Se usó la API de Cloud Translation para traducir esta página.

RSA NetWitness Platform

Versión de integración: 11.0

Configura la integración de RSA NetWitness Platform en Google Security Operations

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre de la instancia	String	N/A	No	Nombre de la instancia para la que deseas configurar la integración.
Descripción	String	N/A	No	Es la descripción de la instancia.
Raíz de la API del agente	String	http://x.x.x.x:50103	No	Es la raíz de la API del agente.
Nombre de usuario de la API del agente	String	N/A	No	Es el nombre de usuario para la API de Broker.
Contraseña de la API del agente	Contraseña	N/A	No	Contraseña de la API de Broker.
Raíz de la API del concentrador	String	http://x.x.x.x:50105	No	Es la raíz de la API del concentrador.
Nombre de usuario de la API del concentrador	String	N/A	No	Nombre de usuario para la API del concentrador.
Contraseña de la API del concentrador	Contraseña	N/A	No	Contraseña de la API de Concentrator.
Raíz de la API web	String	https://{ip}/rest/api/	No	Es la raíz de la API de la instancia de NetWitness Platform.
Nombre de usuario web	String	N/A	No	Nombre de usuario de la instancia de NetWitness Platform.
Contraseña web	Contraseña	N/A	No	Contraseña de la instancia de NetWitness Platform.
Verificar SSL	Casilla de verificación	Desmarcado	No	Si está habilitado, verifica que el certificado SSL para la conexión al servidor de RSA NetWitness Platform sea válido.
Ejecutar de forma remota	Casilla de verificación	Desmarcado	No	Marca la casilla para ejecutar la integración configurada de forma remota. Una vez que se marca, aparece la opción para seleccionar al usuario remoto (agente).

Acciones

Ping

Descripción

Prueba la conectividad a RSA NetWitness Platform.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Extremo de enriquecimiento

Descripción

Recupera la información del sistema del extremo por su nombre de host o dirección IP. Requiere una licencia de RSA NetWitness Respond, un servicio de servidor de extremos que se ejecute en segundo plano y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es Obligatorio	Descripción
Umbral de la puntuación de riesgo	Número entero	50	Falso	Especifica el umbral de riesgo para el extremo. Si el extremo supera el umbral, la entidad relacionada se marcará como sospechosa. Si no se especifica nada, la acción no verificará la puntuación de riesgo.

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

Dirección IP
Host

Resultados de la acción

Enriquecimiento de entidades

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Lógica: Cuándo aplicar
RSA_NTW_agentId	agentId	Cuando está disponible en JSON
RSA_NTW_hostName	hostName	Cuando está disponible en JSON
RSA_NTW_riskScore	riskScore	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_name	networkInterfaces/name	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_macAddress	networkInterfaces/macAddress	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_ipv4	Lista separada por espacios de networkInterfaces/ipv4	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_ipv6	Lista separada por espacios de networkInterfaces/ipv6	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_networkIdv6	Lista separada por espacios de networkInterfaces/networkIdv6	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_gateway	Lista separada por espacios de networkInterfaces/gateway	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_dns	Lista separada por espacios de networkInterfaces/dns	Cuando está disponible en JSON
RSA_NTW_networkInterfaces_{id}_promiscuous	networkInterfaces/promiscuous	Cuando está disponible en JSON
RSA_NTW_lastSeenTime	lastSeenTime	Cuando está disponible en JSON

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Resultado de JSON

{
    "items": [
        {
            "agentId": "575EDC44-BDF9-6D00-FFCD-D354FB641E27",
            "hostName": "RSA-HOST-1",
            "riskScore": 100,
            "networkInterfaces": [
                {
                    "name": "Intel(R) 82574L Gigabit Network Connection",
                    "macAddress": "00:50:56:A2:30:03",
                    "ipv4": [
                        "172.30.203.145"
                    ],
                    "ipv6": [
                        "fe80::dce6:5825:454a:968d"
                    ],
                    "networkIdv6": [
                        "fe80::"
                    ],
                    "gateway": [
                        "172.30.203.1"
                    ],
                    "dns": [
                        "8.8.8.8"
                    ],
                    "promiscuous": false
                }
            ],
            "lastSeenTime": "2020-08-23T12:32:33.107Z"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Muro de casos

Tipo de resultado	Valor / Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de una guía: Si la operación se realiza correctamente y se enriqueció al menos una de las entidades proporcionadas (is_success = true): Imprime "Successfully enriched the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Si no se pueden enriquecer entidades específicas(is_success = true): Imprime "Action was not able to enrich the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) Si no se puede enriquecer para todas las entidades (is_success = false): Impresión: "No se enriqueció ninguna entidad". La acción debe fallar y detener la ejecución de un playbook: Si se produce un error irrecuperable, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, haz lo siguiente: Imprime "Error al ejecutar la acción "Enrich Endpoint". Reason: {0}''.format(error.Stacktrace) Si no se encontró el servicio de extremo, haz lo siguiente: Imprime "Error al ejecutar la acción "Enrich Endpoint". Motivo: No se encontró el servidor de extremos".	General

Tipo de resultado

Valor / Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la operación se realiza correctamente y se enriqueció al menos una de las entidades proporcionadas (is_success = true):

Imprime "Successfully enriched the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Si no se pueden enriquecer entidades específicas(is_success = true):

Imprime "Action was not able to enrich the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

Si no se puede enriquecer para todas las entidades (is_success = false):

Impresión: "No se enriqueció ninguna entidad".

La acción debe fallar y detener la ejecución de un playbook:
Si se produce un error irrecuperable, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, haz lo siguiente:

Imprime "Error al ejecutar la acción "Enrich Endpoint". Reason: {0}''.format(error.Stacktrace)

Si no se encontró el servicio de extremo, haz lo siguiente:

Imprime "Error al ejecutar la acción "Enrich Endpoint". Motivo: No se encontró el servidor de extremos".

General

Enriquecer archivo

Descripción

Recuperar información sobre el archivo usando hashes o nombres de archivos Solo se admiten MD5 y SHA256. Requiere una licencia de RSA Netwitness Respond, un servicio de servidor de extremos que se ejecute en segundo plano y un nombre de usuario y una contraseña web configurados en la configuración de integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es Obligatorio	Descripción
Umbral de la puntuación de riesgo	Número entero	50	No	Especifica el umbral de riesgo para el archivo. Si el archivo supera el umbral, la entidad relacionada se marcará como sospechosa. Si no se especifica nada, la acción no verificará la puntuación de riesgo.

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Lógica: Cuándo aplicar
RSA_NTW_filename	firstFileName	Cuando está disponible en JSON
RSA_NTW_reputationStatus	reputationStatus	Cuando está disponible en JSON
RSA_NTW_globalRiskScore	globalRiskScore	Cuando está disponible en JSON
RSA_NTW_machineOsType	machineOsType	Cuando está disponible en JSON
RSA_NTW_size	tamaño	Cuando está disponible en JSON
RSA_NTW_checksumMd5	checksumMd5	Cuando está disponible en JSON
RSA_NTW_checksumSha1	checksumSha1	Cuando está disponible en JSON
RSA_NTW_checksumSha256	checksumSha256	Cuando está disponible en JSON
RSA_NTW_entropy	entropía	Cuando está disponible en JSON
RSA_NTW_format	pe	Cuando está disponible en JSON
RSA_NTW_fileStatus	Neutral	Cuando está disponible en JSON
RSA_NTW_remediationAction	Desbloquear	Cuando está disponible en JSON

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Resultado de JSON

{
    "items": [
        {
            "firstFileName": "AM_Delta_Patch_1.321.1947.0.exe",
            "reputationStatus": "Known Good",
            "globalRiskScore": 0,
            "firstSeenTime": "2020-08-23T00:46:25.288Z",
            "machineOsType": "windows",
            "signature": {
                "timeStamp": "2020-08-22T21:01:55.552Z",
                "thumbprint": "c6573d9ba5efc55b1ad1c59b9cafc33d232b13cc",
                "context": [
                    "microsoft",
                    "signed",
                    "valid"
                ],
                "signer": "Microsoft Corporation"
            },
            "size": 441280,
            "checksumMd5": "40d93a5ed9d2d55e35857c1f1de162db",
            "checksumSha1": "3096e9e4ac4cc46dcfa11a053583c2d3e14b14b8",
            "checksumSha256": "34261adf58ac3c8e38724d5fbfba21037d868a2c0b6291e2a61e5a023b55c3f9",
            "pe": {
                "timeStamp": "2020-08-22T20:57:28.000Z",
                "imageSize": 454656,
                "numberOfExportedFunctions": 0,
                "numberOfNamesExported": 0,
                "numberOfExecuteWriteSections": 0,
                "context": [
                    "file.exe",
                    "file.arch64",
                    "file.versionInfoPresent",
                    "file.resourceDirectoryPresent",
                    "file.relocationDirectoryPresent",
                    "file.debugDirectoryPresent",
                    "file.tlsDirectoryPresent",
                    "file.richSignaturePresent",
                    "file.companyNameContainsText",
                    "file.descriptionContainsText",
                    "file.versionContainsText",
                    "file.internalNameContainsText",
                    "file.legalCopyrightContainsText",
                    "file.originalFilenameContainsText",
                    "file.productNameContainsText",
                    "file.productVersionContainsText",
                    "file.standardVersionMetaPresent"
                ],
                "resources": {
                    "originalFileName": "AM_Delta_Patch_1.321.1947.0.exe",
                    "company": "Microsoft Corporation",
                    "description": "Microsoft Antimalware WU Stub",
                    "version": null
                },
                "sectionNames": [
                    ".text",
                    ".rdata",
                    ".data",
                    ".pdata",
                    ".rsrc",
                    ".reloc"
                ],
                "importedLibraries": [
                    "ADVAPI32.dll",
                    "KERNEL32.dll",
                    "RPCRT4.dll",
                    "ntdll.dll"
                ]
            },
            "elf": null,
            "macho": null,
            "entropy": 7.378079119412321,
            "format": "pe",
            "fileStatus": "Neutral",
            "remediationAction": "Unblock"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Muro de casos

Tipo de resultado	Valor / Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de un playbook: Si se ejecuta correctamente y se enriqueció al menos una de las entidades proporcionadas (is_success = true): Imprime "Successfully enriched the following files from RSA Netwitness: \n {0}".format(entity.identifier list) If fail to enrich specific entities(is_success = true): Print "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier]) Si no se puede enriquecer ninguna entidad (is_success = false): Imprime: "No se enriqueció ninguna entidad". La acción debería fallar y detener la ejecución de la guía: Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro: Imprime "Error executing action "Enrich File". Reason: {0}''.format(error.Stacktrace) Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro: Imprime "Error executing action "Enrich File". Motivo: No se encontró el servidor de extremos".	General

Tipo de resultado

Valor / Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un playbook:
Si se ejecuta correctamente y se enriqueció al menos una de las entidades proporcionadas (is_success = true):
Imprime "Successfully enriched the following files from RSA Netwitness: \n {0}".format(entity.identifier list)

If fail to enrich specific entities(is_success = true):
Print "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier])

Si no se puede enriquecer ninguna entidad (is_success = false):
Imprime: "No se enriqueció ninguna entidad".

La acción debería fallar y detener la ejecución de la guía:

Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro:

Imprime "Error executing action "Enrich File". Reason: {0}''.format(error.Stacktrace)

Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro:

Imprime "Error executing action "Enrich File". Motivo: No se encontró el servidor de extremos".

General

Aislamiento del extremo

Descripción

Solicita el aislamiento del extremo en RSA Netwitness. Requiere una licencia de RSA Netwitness Respond, un servicio de servidor de extremos que se ejecute en segundo plano y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Comentario	String	N/A	Sí	Agrega un comentario que describa el motivo de la solicitud de aislamiento.

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

Dirección IP
Host

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Muro de casos

Tipo de resultado	Valor / Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de un playbook: Si se ejecuta correctamente para todas las entidades proporcionadas(is_success = true): Imprime "Successfully requested isolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false): Imprime "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) La acción debería fallar y detener la ejecución de la guía: Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro: Imprime el mensaje "Error al ejecutar la acción "Isolate Endpoint"". Reason: {0}''.format(error.Stacktrace) Si no se encontró el servicio de extremo, haz lo siguiente: Imprime el mensaje "Error al ejecutar la acción "Isolate Endpoint"". Motivo: No se encontró el servidor de extremos".	General

Tipo de resultado

Valor / Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un playbook:
Si se ejecuta correctamente para todas las entidades proporcionadas(is_success = true):
Imprime "Successfully requested isolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false):
Imprime "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

La acción debería fallar y detener la ejecución de la guía:

Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro:

Imprime el mensaje "Error al ejecutar la acción "Isolate Endpoint"". Reason: {0}''.format(error.Stacktrace)

Si no se encontró el servicio de extremo, haz lo siguiente:

Imprime el mensaje "Error al ejecutar la acción "Isolate Endpoint"". Motivo: No se encontró el servidor de extremos".

General

Aislamiento de extremo

Descripción

Solicita que se quite el aislamiento del extremo en RSA NetWitness. Requiere una licencia de RSA Netwitness Respond, un servicio de servidor de extremos que se ejecute en segundo plano y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Comentario	String	N/A	Sí	Agrega un comentario que describa el motivo de la solicitud de aislamiento.

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

Dirección IP
Host

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Muro de casos

Tipo de resultado	Valor / Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de un playbook: Si se realiza correctamente para todas las entidades proporcionadas(is_success = true): Imprime "Se solicitó correctamente la anulación del aislamiento para los siguientes extremos de RSA Netwitness: \n {0}".format(lista de identificadores de la entidad) Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false): Imprime "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) La acción debería fallar y detener la ejecución de la guía: Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro: Imprime "Error al ejecutar la acción "Unisolate Endpoint". Reason: {0}''.format(error.Stacktrace) Si no se encontró el servicio de extremo, haz lo siguiente: Imprime "Error al ejecutar la acción "Unisolate Endpoint". Motivo: No se encontró el servidor de extremos".	General

Tipo de resultado

Valor / Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un playbook:
Si se realiza correctamente para todas las entidades proporcionadas(is_success = true):
Imprime "Se solicitó correctamente la anulación del aislamiento para los siguientes extremos de RSA Netwitness: \n {0}".format(lista de identificadores de la entidad)

Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false):
Imprime "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

La acción debería fallar y detener la ejecución de la guía:

Si error fatal, como credenciales incorrectas, sin conexión al servidor, otro:

Imprime "Error al ejecutar la acción "Unisolate Endpoint". Reason: {0}''.format(error.Stacktrace)

Si no se encontró el servicio de extremo, haz lo siguiente:

Imprime "Error al ejecutar la acción "Unisolate Endpoint". Motivo: No se encontró el servidor de extremos".

General

Actualizar incidente

Descripción

Actualiza el incidente en RSA Netwitness. Requiere una licencia de RSA Netwitness Respond y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID del incidente	String	N/A	Sí	Especifica el ID del incidente que se debe actualizar.
Estado	DDL	N/A	No	Especifica el nuevo estado del incidente.
Usuario asignado	String	N/A	No	Especifica un nuevo asignatario para el incidente.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Resultado de JSON

{
    "id": "INC-128",
    "title": "High Risk Alerts: NetWitness Endpoint for RSA-HOST-1",
    "summary": "",
    "priority": "High",
    "riskScore": 72,
    "status": "RemediationRequested",
    "alertCount": 136,
    "averageAlertRiskScore": 72,
    "sealed": true,
    "totalRemediationTaskCount": 0,
    "openRemediationTaskCount": 0,
    "created": "2020-08-26T12:56:57.867Z",
    "lastUpdated": "2020-08-26T15:31:27.953Z",
    "lastUpdatedBy": null,
    "assignee": "admin",
    "sources": [
        "ECAT"
    ],
    "ruleId": "5ef1b33614c0552a2884c590",
    "firstAlertTime": "2020-08-26T12:56:56.097Z",
    "categories": [],
    "journalEntries": null,
    "createdBy": "High Risk Alerts: NetWitness Endpoint",
    "deletedAlertCount": 0,
    "eventCount": 136,
    "alertMeta": {
        "SourceIp": [
            ""
        ],
        "DestinationIp": [
            ""
        ]
    }
}

Muro de casos

Tipo de resultado	Valor / Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de una guía: Si el código de estado es igual a 200 (is_success = true): Imprime "Se actualizó correctamente el incidente con el ID {0} en RSA Netwitness".format(incident_id). Si el código de estado es 400 (is_success=false): Imprime "No se pudo actualizar el incidente con el ID {0} en RSA Netwitness. Reason: {1}".format(incident_id, errors/message). La acción debería fallar y detener la ejecución de la guía: Si se produce un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, haz lo siguiente: Imprime "Error al ejecutar la acción "Actualizar incidente". Motivo: {0}''.format(error.Stacktrace)	General

Tipo de resultado

Valor / Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si el código de estado es igual a 200 (is_success = true):

Imprime "Se actualizó correctamente el incidente con el ID {0} en RSA Netwitness".format(incident_id).

Si el código de estado es 400 (is_success=false):

Imprime "No se pudo actualizar el incidente con el ID {0} en RSA Netwitness. Reason: {1}".format(incident_id, errors/message).

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, haz lo siguiente:

Imprime "Error al ejecutar la acción "Actualizar incidente". Motivo: {0}''.format(error.Stacktrace)

General

Agregar una nota al incidente

Descripción

Agrega una nota al incidente en RSA NetWitness. Requiere una licencia de RSA Netwitness Respond y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID del incidente	String	N/A	Sí	Especifica el ID del incidente que se debe actualizar.
Nota	String	N/A	Sí	Especifica a qué nota se debe agregar.
Autor	String	N/A	Sí	Especifica el autor de la nota.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Muro de casos

Tipo de resultado	Valor / Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de una guía: Si el código de estado es igual a 200 (is_success = true): Imprime "Se agregó correctamente la nota al incidente con el ID {0} en RSA Netwitness".format(incident_id). Si el código de estado es 400 (is_success=false): Imprime "No se pudo agregar una nota al incidente con el ID {0} en RSA Netwitness. Reason: {1}".format(incident_id, errors/message). La acción debería fallar y detener la ejecución de la guía: Si se produce un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, haz lo siguiente: Imprime el mensaje "Error al ejecutar la acción "Agregar nota al incidente". Motivo: {0}''.format(error.Stacktrace)	General

Tipo de resultado

Valor / Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si el código de estado es igual a 200 (is_success = true):

Imprime "Se agregó correctamente la nota al incidente con el ID {0} en RSA Netwitness".format(incident_id).

Si el código de estado es 400 (is_success=false):

Imprime "No se pudo agregar una nota al incidente con el ID {0} en RSA Netwitness. Reason: {1}".format(incident_id, errors/message).

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, haz lo siguiente:

Imprime el mensaje "Error al ejecutar la acción "Agregar nota al incidente". Motivo: {0}''.format(error.Stacktrace)

General

Conector

RSA NetWitness Platform: conector de incidentes

Descripción

Extrae incidentes de la plataforma RSA NetWitness.

Cómo trabajar con el objeto JSON de credenciales

El objeto JSON de credenciales proporciona una forma más flexible de autenticarse en las fuentes de datos. La configuración más básica del JSON se verá de la siguiente manera:

{
    "default_username": "username",
    "default_password": "password"
}

Sin "default_username" y "default_password", el conector arrojará un error. Esta configuración es adecuada para entornos en los que todas las fuentes de datos comparten el mismo nombre de usuario y contraseña. Si necesitas proporcionar credenciales específicas para las fuentes de datos, la estructura del JSON se verá de la siguiente manera:

{
    "default_username": "username",
    "default_password": "password",
    "dataSources": [
        {
            "api_root": "172.30.203.151:50102",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50105",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50103",
            "username": "username",
            "password": "password"
        }
    ]
}

El conector analizará los eventos de la raíz de la API de origen y, luego, los comparará con lo que está disponible en el objeto JSON de credenciales. Si se encuentra la coincidencia, el conector tomará el nombre de usuario y la contraseña de la lista "dataSources". Si no hay coincidencia, usará "default_username" y default_password. Además, no es necesario que proporciones el nombre de usuario y la contraseña en la lista "dataSources". Por ejemplo, si solo se proporciona el nombre de usuario, el conector tomará el nombre de usuario de la lista "dataSource" y la contraseña de "default_password".

Configura el conector de incidentes de RSA NetWitness Platform en Google SecOps

Si quieres obtener instrucciones detalladas para configurar un conector en Google SecOps, consulta Cómo configurar el conector.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del campo del producto	String	Nombre del producto	Sí	Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento	String	tipo	Sí	Ingresa el nombre del campo de origen para recuperar el nombre del campo del evento.
Nombre del campo del entorno	String	""	No	Describe el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo del entorno, se usa el entorno predeterminado.
Patrón de expresión regular del entorno	String	.*	No	Es un patrón de regex que se ejecutará en el valor que se encuentra en el campo "Nombre del campo del entorno". El valor predeterminado es .* para capturar todo y devolver el valor sin cambios. Se usa para permitir que el usuario manipule el campo del entorno a través de la lógica de regex. Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Tiempo de espera de la secuencia de comandos (segundos)	Número entero	180	Sí	Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API web	String	https://{ip}/rest/api/	Sí	Es la raíz de la API web de la instancia de RSA NetWitness Platform.
Nombre de usuario web	String	N/A	Sí	Nombre de usuario de la cuenta de RSA NetWitness Platform.
Contraseña web	Contraseña	N/A	Sí	Contraseña de la cuenta de RSA NetWitness Platform.
Recuperar horas máximas hacia atrás	Número entero	1	No	Cantidad de horas desde las que se recuperan los incidentes. Nota: El conector esperará el tiempo proporcionado para las actualizaciones de los incidentes.
Puntuación de riesgo más baja para recuperar	Número entero	N/A	No	Es la puntuación de riesgo más baja de los incidentes que se recuperarán. De forma predeterminada, el conector transferirá todos los incidentes.El máximo es 100.
Resguardo de gravedad	String	Informativo	Sí	Especifica cuál debería ser la gravedad de resguardo para la alerta de Google SecOps cuando no esté disponible la puntuación de riesgo. Valores posibles: Informativo, Bajo, Medio, Alto y Crítico.
Cantidad máxima de incidentes para recuperar	Número entero	10	No	Cantidad de incidentes que se procesarán por iteración del conector. El valor máximo es 100.
Usar la lista blanca como lista negra	Casilla de verificación	Desmarcado	Sí	Si se habilita, la lista de entidades permitidas se usará como lista de entidades bloqueadas.
Verificar SSL	Casilla de verificación	Desmarcado	Sí	Si está habilitada, verifica que el certificado SSL para la conexión al servidor de RSA NetWitness Platform sea válido.
Dirección del servidor proxy	String		No	Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy	String		No	Nombre de usuario del proxy con el que se realizará la autenticación.
Contraseña de proxy	Contraseña		No	Contraseña del proxy para la autenticación.
Objeto JSON de credenciales	Contraseña	N/A	No	Este parámetro es necesario para almacenar las credenciales de la fuente de datos. Este parámetro tiene prioridad sobre "Broker API Root", "Broker API Username", "Broker API Password", "Concentrator API Root", "Concentrator API Username" y "Concentrator API Password". Consulta el portal de documentación para obtener más detalles.

Reglas del conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.