Devo

本文档介绍了如何将 Devo 与 Google Security Operations 集成。

产品权限

Devo 提供了多种身份验证方法，这些方法在 Devo 文档中的安全凭证文档中进行了介绍。

Google Security Operations 集成支持使用身份验证令牌或访问密钥进行身份验证。

建议配置基于令牌的身份验证：

  1. 前往 Devo 文档中的身份验证令牌文档。
  2. 按照有关如何创建令牌的步骤操作，在第 3 步中选择使用 REST API 查询数据。
  3. 在第 4 步中，为目标表指定“siem.logtrust.alert.info”。

按照文档完成创建流程，以获取令牌。

API

如需详细了解 API，请参阅 Devo 文档中的 API 参考文档。

在 Google SecOps 中配置 Devo 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
API 网址 字符串 https://apiv2-us.devo.com 是 指定目标 Devo 实例的 API 根。
API 令牌 密码 不适用 否

如果使用基于令牌的身份验证，请指定目标 Devo 实例的 API 令牌。

如果同时提供了令牌和访问密钥，集成将使用 API 令牌并忽略访问密钥。
API 密钥 密码 不适用 否 如果使用访问密钥身份验证，请指定目标 Devo 实例的 API 密钥。
API 密钥 密码 不适用 否 如果使用访问密钥身份验证，请指定目标 Devo 实例的 API 密钥。
验证 SSL 复选框 勾选 否 如果启用，Google SecOps 服务器会检查为 API 根配置的证书。

使用场景

  1. Devo 可用作 Google SecOps 处理的提醒来源。
  2. 可以从 Google SecOps 查询 Devo，以丰富 Google SecOps 提醒上下文。

操作

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 Devo 实例的连接。

如果未为生成的访问令牌授予“siem.logtrust.alert.info”，则即使令牌有效，Ping 操作也会失败。如需了解详情，请参阅产品权限部分。

参数

不适用

使用场景

该操作用于在 Google SecOps Content Hub 页面中的集成配置页面上测试连接性，并且可以作为人工处置措施执行，而不能在 playbook 中使用。

运行时间

该操作不会对实体执行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
N/A
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 Devo 实例！”

操作应失败并停止 playbook 执行：

如果不成功：“Failed to connect to the LogRhythm server! 错误为 {0}”。format(exception.stacktrace)

 常规

高级查询

说明

根据提供的参数执行高级查询。请注意，该操作不适用于 Google SecOps 实体。如需查询 siem.logtrust.alert.info 以外的表，请按照 Devo 文档中的身份验证令牌文档为该表创建额外的令牌，并在集成配置页面上指定该令牌。

参数

参数显示名称 类型 默认值 为必填项 说明
查询 字符串 不适用 是

指定要对 Devo 实例执行的查询。

示例：“from siem.logtrust.alert.info”。
时间范围 DDL

过去 1 小时

可能的值：

  • 过去 1 小时
  • 过去 6 小时
  • 过去 24 小时
  • 上周
  • 上个月
  • 自定义
 否

指定结果的时间范围。

如果选择“自定义”，您还需要提供“开始时间”参数。
开始时间 字符串 不适用 否

指定查询的开始时间。

如果为“时间范围”参数选择了“自定义”，则此参数是必需的。

格式：ISO 8601

示例：2021-08-05T05:18:42Z
结束时间 字符串 不适用 否

指定查询的结束时间。

如果未提供任何内容，并且为“时间范围”参数选择了“自定义”，则此参数会使用当前时间。

格式：ISO 8601

示例：2021-08-05T05:18:42Z
返回的行数上限 整数 50 否 指定操作应返回的最大行数。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少找到了一些数据 (is_success=true)：“已成功在 Devo 中检索到所提供查询的结果。”

如果未找到任何结果 (is_success=false)：“在 Devo 中未找到与所提供查询相符的结果。”

操作应失败并停止 playbook 执行：

如果查询中报告了错误：“执行‘高级搜索’操作时出错。Reason: {message}''.format(error.Stacktrace)

如果“开始时间”参数为空，且“时间范围”参数设置为“自定义”（失败）：“执行操作‘<操作名称>’时出错。原因：在‘时间范围’参数中选择‘自定义’时，应提供‘开始时间’。”

如果“开始时间”参数的值大于“结束时间”参数的值（失败）：“执行操作‘<操作名称>’时出错。原因：‘结束时间’应晚于‘开始时间’。

如果为“要返回的行数上限”参数设置了负值或 0：“执行操作时出错。原因：‘要返回的行数上限’应为非零正数。”

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“执行操作‘高级查询’时出错。Reason: {0}''.format(error.Stacktrace)

 常规
表

表名称：高级查询结果

表列：

响应中返回的所有列。

 常规

简单查询

说明

根据提供的参数执行简单查询。请注意，该操作不适用于 Google SecOps 实体。如需查询 siem.logtrust.alert.info 以外的表，请按照 Devo 文档中的身份验证令牌文档为该表创建额外的令牌，并在集成配置页面上指定该令牌。

参数

参数显示名称 类型 默认值 为必填项 说明
表名称 字符串 siem.logtrust.alert.info 是 指定应查询的表。
要返回的字段 CSV 不适用 否

指定要返回的字段。

如果未提供任何内容，该操作会返回所有字段。
Where 过滤条件 字符串 不适用 否 为需要执行的查询指定 Where 过滤条件。
时间范围 DDL

过去 1 小时

可能的值：

过去 1 小时

过去 6 小时

过去 24 小时

上周

上个月

自定义

 否

指定结果的时间范围。

如果选择“自定义”，您还需要提供“开始时间”参数。
开始时间 字符串 不适用 否

指定查询的开始时间。

如果为“时间范围”参数选择了“自定义”，则此参数是必需的。

格式：ISO 8601

示例：2021-08-05T05:18:42Z
结束时间 字符串 不适用 否

指定查询的结束时间。

如果未提供任何内容，并且为“时间范围”参数选择了“自定义”，则此参数会使用当前时间。

格式：ISO 8601 示例：2021-08-05T05:18:42Z
返回的行数上限 整数 50 否 指定操作应返回的最大行数。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少找到了一些数据 (is_success=true)：“已成功在 Devo 中检索到查询‘{constructed query}’的结果。”

如果未找到任何结果 (is_success=false)：“在 Devo 中未找到与查询‘{constructed query}’相符的结果”。

操作应失败并停止 playbook 执行：

如果查询中报告了错误：“执行‘简单搜索’操作时出错。Reason: {message}''.format(error.Stacktrace)

如果“开始时间”参数为空，且“时间范围”参数设置为“自定义”（失败）：“执行操作‘<操作名称>’时出错。原因：在‘时间范围’参数中选择‘自定义’时，应提供‘开始时间’。”

如果“开始时间”参数的值大于“结束时间”参数的值（失败）：“执行操作‘<操作名称>’时出错。原因：‘结束时间’应晚于‘开始时间’。”

如果为“要返回的最大行数”参数设置了负值或 0，则会显示以下错误消息：“执行操作时出错。原因：‘要返回的最大行数’应为非零正数。”

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“执行操作‘简单查询’时出错。Reason: {0}''.format(error.Stacktrace)

 常规
表

表名称：简单查询结果

表列：从回答中返回的所有列

 常规

连接器

Devo Alerts Connector

说明

连接器可用于从 Devo 的 siem.logtrust.alert.info 表中提取提醒记录。连接器许可名单可用于仅根据提醒上下文值注入特定类型的提醒。

在 Google SecOps 中配置 Devo Alerts 连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 Devo 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 "context" 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
API 网址 字符串 https://apiv2-us.devo.com 是 指定目标 Devo 实例的 API 网址。
API 令牌 密码 不适用 否 如果使用基于令牌的身份验证，请指定目标 Devo 实例的 API 令牌。
API 密钥 密码 不适用 否 如果使用访问密钥身份验证，请指定目标 Devo 实例的 API 密钥。
API 密钥 密码 不适用 否 如果使用访问密钥身份验证，请指定目标 Devo 实例的 API 密钥。
验证 SSL 复选框 勾选 否 如果启用，Google SecOps 服务器会检查为 API 根配置的证书。
偏移时间（小时） 整数 24 是 提取过去 X 小时内的提醒。
每个周期的提醒数量上限 整数 30 是 连接器运行一次应处理的提醒数量。
要提取的最低优先级 字符串 正常 是

要注入到 Google SecOps 的提醒的最低优先级，例如“低”或“中”。

可能的值：极低、低、正常、高、极高
将白名单用作黑名单 复选框 尚未核查 是 如果启用，白名单将用作黑名单。

连接器规则

代理支持

连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。