time Frame" parameter.“ (Fehler beim Ausführen der Aktion „“. Grund: „Start Time“ (Startzeit) muss angegeben werden, wenn „Custom“ (Benutzerdefiniert) im Parameter „Time Frame“ (Zeitrahmen) ausgewählt ist.)

Wenn der Wert des Parameters „Startzeit“ größer als der Wert des Parameters „Endzeit“ ist (Fehler): „Fehler beim Ausführen der Aktion ‚‘. Grund: ‚Endzeit‘ muss nach ‚Startzeit‘ liegen.“

Wenn für den Parameter „Max. zurückzugebende Zeilen“ ein negativer Wert oder 0 festgelegt ist: „Fehler beim Ausführen der Aktion „“. Grund: „Max. zurückzugebende Zeilen“ sollte eine positive Zahl ungleich null sein.“

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler, wird die folgende Meldung angezeigt: „Fehler beim Ausführen der Aktion ‚Einfache Abfrage‘. Grund: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle

Tabellenname:Simple Query Results

Tabellenspalten:Alle Spalten, die in der Antwort zurückgegeben werden

 Allgemein

Connectors

Devo Alerts Connector

Beschreibung

Mit dem Connector können Benachrichtigungsdatensätze aus der Tabelle „siem.logtrust.alert.info“ von Devo abgerufen werden. Mit der Connector-Whitelist können nur bestimmte Arten von Benachrichtigungen basierend auf dem Wert des Benachrichtigungskontexts aufgenommen werden.

Devo Alerts Connector in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Devo Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String „context“ Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein regulärer Ausdruck, der auf den Wert im Feld „Name des Umgebungsfelds“ angewendet wird.

Der Standardwert ist „.*“, um alle Werte zu erfassen und unverändert zurückzugeben.

Ermöglicht es dem Nutzer, das Feld „environment“ (Umgebung) über Regex-Logik zu bearbeiten.

Wenn das reguläre Ausdrucksmuster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
API-URL String https://apiv2-us.devo.com Ja Geben Sie die API-URL für die Ziel-Devo-Instanz an.
API-Token Passwort – Nein Wenn eine tokenbasierte Authentifizierung verwendet wird, geben Sie das API-Token für die Ziel-Devo-Instanz an.
API-Schlüssel Passwort – Nein Wenn die Authentifizierung mit Zugriffsschlüsseln verwendet wird, geben Sie den API-Schlüssel für die Ziel-Devo-Instanz an.
API-Secret Passwort – Nein Wenn die Authentifizierung mit Zugriffsschlüsseln verwendet wird, geben Sie das API-Secret für die Ziel-Devo-Instanz an.
SSL überprüfen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, prüft der Google SecOps-Server das für den API-Root konfigurierte Zertifikat.
Abweichungszeit in Stunden Ganzzahl 24 Ja Rufe Benachrichtigungen ab, die bis zu X Stunden zurückliegen.
Maximale Anzahl an Benachrichtigungen pro Zyklus Ganzzahl 30 Ja Anzahl der Benachrichtigungen, die während eines Connector-Laufs verarbeitet werden sollen.
Mindestpriorität für den Abruf String Normal Ja

Die Mindestpriorität der Benachrichtigung, die in Google SecOps aufgenommen werden soll, z. B. „Niedrig“ oder „Mittel“.

Mögliche Werte: Sehr niedrig, Niedrig, Normal, Hoch, Sehr hoch
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxy.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten