Devo

Questo documento descrive come integrare Devo con Google Security Operations.

Autorizzazione del prodotto

Devo fornisce diversi metodi di autenticazione descritti nel documento Security credentials disponibile nella documentazione di Devo.

L'integrazione di Google Security Operations supporta i token di autenticazione o le chiavi di accesso per l'autenticazione.

Ti consigliamo di configurare l'autenticazione basata su token:

  1. Vai al documento Authentication tokens (Token di autenticazione) disponibile nella documentazione di Devo.
  2. Segui i passaggi per creare un token. Al passaggio 3, seleziona Esegui query sui dati utilizzando l'API REST.
  3. Nel passaggio 4, per la tabella di destinazione, specifica "siem.logtrust.alert.info".

Completa la procedura di creazione in base alla documentazione per ottenere un token.

API

Per saperne di più sull'API, consulta il documento di riferimento dell'API disponibile nella documentazione di Devo.

Configura l'integrazione di Devo in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
URL API Stringa https://apiv2-us.devo.com Sì Specifica la radice dell'API per l'istanza Devo di destinazione.
Token API Password N/D No

Se viene utilizzata un'autenticazione basata su token, specifica il token API per l'istanza Devo di destinazione.

Se vengono forniti sia il token che le chiavi di accesso, l'integrazione funziona sul token API e ignora le chiavi di accesso.
Chiave API Password N/D No Se viene utilizzata un'autenticazione con chiavi di accesso, specifica la chiave API per l'istanza Devo di destinazione.
API secret Password N/D No Se viene utilizzata un'autenticazione con chiavi di accesso, specifica il secret dell'API per l'istanza Devo di destinazione.
Verifica SSL Casella di controllo Selezionata No Se abilitato, il server Google SecOps controlla il certificato configurato per la radice dell'API.

Casi d'uso

  1. Devo può essere utilizzato come origine degli avvisi che Google SecOps deve elaborare.
  2. Devo può essere interrogato da Google SecOps per arricchire il contesto degli avvisi di Google SecOps.

Azioni

Dindin

Descrizione

Testa la connettività all'istanza Devo con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Se "siem.logtrust.alert.info" non viene concesso per il token di accesso generato, l'azione Ping non va a buon fine anche se il token è valido. Per saperne di più, consulta la sezione Autorizzazione del prodotto.

Parametri

N/D

Caso d'uso

L'azione viene utilizzata per testare la connettività nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub e può essere eseguita come azione manuale, non utilizzata nei playbook.

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
N/A
Arricchimento delle entità

N/D

Insight

N/D

Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: "Connessione all'istanza Devo con i parametri di connessione forniti riuscita".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

In caso contrario: "Failed to connect to the LogRhythm server! Error is {0}".format(exception.stacktrace)

 Generale

Query avanzata

Descrizione

Esegui una query avanzata in base ai parametri forniti. Tieni presente che l'azione non funziona sulle entità Google SecOps. Per eseguire query su una tabella diversa da siem.logtrust.alert.info, crea un token aggiuntivo per quella tabella seguendo il documento Token di autenticazione disponibile nella documentazione di Devo e specificalo nella pagina di configurazione dell'integrazione.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Query Stringa N/D Sì

Specifica una query da eseguire sull'istanza Devo.

Esempio: "from siem.logtrust.alert.info".
Intervallo di tempo DDL

Ultima ora

Valori possibili:

  • Ultima ora
  • Ultime 6 ore
  • Ultime 24 ore
  • Settimana scorsa
  • Mese scorso
  • Personalizzato
 No

Specifica un intervallo di tempo per i risultati.

Se selezioni "Personalizzato", devi anche fornire il parametro "Ora di inizio".
Ora di inizio Stringa N/D No

Specifica l'ora di inizio della query.

Questo parametro è obbligatorio se per il parametro "Periodo di tempo" è selezionato "Personalizzato".

Formato: ISO 8601

Esempio: 2021-08-05T05:18:42Z
Ora di fine Stringa N/D No

Specifica l'ora di fine della query.

Se non viene fornito alcun valore e per il parametro "Periodo di tempo" è selezionato "Personalizzato", questo parametro utilizza l'ora corrente.

Formato: ISO 8601

Esempio: 2021-08-05T05:18:42Z
Numero massimo di righe da restituire Numero intero 50 No Specifica il numero massimo di righe che l'azione deve restituire.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Arricchimento delle entità

N/D

Insight

N/D

Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se vengono trovati almeno alcuni dati (is_success=true): "Recupero dei risultati per la query fornita in Devo riuscito."

Se non vengono trovati risultati (is_success=false): "Nessun risultato trovato per la query fornita in Devo."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se vengono segnalati errori nella query: "Errore durante l'esecuzione dell'azione "Ricerca avanzata". Reason: {message}''.format(error.Stacktrace)

Se il parametro "Ora di inizio" è vuoto e il parametro "Periodo di tempo" è impostato su "Personalizzato" (errore): "Errore durante l'esecuzione dell'azione "". Motivo: l'ora di inizio deve essere fornita quando è selezionato "Personalizzato" nel parametro "Periodo di tempo"."

Se il valore del parametro "Ora di inizio" è maggiore del valore del parametro "Ora di fine" (errore): "Errore durante l'esecuzione dell'azione "". Motivo: "Ora di fine" deve essere successiva a "Ora di inizio".

Se per il parametro "Max Rows to Return" viene impostato un valore negativo o pari a 0: "Error executing action "". Reason: "Max Rows to Return" should be positive, non-zero number."

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Query avanzata". Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella

Nome tabella: Risultati delle query avanzate

Colonne della tabella:

Tutte le colonne restituite dalla risposta.

 Generale

Query semplice

Descrizione

Esegui una semplice query in base ai parametri forniti. Tieni presente che l'azione non funziona sulle entità Google SecOps. Per eseguire query su una tabella diversa da siem.logtrust.alert.info, crea un token aggiuntivo per quella tabella seguendo il documento Token di autenticazione disponibile nella documentazione di Devo e specificalo nella pagina di configurazione dell'integrazione.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome tabella Stringa siem.logtrust.alert.info Sì Specifica la tabella su cui eseguire la query.
Campi da restituire CSV N/D No

Specifica i campi da restituire.

Se non viene fornito alcun valore, l'azione restituisce tutti i campi.
Filtro Where Stringa N/D No Specifica il filtro Where per la query da eseguire.
Intervallo di tempo DDL

Ultima ora

Valori possibili:

Ultima ora

Ultime 6 ore

Ultime 24 ore

Settimana scorsa

Mese scorso

Personalizzato

 No

Specifica un intervallo di tempo per i risultati.

Se selezioni "Personalizzato", devi anche fornire il parametro "Ora di inizio".
Ora di inizio Stringa N/D No

Specifica l'ora di inizio della query.

Questo parametro è obbligatorio se per il parametro "Periodo di tempo" è selezionato "Personalizzato".

Formato: ISO 8601

Esempio: 2021-08-05T05:18:42Z
Ora di fine Stringa N/D No

Specifica l'ora di fine della query.

Se non viene fornito alcun valore e per il parametro "Periodo di tempo" è selezionato "Personalizzato", questo parametro utilizza l'ora corrente.

Formato: ISO 8601 Esempio: 2021-08-05T05:18:42Z
Numero massimo di righe da restituire Numero intero 50 No Specifica il numero massimo di righe che l'azione deve restituire.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Arricchimento delle entità

N/D

Insight

N/D

Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se vengono trovati almeno alcuni dati (is_success=true): "Recupero dei risultati per la query: "{constructed query}" in Devo riuscito."

Se non vengono trovati risultati (is_success=false): "Nessun risultato trovato per la query {constructed query} in Devo".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se nella query vengono segnalati errori: "Errore durante l'esecuzione dell'azione "Ricerca semplice". Reason: {message}''.format(error.Stacktrace)

Se il parametro "Ora di inizio" è vuoto e il parametro "Periodo di tempo" è impostato su "Personalizzato" (errore): "Errore durante l'esecuzione dell'azione "". Motivo: "Ora di inizio" deve essere fornito quando è selezionato "Personalizzato" nel parametro "Periodo di tempo"."

Se il valore del parametro "Ora di inizio" è maggiore del valore del parametro "Ora di fine" (errore): "Errore durante l'esecuzione dell'azione "". Motivo: "Ora di fine" deve essere successiva a "Ora di inizio".

Se per il parametro "Max Rows to Return" viene impostato un valore negativo o pari a 0: "Error executing action "". Reason: "Max Rows to Return" should be positive, non-zero number."

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Query semplice". Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella

Nome tabella: Risultati di query semplici

Colonne della tabella: tutte le colonne restituite dalla risposta

 Generale

Connettori

Devo Alerts Connector

Descrizione

Il connettore può essere utilizzato per recuperare i record degli avvisi dalla tabella siem.logtrust.alert.info di Devo. La lista consentita del connettore può essere utilizzata per importare solo tipi specifici di avvisi in base al valore del contesto dell'avviso.

Configura il connettore Devo Alerts in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa Devo Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa "context" Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
URL API Stringa https://apiv2-us.devo.com Sì Specifica l'URL dell'API per l'istanza Devo di destinazione.
Token API Password N/D No Se viene utilizzata un'autenticazione basata su token, specifica il token API per l'istanza Devo di destinazione.
Chiave API Password N/D No Se viene utilizzata un'autenticazione con chiavi di accesso, specifica la chiave API per l'istanza Devo di destinazione.
API secret Password N/D No Se viene utilizzata un'autenticazione con chiavi di accesso, specifica il secret dell'API per l'istanza Devo di destinazione.
Verifica SSL Casella di controllo Selezionata No Se l'opzione è abilitata, il server Google SecOps controlla il certificato configurato per la radice dell'API.
Ora di offset in ore Numero intero 24 Sì Recupera gli avvisi di X ore precedenti.
Numero massimo di avvisi per ciclo Numero intero 30 Sì Numero di avvisi che devono essere elaborati durante un'esecuzione del connettore.
Priorità minima per il recupero Stringa Normale Sì

Priorità minima dell'avviso da importare in Google SecOps, ad esempio Bassa o Media.

Valori possibili: Molto bassa, Bassa, Normale, Alta, Molto alta
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se il criterio viene attivato, la lista consentita viene utilizzata come lista bloccata.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.