LogRhythm

本文档介绍了如何将 LogRhythm 与 Google SecOps 集成。

从该集成的第 10 版开始，将不再有警报连接器。此连接器已弃用，因为 LogRhythm 端已弃用 SOAP API。现在，整个集成都使用 LogRhythm 7.9 版本中引入的 REST API。

如需了解详情，请参阅 SOAP API (LogRhythm 7.x.x)。

此外，集成已更新为 Python 3，因此不支持将此连接器（从版本 9 开始）与较新版本的集成（版本 10）搭配使用，否则会导致意外行为。

请按照建议的流程进行更新：

  1. 在将集成更新到版本 10 之前，请使用版本 9 的集成将每个“LogRhythm Alarms Connector”迁移到“LogRhythm - Rest API Alarms Connector”。

  2. 将集成更新到版本 10。

在 Google Security Operations 中配置 LogRhythm 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 是否为必填项 说明
API 根 字符串 https://{IP}:8501 是 LogRhythm 实例的 API 根。
API 令牌 密码 不适用 否 LogRhythm 实例的 API 令牌。
CA 证书文件 字符串 不适用 否 Base 64 编码的 CA 证书文件。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 LogRhythm 服务器连接的 SSL 证书是否有效。

操作

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 LogRhythm 的连接。

参数

不适用

使用场景

不适用

运行时间

此操作不会对实体运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
N/A
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 LogRhythm 服务器！”

操作应失败并停止 playbook 执行：

如果不成功：“Failed to connect to the LogRhythm server! 错误为 {0}”。format(exception.stacktrace)

 常规

丰富实体

说明

使用 LogRhythm 中的信息丰富实体。支持的实体：主机名、IP 地址。

参数

参数显示名称 类型 默认值 是否为必填项 说明
创建分析洞见 复选框 勾选 否 如果启用，该操作会创建一个包含所检索到的实体相关信息的分析洞见。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
    "id": 2,
    "entity": {
        "id": 2,
        "name": "EchoTestEntity"
    },
    "name": "EchoTestHost",
    "shortDesc": "LogRhythm ECHO",
    "riskLevel": "None",
    "threatLevel": "None",
    "threatLevelComments": "",
    "recordStatusName": "Active",
    "hostZone": "Internal",
    "location": {
        "id": -1
    },
    "os": "Windows",
    "osVersion": "Microsoft Windows NT 6.2.9200.0",
    "useEventlogCredentials": false,
    "osType": "Server",
    "dateUpdated": "2021-04-14T09:18:17.677Z",
    "hostRoles": [],
    "hostIdentifiers": [
        {
            "type": "IPAddress",
            "value": "10.1.2.50",
            "dateAssigned": "2021-04-14T09:17:31Z"
        },
        {
            "type": "WindowsName",
            "value": "EchoTestHost",
            "dateAssigned": "2021-04-14T09:17:31Z"
        }
    ]
}
实体丰富化
扩充项字段名称 逻辑 - 适用情形
说明 当 JSON 中有此字段时
risk_level 当 JSON 中有此字段时
threat_level 当 JSON 中有此字段时
状态 当 JSON 中有此字段时
host_zone 当 JSON 中有此字段时
os 当 JSON 中有此字段时
类型 当 JSON 中有此字段时
IP 地址 当 JSON 中有此字段时
数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果一个实体有可用数据 (is_success=true)：“已使用 LogRhythm 中的信息成功丰富以下实体：{entity.identifier}”。

如果某个实体的数据不可用 (is_success=true)：“Action wasn't able to enrich the following entities using information from LogRhythm: {entity.identifier}”。

如果所有实体的数据都不可用 (is_success=false)：“None of the provided entities were enriched.”（提供的实体均未得到丰富。）

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“执行操作‘丰富实体’时出错。Reason: {0}''.format(error.Stacktrace)

 常规
案例墙表格 表标题：{entity.identifier} 实体

更新闹钟

说明

在 LogRhythm 中更新警报。

参数

参数显示名称 类型 默认值 是否为必填项 说明
闹钟 ID 字符串 不适用 是 指定需要在 LogRhythm 中更新的警报的 ID。
状态 DDL

选择一项

可能的值：

  • 选择一项
  • 新
  • 打开
  • 正在处理
  • 已上报
  • 已关闭
  • 虚惊一场
  • 已解决
  • 未解决
  • 已报告
  • 监控
 否 指定闹钟的状态。
风险评分 整数 不适用 否

为警报指定新的风险评分。

最大值：100

运行时间

此操作将在以下实体上运行：

  • 网址
  • IP 地址

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
N/A
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果 报告了 200 状态代码 (is_success=true)：“已成功在 LogRhythm 中更新 ID 为 {ID} 的警报。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示：“执行‘更新闹钟’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果状态代码不是 200：“执行‘更新闹钟’操作时出错。Reason: {0}''.format(responseMessage)"

如果“状态”参数设置为“选择一项”，并且未提供任何其他值：“执行‘更新警报’操作时出错。原因：至少一个操作参数应具有提供的值。”

 常规

获取闹钟详情

说明

在 LogRhythm 中获取警报详情。此操作可让您从 LogRhythm Advanced Intelligence Engine (AIE) 事件中获取详细信息，并将这些数据注入 Google SecOps。

参数

参数显示名称 类型 默认值 是否为必填项 说明
闹钟 ID CSV 不适用 是 指定需要检索其详细信息的警报 ID 列表（以英文逗号分隔）。
要提取的事件数上限 整数 50 否 指定要返回的事件数量。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
[
  {
    "alarmRuleID": 98,
    "alarmId": 18755,
    "personId": -100,
    "alarmDate": "2021-08-17T13:36:39.78",
    "alarmStatus": 0,
    "alarmStatusName": "New",
    "entityId": 2,
    "entityName": "EchoTestEntity",
    "alarmRuleName": "LogRhythm Agent Heartbeat Missed",
    "lastUpdatedID": -100,
    "lastUpdatedName": "LogRhythm Administrator",
    "dateInserted": "2021-08-17T13:36:39.807",
    "dateUpdated": "2021-08-17T13:36:39.86",
    "associatedCases": [],
    "lastPersonID": null,
    "eventCount": 1,
    "eventDateFirst": "2021-08-17T13:36:37.057",
    "eventDateLast": "2021-08-17T13:36:37.057",
    "rbpMax": 39,
    "rbpAvg": 39,
    "smartResponseActions": null,
    "alarmDataCached": "N",
    "alarmEventsDetails": [
      {
        "account": "admin5",
        "action": "",
        "amount": null,
        "bytesIn": null,
        "bytesOut": null,
        "classificationId": 2600,
        "classificationName": "Compromise",
        "classificationTypeName": "Security",
        "command": "",
        "commonEventId": 1031412,
        "cve": "",
        "commonEventName": "AIE: CSC: Disabled Account Auth Success",
        "count": 1,
        "directionId": 0,
        "directionName": "Unknown",
        "domain": "",
        "duration": 0,
        "entityId": -1000001,
        "entityName": "",
        "group": "",
        "impactedEntityId": -100,
        "impactedEntityName": "Global Entity",
        "impactedHostId": -1,
        "impactedHostName": "",
        "impactedInterface": "",
        "impactedIP": null,
        "impactedLocation": {
          "countryCode": "",
          "name": "",
          "latitude": 0,
          "locationId": 0,
          "locationKey": "",
          "longitude": 0,
          "parentLocationId": 0,
          "recordStatus": "Deleted",
          "regionCode": "",
          "type": "NULL",
          "dateUpdated": "0001-01-01T00:00:00"
        },
        "impactedMAC": "",
        "impactedName": "",
        "impactedNATIP": "",
        "impactedNATPort": null,
        "impactedNetwork": {
          "beginIPRange": {
            "value": ""
          },
          "dateUpdated": "0001-01-01T00:00:00",
          "riskThreshold": "",
          "endIPRange": {
            "value": ""
          },
          "entityId": 0,
          "hostZone": "Unknown",
          "locationId": 0,
          "longDesc": "",
          "name": "",
          "networkId": 0,
          "recordStatus": "Deleted",
          "shortDesc": ""
        },
        "impactedPort": -1,
        "impactedZone": "Unknown",
        "itemsPacketsIn": 0,
        "itemsPacketsOut": 0,
        "logDate": "2021-08-16T09:51:16.993",
        "login": "admin5",
        "logMessage": "",
        "logSourceHostId": -1000001,
        "logSourceHostName": "AI Engine Server",
        "logSourceName": "AI Engine",
        "logSourceTypeName": "LogRhythm AI Engine",
        "messageId": 173885,
        "mpeRuleId": -1,
        "mpeRuleName": "",
        "normalDateMax": "0001-01-01T00:00:00",
        "objectName": "",
        "objectType": "",
        "originEntityId": -100,
        "originEntityName": "Global Entity",
        "originHostId": -1,
        "originHostName": "",
        "originInterface": "",
        "originIP": null,
        "originLocation": {
          "countryCode": "",
          "name": "",
          "latitude": 0,
          "locationId": 0,
          "locationKey": "",
          "longitude": 0,
          "parentLocationId": 0,
          "recordStatus": "Deleted",
          "regionCode": "",
          "type": "NULL",
          "dateUpdated": "0001-01-01T00:00:00"
        },
        "originMAC": "",
        "originName": "",
        "originNATIP": "",
        "originNATPort": null,
        "originNetwork": {
          "beginIPRange": {
            "value": ""
          },
          "dateUpdated": "0001-01-01T00:00:00",
          "riskThreshold": "",
          "endIPRange": {
            "value": ""
          },
          "entityId": 0,
          "hostZone": "Unknown",
          "locationId": 0,
          "longDesc": "",
          "name": "",
          "networkId": 0,
          "recordStatus": "Deleted",
          "shortDesc": ""
        },
        "originPort": -1,
        "originZone": "Unknown",
        "parentProcessId": "",
        "parentProcessName": "",
        "parentProcessPath": "",
        "policy": "",
        "priority": 91,
        "process": "",
        "processId": -1,
        "protocolId": -1,
        "protocolName": "",
        "quantity": 0,
        "rate": 0,
        "reason": "",
        "recipient": "",
        "result": "",
        "responseCode": "",
        "sender": "",
        "session": "",
        "recipientIdentityId": null,
        "recipientIdentityName": ""
      }
    ]
  }
]
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果 报告了一个实体的 200 状态代码 (is_success=true)：“已成功检索 LogRhythm 中以下警报的详细信息：{IDs}”

如果未找到一个警报 (is_success=true)：“在 LogRhythm 中未找到以下警报：{IDs}”

如果未找到所有警报 (is_success=false)：“在 LogRhythm 中未找到任何提供的警报。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘获取警报详情’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规
案例墙表格

表名称：Alarm {ID} Events

表列：

  • 分类名称
  • 分类类型
  • 名称
  • 优先级
  • 账号
  • 主机名
 常规

为闹钟添加评论

说明

在 LogRhythm 中向警报添加评论。

参数

参数显示名称 类型 默认值 是否为必填项 说明
闹钟 ID 字符串 不适用 是 指定您需要在 LogRhythm 中添加评论的警报的 ID。
评论 字符串 不适用 是 指定需要添加到闹钟的评论。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
N/A
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已成功在 LogRhythm 中为 ID 为 {ID} 的警报添加评论。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘向警报添加评论’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果状态代码不是 200：“执行‘向警报添加评论’操作时出错。原因：{0}''.format(responseMessage)

 常规

列出支持请求证据

说明

在 LogRhythm 中列出案例证据。

参数

参数显示名称 类型 默认值 是否为必填项 说明
支持请求 ID 字符串 不适用 是 指定要返回证据列表的支持请求的 ID。
状态过滤条件 CSV 不适用 否

指定证据的状态过滤条件列表（以英文逗号分隔）。

可能的值：pending、completed、failed。

如果未提供任何内容，该操作会返回所有状态的证据。
类型过滤条件 CSV 不适用 否

指定证据的类型过滤条件（以逗号分隔列表形式）。

可能的值：alarm、userEvents、log、note、file。

如果未提供任何内容，该操作会返回所有类型的证据。
要返回的证据数上限 整数 50 否 指定要返回的证据数量。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
[
    {
        "number": 4,
        "dateCreated": "2021-07-31T11:00:40.2433333Z",
        "dateUpdated": "2021-07-31T11:00:40.2433333Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "file",
        "status": "completed",
        "statusMessage": null,
        "text": "test",
        "pinned": false,
        "datePinned": null,
        "file": {
            "name": "UploadCustomListTemplate .csv",
            "size": 161
        }
    }
]
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果 报告了 200 状态代码 (is_success=true)：“已成功在 LogRhythm 中列出与 ID 为 {ID} 的案例相关的证据。”

If no evidence is available (is_success=false): "No evidence was found for the case with ID {ID} in LogRhythm."

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘列出支持请求证据’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了 404 状态代码：“Error executing action "List Case Evidence". 原因：{0}''.format(message)

如果为“Status”参数提供的值无效：“Error executing action "List Case Evidence". 原因：参数“状态过滤条件”中提供的值无效：{invalid value}。可能的值：pending、completed、failed。

如果为“Type”参数提供的值无效：“Error executing action "List Case Evidence". 原因：参数“Type”中提供的值无效：{invalid value}。可能的值：alarm、userEvents、log、note、file。

 常规
案例墙

支持请求 {case id} 证据

类型

状态

上下文

将警报添加到案例

说明

在 LogRhythm 中向案例添加警报。

参数

参数显示名称 类型 默认值 是否为必填项 说明
支持请求 ID 字符串 不适用 是 指定要向其添加警报的支持请求的 ID。
闹钟 ID CSV 不适用 是 指定要添加到支持请求中的警报（采用逗号分隔列表的形式）。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
[
    {
        "number": 23,
        "dateCreated": "2021-08-11T09:02:17.0066667Z",
        "dateUpdated": "2021-08-11T09:02:17.0066667Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "alarm",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "alarm": {
            "alarmId": 15298,
            "alarmDate": "2021-07-30T02:07:29.813+03:00",
            "alarmRuleId": 1000,
            "alarmRuleName": "AIE: ISO-27001: File Monitoring Event-File Changes",
            "dateInserted": "2021-07-30T02:07:29.82+03:00",
            "entityId": -100,
            "entityName": "Global Entity",
            "riskBasedPriorityMax": 1
        }
    },
    {
        "number": 24,
        "dateCreated": "2021-08-11T09:03:18.65Z",
        "dateUpdated": "2021-08-11T09:03:18.65Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "alarm",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "alarm": {
            "alarmId": 15297,
            "alarmDate": "2021-07-30T02:07:28.353+03:00",
            "alarmRuleId": 1419,
            "alarmRuleName": "AIE: CCF: FIM General Activity",
            "dateInserted": "2021-07-30T02:07:29.82+03:00",
            "entityId": 1,
            "entityName": "Primary Site",
            "riskBasedPriorityMax": 0
        }
    }
]
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果 报告了 201 状态代码 (is_success=true)：“已成功在 LogRhythm 中添加与 ID 为 {ID} 的案例相关的警报证据。”

如果报告了 200 状态代码 (is_success=true)：“All of the provided alarm evidence was already a part of the case with ID {ID} in LogRhythm.”

操作应失败并停止 playbook 执行：

如果报告了严重错误，例如凭据错误、无法连接到服务器等：“执行操作‘将警报添加到案例’时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了 404 状态代码：“执行‘将警报添加到案例’操作时出错。原因：{0}''.format(message or details)

 常规

将文件附加到支持请求

说明

在 LogRhythm 中将文件附加到案例。

参数

参数显示名称 类型 默认值 是否为必填项 说明
支持请求 ID 字符串 不适用 是 指定要附加文件的支持请求的 ID。
文件路径 CSV 不适用 是 请指定绝对文件路径列表，以英文逗号分隔。
注意 字符串 不适用 否 指定应与文件一起添加到支持请求中的备注。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
[
    {
        "number": 26,
        "dateCreated": "2021-08-11T09:17:33.91Z",
        "dateUpdated": "2021-08-11T09:17:33.91Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "file",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "file": {
            "name": "Get Deep Visibility Query Result_JsonResultSample.json",
            "size": 4979
        }
    }
]
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果一个文件 路径完成 (is_success=true)：“已成功将以下文件添加到 LogRhythm 中 ID 为 {ID} 的案例。”

如果一个文件路径失败 (is_success= true)：“Action wasn't able to add the following files to the case with ID {ID} in LogRhythm: {failed file paths}”。

如果所有文件路径均失败 (is_success=false)：“未向 LogRhythm 中 ID 为 {ID} 的案例添加任何文件。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭证错误、无法连接到服务器等）：“执行‘将文件附加到支持请求’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了 404 状态代码：“执行‘将文件附加到支持请求’操作时出错。原因：{0}''.format(message)

如果遇到超时：“执行操作‘将文件附加到支持请求’时出错。原因：操作超时。以下文件仍在处理中：{pending files}。请在 IDE 中增加超时时间。注意：添加同一文件会在 LogRhythm 中创建单独的条目。

 常规

向支持请求添加备注

说明

在 LogRhythm 中为案例添加备注。

参数

参数显示名称 类型 默认值 是否为必填项 说明
支持请求 ID 字符串 不适用 是 指定要添加备注的支持请求的 ID。
注意 字符串 不适用 是 指定应添加到支持请求中的备注。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
    "number": 29,
    "dateCreated": "2021-08-11T12:21:11.5547306Z",
    "dateUpdated": "2021-08-11T12:21:11.5547306Z",
    "createdBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "type": "note",
    "status": "completed",
    "statusMessage": null,
    "text": "asdasd",
    "pinned": false,
    "datePinned": null
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 201 状态代码 (is_success=true)：“已成功在 LogRhythm 中为 ID 为 {ID} 的案例添加备注。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘向支持请求添加备注’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了 404 状态代码：“执行‘向支持请求添加备注’操作时出错。原因：{0}''.format(message)

 常规

创建支持请求

说明

在 LogRhythm 中创建案例。

参数

参数显示名称 类型 默认值 是否为必填项 说明
名称 字符串 不适用 是 指定支持请求的名称。
优先级 DDL

1

可能的值：

  • 1
  • 2
  • 3
  • 4
  • 5
 是 指定支持请求的优先级。
截止日期 字符串 不适用 否

指定支持请求的截止日期。

格式：ISO 8601

示例：2021-04-23T12:38Z
说明 字符串 不适用 否 指定支持请求的说明。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
    "id": "BA210B5A-0E4F-4E07-A770-8C24FB82747A",
    "number": 2,
    "externalId": "",
    "dateCreated": "2021-08-11T12:37:42.8942168Z",
    "dateUpdated": "2021-08-11T12:37:42.8942168Z",
    "dateClosed": null,
    "owner": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "name": "System Compromise",
    "status": {
        "name": "Created",
        "number": 1
    },
    "priority": 1,
    "dueDate": "2019-08-24T14:15:22Z",
    "resolution": null,
    "resolutionDateUpdated": null,
    "resolutionLastUpdatedBy": null,
    "summary": "Investigated a potential system compromise. More details at http://example.com/.",
    "entity": {
        "number": -100,
        "name": "Global Entity",
        "fullName": "Global Entity"
    },
    "collaborators": [
        {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        }
    ],
    "tags": []
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 201 状态代码 (is_success=true)：“已在 LogRhythm 中成功创建案例 {number}。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示：“执行‘创建支持请求’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了 404 状态代码：“执行‘创建支持请求’操作时出错。原因：{0}''.format(message)

 常规

更新支持请求

说明

在 LogRhythm 中更新案例。

参数

参数显示名称 类型 默认值 是否为必填项 说明
支持请求 ID 字符串 不适用 是 指定需要更新的支持请求的 ID。
名称 字符串 不适用 否 为支持请求指定新名称。
优先级 DDL

选择一项

可能的值：

  • 1
  • 2
  • 3
  • 4
  • 5
 否 为支持请求指定新的优先级。
截止日期 字符串 不适用 否

为支持请求指定新的截止日期。

格式：ISO 8601

示例：2021-04-23T12:38Z
说明 字符串 不适用 否 为支持请求指定新说明。
解决方法 字符串 不适用 否 指定支持请求的解决方式。
状态 DDL

选择一项

可能的值：

  • 创建时间
  • 已完成
  • 突发事件
  • 已降低
  • 已解决
 否 指定支持请求的新状态。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
    "id": "BA210B5A-0E4F-4E07-A770-8C24FB82747A",
    "number": 2,
    "externalId": "",
    "dateCreated": "2021-08-11T12:37:42.8942168Z",
    "dateUpdated": "2021-08-11T12:48:52.9765558Z",
    "dateClosed": null,
    "owner": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "name": "System Compromise",
    "status": {
        "name": "Created",
        "number": 1
    },
    "priority": 1,
    "dueDate": "2019-08-24T14:15:22Z",
    "resolution": null,
    "resolutionDateUpdated": null,
    "resolutionLastUpdatedBy": null,
    "summary": "Investigated a potential system compromise. More details at http://example.com/.",
    "entity": {
        "number": -100,
        "name": "Global Entity",
        "fullName": "Global Entity"
    },
    "collaborators": [
        {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        }
    ],
    "tags": []
}
实体丰富化

不适用

数据分析

不适用

案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果 报告了 201 状态代码 (is_success=true)：“已在 LogRhythm 中成功更新案例 {ID}。”

操作应失败并停止 playbook 执行：

如果 报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下错误消息：“Error executing action "Update Case". Reason: {0}''.format(error.Stacktrace)"

如果报告了 404 状态代码：“Error executing action 'Update Case'. 原因：{0}''.format(message)

如果状态代码为 400：“执行‘更新支持请求’操作时出错。原因：{0}''.format(validationErrors)"

如果“状态”或“优先级”参数设置为“选择一项”，并且未提供任何其他值：“执行‘更新支持请求’操作时出错。原因：至少一个操作参数应具有提供的值。”

 常规

下载案件资料

说明

在 LogRhythm 中下载与案例相关的文件。

参数

参数显示名称 类型 默认值 是否为必填项 说明
支持请求 ID 字符串 不适用 是 指定要从中下载文件的支持请求的 ID。
下载文件夹路径 字符串 不适用 是 指定要存储支持请求文件的文件夹的路径。
覆盖 布尔值 False 是 如果启用，该操作会覆盖同名文件。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{"absolute_file_paths": ["file_path_1","file_path_2"]}
``` ##### Entity
Enrichment

N/A

#####  Insights

N/A

#####  Case Wall

<table>
<thead>
<tr>
<th><strong>Result type</strong></th>
<th><strong>Value/Description</strong></th>
<th><strong>Type</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>Output message*</td>
<td><p><strong>The action should not fail nor stop a playbook execution:</strong></p><p><strong></strong></p><p><em>If the</em> <strong></strong> <em>200 status code for all cases is reported (is_success=true):</em> "Successfully downloaded files related to case with ID {ID} in LogRhythm."</p><p></p><p><em>If no files are found (is_success=true): "</em>No related files were found for the case with ID {ID} in LogRhythm."</p><p></p><p><strong>The action should fail and stop a playbook execution:</strong></p><p><strong></strong></p><p><em>If a</em> <strong></strong> <em>fatal error, like wrong credentials, no connection to the server, other is reported:</em> "Error executing action "Download Case Files". Reason: {0}''.format(error.Stacktrace)"</p><p></p><p><em>If the 404 status code is reported:</em> "Error executing action "Download Case Files". Reason: {0}''.format(message)"</p><p></p><p><em>If a file with the same name already exists, but "Overwrite" is set to false:</em> "Error executing action "Download Case Files". Reason: files with path {0} already exist. Please delete the files or set "Overwrite" to true."</p></td>
<td>General</td>
</tr>
</tbody>
</table>

### List Entity Events

#### Description

List events related to entities in LogRhythm. Supported entities: Hostname, IP
Address, User, CVE, Hash, URL.

Note: This action runs as async. Adjust the script timeout value in the
Google SecOps IDE for the action as needed.

#### Parameters

<table>
<thead>
<tr>
<th><strong>Parameter Display Name</strong></th>
<th><strong>Type</strong></th>
<th><strong>Default Value</strong></th>
<th><strong>Is Mandatory</strong></th>
<th><strong>Description</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>Time Frame</td>
<td>DDL</td>
<td><p>Last Hour</p><p><strong></strong></p><p>Possible Values: </p><ul><li>Last Hour</li><li>Last 6 Hours</li><li>Last 24 Hours</li><li>Last Week</li><li>Last Month</li><li>Custom</li></ul></td>
<td>No</td>
<td>Name of the watchlist from which you want to remove values.</td>
</tr>
<tr>
<td>Start Time</td>
<td>String</td>
<td>N/A</td>
<td>No</td>
<td><p>Specify the start time for the results.</p><p></p><p>This parameter is mandatory, if "Custom" is selected for the "Time Frame" parameter. </p><p></p><p>Format: ISO 8601</p><p></p><p>Example: 2021-04-23T12:38Z</p></td>
</tr>
<tr>
<td>End Time</td>
<td>String</td>
<td>N/A</td>
<td>No</td>
<td><p>Specify the end time for the results. </p><p></p><p>If nothing is provided and "Custom" is selected for the "Time Frame" parameter then this parameter uses current time.</p><p></p><p>Format: ISO 8601</p></td>
</tr>
<tr>
<td>Sort Order</td>
<td>DDL</td>
<td><p>Datetime ASC <strong></strong> </p><p></p><p>Possible values:</p><ul><li>Datetime ASC</li><li>Datetime DESC</li><li>Risk ASC</li><li>RiskDESC</li></ul></td>
<td>No</td>
<td>Specify the sorting logic for the query.</td>
</tr>
<tr>
<td>Max Events To Return</td>
<td>Integer</td>
<td>50</td>
<td>No</td>
<td>Specify the number of events to return.</td>
</tr>
</tbody>
</table>

#### Run On

This action runs on the following entities:

*   Hostname
*   IP Address
*   User
*   CVE
*   Hash
*   URL

#### Action Results

#####  Script Result

<table>
<thead>
<tr>
<th><strong>Script Result Name</strong></th>
<th><strong>Value Options</strong></th>
<th><strong>Example</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>is_success</td>
<td>True/False</td>
<td>is_success:False</td>
</tr>
</tbody>
</table>

#####  JSON Result

```json
{
    "kBytes": 2521.025390625,
    "kBytesIn": 2500.0,
    "kBytesOut": 21.025390625,
    "outboundKBytes": 21.025390625,
    "impactedHostTotalKBytes": 2521.025390625,
    "keyField": "messageId",
    "count": 1,
    "classificationId": 3200,
    "classificationName": "Error",
    "classificationTypeName": "Operations",
    "commonEventName": "HTTP 504 : Server Error - Gateway Time-Out",
    "commonEventId": 8938,
    "direction": 3,
    "directionName": "External",
    "entityId": 2,
    "entityName": "EchoTestEntity",
    "rootEntityId": 2,
    "rootEntityName": "EchoTestEntity",
    "impactedEntityId": -100,
    "impactedEntityName": "Global Entity",
    "impactedHost": "192.0.2.11",
    "impactedInterface": "0",
    "impactedIp": "192.0.2.11",
    "impactedPort": 80,
    "impactedZoneName": "External",
    "indexedDate": 1629460029041,
    "insertedDate": 1629123439811,
    "logDate": 1629134239789,
    "logMessage": "CISCONGFW EVENT Ev_Id=436 Ev",
    "logSourceHost": "EchoTestHost",
    "logSourceHostId": 2,
    "logSourceHostName": "EchoTestHost",
    "logSourceId": 15,
    "logSourceName": "Echo_2_1000107",
    "logSourceType": 1000107,
    "logSourceTypeName": "Flat File - Cisco NGFW",
    "messageId": "23066",
    "messageTypeEnum": 2,
    "mpeRuleId": 1176829,
    "mpeRuleName": "HTTP 504 : Server Error : Gateway Timeout",
    "normalDate": 1629123439791,
    "normalDateMin": 1629123439791,
    "normalMsgDateMax": 1629123439791,
    "normalDateHour": 1629122400000,
    "originEntityId": -100,
    "originEntityName": "Global Entity",
    "originHostId": -1,
    "originHost": "192.0.2.12",
    "originInterface": "0",
    "originIp": "192.0.2.12",
    "originPort": 14042,
    "originZone": 3,
    "originZoneName": "External",
    "priority": 38,
    "process": "5",
    "processId": 300003,
    "protocolId": 6,
    "protocolName": "TCP",
    "serviceId": 1388,
    "serviceName": "HTTP",
    "portProtocol": "HTTP",
    "session": "436",
    "severity": "57",
    "url": "http://www.google.com/",
    "vendorMessageId": "504",
    "version": "2",
    "status": "504"
}
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果找到了一个实体的数据 (is_success=true)：“已成功检索 LogRhythm 中以下实体的事件：{entity.identifier}。”

如果一个实体失败 (is_success=true)：“Action wasn't able to retrieve events for the following entities in LogRhythm: {entity.identifier}。”

如果所有实体都失败 (is_success=false)：“操作无法在 LogRhythm 中检索所提供实体的事件。”

如果至少有一个实体没有数据 (is_success=true)：“在 LogRhythm 中未找到以下实体的任何事件：{entity.identifier}。”

如果所有实体都没有数据 (is_success=false)：“在 LogRhythm 中未找到所提供实体的任何事件。”

如果一个实体超时 (is_success=true)：“Action ran into a timeout during execution. 待处理实体：{entities that didn't return data}。请在 IDE 中增加操作超时时间。”

异步消息：“正在等待以下实体的事件信息：{entity.identifier}”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下错误消息：“Error executing action 'List Entity Events'. Reason: {0}''.format(error.Stacktrace)"

如果所有实体都超时 (is_success=false)：“执行‘列出实体事件’操作时出错。原因：操作在执行期间超时。未检索到所提供实体的事件相关信息。请在 IDE 中增加操作超时时间。”

如果“开始时间”参数为空，而“时间范围”参数设置为“自定义”（失败）：“执行操作‘<操作名称>’时出错。原因：在‘时间范围’参数中选择‘自定义’时，应提供‘开始时间’。”

如果“开始时间”参数的值大于“结束时间”参数（失败）：“执行操作‘<操作名称>’时出错。原因：‘结束时间’应晚于‘开始时间’。”

如果“要返回的项数上限”不大于 0：“执行操作‘<操作名称>’时出错。原因：‘要返回的事件数上限’应大于 0。

 常规
案例墙表格

表名称：{entity.identifier}

表列：

  • 分类：“classificationName”
  • 事件名称：“commonEventName”日期：已转换为 ISO (insertedDate)
  • 受影响的主机：impactedHost
  • Impacted IP: impactedIP Login: login Hash: hash URL: url
  • Priority: priority CVE: CVE Origin
  • Host: originHost
  • 来源 IP：originIP

注意：如果至少有一条记录包含值，此列就会显示。

 实体

连接器

LogRhythm Cases 连接器

说明

从 LogRhythm 中拉取案例。

连接器参数

参数显示名称 类型 默认值 是否为必填项 说明
产品字段名称 字符串 不适用 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 event_type 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://{IP}:8501 是 LogRhythm 实例的 API 根。
API 令牌 密码 不适用 是 LogRhythm API 令牌。
回溯的天数上限 整数 1 是 提取支持请求的天数。
要提取的最低优先级 整数 不适用 否

需要用于提取支持请求的最低优先级。

如果未提供任何内容，则会注入所有优先级的案例。

可能的值：1 到 5。
提醒数量上限 整数 10 是 每次连接器迭代要处理的案例数量。
CA 证书文件 字符串 不适用 否 Base 64 编码的 CA 证书文件。
将白名单用作黑名单 复选框 尚未核查 是 如果启用，白名单将用作黑名单。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 LogRhythm 服务器连接的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

连接器支持代理。

LogRhythm - Rest API 警报连接器

说明

使用 REST API 从 LogRhythm 拉取警报。

在 Google SecOps 中配置 LogRhythm - Rest API Alarms 连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 产品名称 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 classificationTypeName 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://{IP}:8501 是 LogRhythm 实例的 API 根。
API 令牌 密码 不适用 是 LogRhythm API 令牌。
回溯的小时数上限 整数 1 否 提取提醒的小时数。
要提取的闹钟数量上限 整数 10 否 每次连接器迭代要处理的提醒数量。
将白名单用作黑名单 复选框 尚未核查 是 如果启用，白名单将用作黑名单。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 LogRhythm 服务器连接的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

连接器支持代理。

作业

同步支持请求评论

说明

此作业会同步 LogRhythm 工单和 Google SecOps 工单中的评论。

参数

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://{IP}:8501 是 LogRhythm 实例的 API 根。
API 令牌 密码 不适用 是 LogRhythm API 令牌。
CA 证书文件 字符串 不适用 否 Base 64 编码的 CA 证书文件。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 LogRhythm 服务器连接的 SSL 证书是否有效。

同步已关闭的支持请求

说明

此作业会同步已关闭的 LogRhythm 案例和 Google SecOps 提醒。

参数

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://{IP}:8501 是 LogRhythm 实例的 API 根。
API 令牌 密码 不适用 是 LogRhythm API 令牌。
CA 证书文件 字符串 不适用 否 Base 64 编码的 CA 证书文件。
回溯的小时数上限 整数 24 否 指定要同步过去多少小时的状态。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 LogRhythm 服务器连接的 SSL 证书是否有效。

同步告警评论

说明

此作业会同步 LogRhythm 提醒和 Google SecOps 案例中的评论。

参数

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://{IP}:8501 是 LogRhythm 实例的 API 根。
API 令牌 密码 不适用 是 LogRhythm API 令牌。
CA 证书文件 字符串 不适用 否 Base 64 编码的 CA 证书文件。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 LogRhythm 服务器连接的 SSL 证书是否有效。

同步已关闭的闹钟

说明

此作业会同步已关闭的 LogRhythm 警报和 Google SecOps 提醒。

参数

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://{IP}:8501 是 LogRhythm 实例的 API 根。
API 令牌 密码 不适用 是 LogRhythm API 令牌。
CA 证书文件 字符串 不适用 否 Base 64 编码的 CA 证书文件。
回溯的小时数上限 整数 24 否 指定要同步过去多少小时的状态。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 LogRhythm 服务器连接的 SSL 证书是否有效。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。