Orca Security

本文档提供了有关如何将 Orca Security 与 Google SecOps 集成的指南。

在 Google Security Operations 中配置 Orca Security 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
界面根 字符串 https://{ui instance} 是 Orca Security 实例的界面根目录。
API 根 字符串 https://{api instance} 是 Orca Security 实例的 API 根。
API 密钥 字符串 不适用 是

Orca Security 实例账号的 API 密钥。

如果同时提供了“API 密钥”和“API 令牌”参数，则系统会使用“API 令牌”参数。
API 令牌 字符串 不适用 是

Orca Security 实例账号的 API 令牌。

如果同时提供了“API 密钥”和“API 令牌”参数，则系统会使用“API 令牌”参数。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 Orca Security SIEM 服务器的连接所使用的 SSL 证书是否有效。

如何生成 API 密钥

  1. 前往设置 -> 集成 -> Orca API。
  2. 点击管理密钥，然后点击生成新密钥。
  3. 将生成的密钥复制并粘贴到 Google SecOps 中。

使用场景

  1. 提取提醒。
  2. 提取有关资产或漏洞的信息。
  3. 对提醒进行分类。
  4. 跟踪合规性。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

Ping

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 Orca Security 的连接性。

参数

不适用

运行时间

该操作不针对实体运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
N/A
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 Orca Security 服务器！”

操作应失败并停止 playbook 执行：

如果未成功：“Failed to connect to the Orca Security server! 错误为 {0}”。format(exception.stacktrace)

 常规

更新提醒

在 Orca Security 中更新提醒。

参数

参数显示名称 类型 默认值 是否为必填项 说明
提醒 ID 字符串 不适用 是 指定需要更新的提醒的 ID。
验证提醒 复选框 尚未核查 否 如果启用，该操作会启动针对提醒的验证流程。
延后状态 DDL

选择一项

可能的值：

  • 选择一项
  • 延后
  • 取消延后
 否 指定提醒的稍后提醒状态。
延后天数 字符串 1 否

指定提醒需要暂停的天数。

如果“延后状态”参数设置为“延后”，则此参数为必填项。

如果未提供任何内容，该操作会将提醒延后 1 天。
状态 DDL

选择一项

可能的值：

  • 选择一项
  • 打开
  • 进行中
  • 关闭
  • 关闭
 否 指定要为提醒设置的状态。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
    "id": "ss",
    "type": "Alert",
    "data": {
        "AlertId": {
            "value": "263534"
        },
        "AlertSource": {
            "value": "Orca Scan"
        },
        "AlertType": {
            "value": "cc"
        },
        "AssetData": {
            "value": {
                "asset_name": "Armor-test/CE",
                "asset_type": "cisource",
                "asset_vpcs": [],
                "asset_state": "enabled",
                "account_name": "Armn",
                "asset_category": "CI Source",
                "cloud_provider": "shiftleft",
                "cloud_vendor_id": "fbn",
                "asset_tags_info_list": [
                    "retest_tag|maybe"
                ],
                "custom_tags_info_list": [],
                "cluster_type": null,
                "vm_id": null,
                "asset_labels": null,
                "resource_group_name": null,
                "cluster_name": "An"
            }
        },
        "Category": {
            "value": "Vulnerabilities"
        },
        "ClosedReason": {
            "value": "user moved to done"
        },
        "ClosedTime": {
            "value": "2025-09-23T10:10:59+00:00"
        },
        "CommentsCount": {
            "value": 0
        },
        "CreatedAt": {
            "value": "2025-09-23T00:22:07+00:00"
        },
        "CveFixAvailable": {
            "value": true
        },
        "CveIds": {
            "value": [
                "CVE"
            ]
        },
        "CveOpen": {
            "value": {
                "CVE-2025-41249": {
                    "detected": "23.09.2025"
                }
            }
        },
        "Description": {
            "value": "cc"
        },
        "Details": {
            "value": "cc"
        },
        "IsLive": {
            "value": true
        },
        "Labels": {
            "value": [
                "fix_available"
            ]
        },
        "LastSeen": {
            "value": "2025-09-23T10:23:59+00:00"
        },
        "LastUpdated": {
            "value": "2025-09-23T11:36:35+00:00"
        },
        "MaxCvssScore": {
            "value": 7.5
        },
        "Name": {
            "value": "orca-1263534"
        },
        "OrcaScore": {
            "value": 3.1
        },
        "PrevUserDefinedStatus": {
            "value": "snoozed"
        },
        "Recommendation": {
            "value": "Pc"
        },
        "RelatedCompliances": {
            "value": []
        },
        "RemediationCli": {
            "value": []
        },
        "RemediationConsole": {
            "value": []
        },
        "RiskFindings": {
            "value": {
                "cves": {
                    "fixable": 1,
                    "top_cves": [
                        {
                            "cve_id": "cc",
                            "fixable": true,
                            "cvss_score": 7.5,
                            "first_seen": "2025-09-23T00:22:12+00:00",
                            "cvss_source": "CNA v3",
                            "cvss_vector": "c",
                            "exploitable": false,
                            "cvss_severity": "HIGH",
                            "patched_version": "6.2.11",
                            "cvss_source_link": "cc"
                        }
                    ],
                    "total_cves": 1,
                    "exploitable": 0,
                    "count_by_cvss_severity": {
                        "HIGH": 1
                    }
                },
                "package": {
                    "target": "./jobs/job-scheduler/pom.xml",
                    "origin_url": "https://example.com",
                    "package_id": "org.sp",
                    "package_name": "cc",
                    "installed_version": "5.3.22"
                }
            }
        },
        "RiskLevel": {
            "value": "low"
        },
        "RiskLevelTime": {
            "value": "2025-09-23T00:22:07+00:00"
        },
        "RuleId": {
            "value": "r81a3c225f3"
        },
        "RuleSource": {
            "value": "Orca"
        },
        "RuleType": {
            "value": "vulnerability"
        },
        "Score": {
            "value": 3
        },
        "ScoreVector": {
            "value": {
                "AlertBaseScore": {
                    "score": 3.15,
                    "Features": [
                        {
                            "score": 0.0,
                            "value": "None",
                            "weight": 0.5,
                            "category": "Attack Impact",
                            "display_name": "Mitre Category",
                            "effect_level": 0,
                            "impact_level": 0.0
                        }
                    ],
                    "display_name": "Alert Base Score"
                }
            }
        },
        "Severity": {
            "value": "hazardous"
        },
        "Source": {
            "value": "./jobs/job-scheduler/pom.xml"
        },
        "Status": {
            "value": "open"
        },
        "StatusTime": {
            "value": "2025-09-23T11:36:35+00:00"
        },
        "Title": {
            "value": "ccs"
        },
        "UserDefinedStatus": {
            "value": "open"
        },
        "VerificationStatus": {
            "value": "scan_failed"
        },
        "cluster_unique_id": {
            "value": "cc"
        },
        "GroupUniqueId": {
            "value": "cc"
        },
        "last_sync": {
            "value": "2025-09-23T10:44:43+00:00"
        }
    },
    "name": "orca-1263534",
    "group_unique_id": "cc",
    "cluster_unique_id": "cc",
    "last_seen": "2025-09-23T10:27:42+00:00"
}
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已成功在 Orca Security 中更新 ID 为‘{id}’的提醒。”

如果报告“请求设置相同配置”错误 (is_success=true)：“Orca Security 中 ID 为‘{id}’的提醒已具有‘{status}’状态。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示：“Error executing action 'Update Alert'”（执行操作“更新提醒”时出错）。Reason: {0}''.format(error.Stacktrace)"

如果报告了其他错误：“执行操作‘更新提醒’时出错。原因：{error}。”

如果为“暂停状态”参数选择了“选择一个”：“执行‘更新提醒’操作时出错。原因：需要提供“暂停日期”。

如果为“暂停状态”或“状态”参数选择了“选择一项”，并且未启用“验证提醒”参数：“执行‘更新提醒’操作时出错。原因：必须至少提供以下参数之一：“Status”“Verify Alert”“Snooze Alert”。

 常规

向提醒添加评论

在 Orca Security 中向提醒添加评论。

参数

参数显示名称 类型 默认值 是否为必填项 说明
提醒 ID 字符串 不适用 是 指定需要采取行动的提醒的 ID，以便添加评论。
评论 字符串 不适用 是 指定需要添加到提醒中的评论。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
  "unique_id": 315478535,
  "user_email": "tip.labops@siemplify.co",
  "user_name": "John Doe",
  "alert_id": "orca-264",
  "asset_unique_id": "AwsIamRole_570398916848_e739eb76-1d18-7e74-d3d4-42dc68c8ece4",
  "create_time": "2022-03-28T14:06:10+00:00",
  "type": "comment",
  "details": {
      "description": "Added comment",
      "comment": "asd"
  }
}
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已成功在 Orca Security 中为 ID 为‘{id}’的提醒添加评论。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action "Add Comment To Alert". Reason: {0}''.format(error.Stacktrace)"

如果报告了错误：“执行‘向提醒添加评论’操作时出错。原因：{error}。”

 常规

获取资产详情

说明

从 Orca Security 检索资产相关信息。

参数

参数显示名称 类型 默认值 是否为必填项 说明
资产 ID CSV 不适用 是 指定要返回其详细信息的资产 ID 逗号分隔列表。
返回漏洞信息 复选框 勾选 否 如果启用，该操作会返回与资产相关的漏洞。
漏洞的最低严重级别 DDL

严重污染

可能的值：

  • 已破解
  • 即将发生的入侵
  • 严重污染
  • 参考信息
 否 提取漏洞时需要使用的最低严重级别。
要提取的漏洞数量上限 整数 50 否

指定每个资产要返回的漏洞数量。

最大值：100
创建分析洞见 复选框 勾选 否 如果启用，该操作会为每个经过丰富处理的资产创建一项数据分析。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
[
    {
        "status": "success",
        "data": [
            {
                "id": "cc",
                "type": "cc",
                "data": {
                    "Category": {
                        "value": "Storage"
                    },
                    "ConsoleUrlLink": {
                        "value": "helo"
                    },
                    "CreationTime": {
                        "value": "2025-09-23T16:24:59+00:00"
                    },
                    "Exposure": {
                        "value": "N/A"
                    },
                    "FirstSeen": {
                        "value": "2025-09-24T05:46:47+00:00"
                    },
                    "LastSeen": {
                        "value": "2025-09-24T15:13:16+00:00"
                    },
                    "Name": {
                        "value": "App Server"
                    },
                    "NewCategory": {
                        "value": "Data Storage"
                    },
                    "NewSubCategory": {
                        "value": "File System"
                    },
                    "Observations": {
                        "value": []
                    },
                    "OrcaScore": {
                        "value": 6.4
                    },
                    "Region": {
                        "value": "us-east-1"
                    },
                    "RelatedCompliances": {
                        "value": [
                            "abc",
                            "cc"
                        ]
                    },
                    "RiskLevel": {
                        "value": "medium"
                    },
                    "Score": {
                        "value": 4
                    },
                    "State": {
                        "value": "in-use"
                    },
                    "SubCategory": {
                        "value": "Volume"
                    },
                    "Tags": {
                        "value": {
                            "Client": "aw",
                            "Name": "App Server",
                            "SnapLabsManaged": "true"
                        }
                    },
                    "Type": {
                        "value": "cc"
                    },
                    "UiUniqueField": {
                        "value": "vol-cc"
                    },
                    "Zones": {
                        "value": [
                            "us-east-1b"
                        ]
                    },
                    "AssetUniqueId": {
                        "value": "cc"
                    },
                    "cluster_unique_id": {
                        "value": "cc"
                    },
                    "full_scan_time": {
                        "value": "2025-09-24T15:13:01+00:00"
                    },
                    "GroupUniqueId": {
                        "value": "cc"
                    }
                },
                "name": "App Server",
                "group_unique_id": "cc",
                "cluster_unique_id": "cc",
                "asset_unique_id": "cc",
                "last_seen": "2025-09-24T15:16:16+00:00"
            }
        ],
        "vulnerabilities": []
    }
]
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果一个资产有可用数据 (is_success=true)：“已使用 Orca Security 中的信息成功丰富以下资产：{asset id}”

如果某个资产的数据不可用 (is_success=true)：“Action wasn't able to enrich the following assets using information from Orca Security: {asset id}”

如果所有资产的数据都不可用 (is_success=false)：“未对任何提供的资产进行丰富。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action "Get Asset Details". Reason: {0}''.format(error.Stacktrace)

 常规
案例墙表格

表名称：素材资源详情表列：

  • 名称：{asset_name}
  • 类型：{asset_type}
  • 账号：{account_name}
  • 类别：{asset_category}
  • 子类别：{asset_subcategory}
  • 状态：{asset_state}
  • 严重级别：{state/severity}
  • 首次出现时间：{state/created_at}
  • 上次出现时间：{state/last_seen}
 常规

获取合规信息

在 Orca Security 中，根据所选框架获取合规性信息。

参数

参数显示名称 类型 默认值 是否为必填项 说明
框架名称 CSV 不适用 否

指定要检索其合规性详细信息的框架名称的英文逗号分隔列表。

如果未提供任何内容，该操作将返回有关所有选定框架的信息。
要返回的框架数上限 整数 50 否 指定要返回的框架数量。
创建分析洞见 复选框 勾选 是 如果启用，该操作会创建包含合规性相关信息的分析洞见。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
"frameworks": [
  {
    "display_name": "Orca Best Practices",
    "id": "orca_best_practices",
    "custom": false,
    "description": "Orca Best Practices",
    "active": true,
    "avg_score_percent": 70,
    "test_results": {
      "FAIL": 121,
      "PASS": 284
    },
    "categories": {
      "total_count": 12,
      "data": {
        "Storage": {
          "FAIL": 28,
          "PASS": 35
        },
        "Database": {
          "FAIL": 8,
          "PASS": 94
        },
        "Monitoring": {
          "FAIL": 20,
          "PASS": 4
        },
        "Users and Access": {
          "FAIL": 23,
          "PASS": 11
        },
        "Network": {
          "FAIL": 29,
          "PASS": 96
        },
        "Messaging Service": {
          "FAIL": 1,
          "PASS": 11
        },
        "Serverless": {
          "FAIL": 3,
          "PASS": 13
        },
        "Vm": {
          "FAIL": 6,
          "PASS": 4
        },
        "Authentication": {
          "FAIL": 4,
          "PASS": 10
        },
        "Account": {
          "PASS": 1
        },
        "ComputeServices": {
          "FAIL": 1,
          "PASS": 2
        },
        "Container": {
          "PASS": 1
        }
      }
    },
    "top_accounts": [
      {
        "570398916848": {
          "account_name": "alon-vendors",
          "FAIL": 121,
          "PASS": 284
        }
      }
    ]
  }
]
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果报告了 200 状态代码 (is_success=true)：“已成功返回 Orca Security 中的合规性信息。”

If one framework is not found (is_success=true): "Information from the following frameworks wasn't found in Orca Security. 请检查拼写。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action 'Get Compliance Info'. Reason: {0}''.format(error.Stacktrace)"

如果未找到所有框架 (is_success=false)：“执行‘获取合规性信息’操作时出错。原因：在 Orca Security 中未找到任何提供的框架。请检查拼写。

 常规
案例墙表格

表名称：Compliance Details

表列：

  • 名称：{display_name}
  • 说明：{description}
  • 得分：{avg_score_percent}
  • 失败：{test_results/FAIL}
  • 通过：{test_results/PASS}
  • 活动消耗的卡路里数：{active}
 常规

扫描资产

在 Orca Security 中扫描资产。

参数

参数显示名称 类型 默认值 是否为必填项 说明
资产 ID 字符串 不适用 是 指定要返回其详细信息的资产 ID 逗号分隔列表。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
  "version": "0.1.0",
  "scan_unique_id": "4f606aae-9e9b-4d01-aa29-797a06b6300e",
  "asset_unique_ids": [
      "i-080f6dfdeac0c7ffc"
  ],
  "status": "done"
}
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果一个资产有数据 (is_success=true)：“已成功扫描 Orca Security 中的以下资产：{asset name}”。

如果某个资产的数据不可用或找不到该资产 (is_success=true)：“操作无法使用 Orca Security 扫描以下资产：{asset name}”

如果所有资产的数据都不可用 (is_success=false)：“未扫描任何提供的资产。”

异步消息：“待处理资产：{asset names}”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘扫描资产’操作时出错。Reason: {0}''.format(error.Stacktrace)"

如果遇到超时：“执行操作‘扫描资产’时出错。原因：操作在执行期间超时。待处理素材资源：{assets that are still in progress}。请在 IDE 中增加超时时间。”

 常规

获取漏洞详情

说明

从 Orca Security 检索漏洞信息。

参数

参数显示名称 类型 默认值 是否为必填项 说明
CVE ID CSV 不适用 否 指定需要扩充的 CVE 的逗号分隔列表。
创建分析洞见 复选框 勾选 否

如果启用，该操作会为每个经过丰富处理的漏洞创建数据分析。

数据分析创建不受可通过“Fields To Return”参数进行的过滤的影响。
要返回的素材资源数量上限 整数 50 否

指定要返回多少个与 CVE 相关的资产。

最大值：10000
要返回的字段 CSV 不适用 否

指定需要返回的字段的逗号分隔列表。

如果漏洞没有要返回的特定字段，则这些字段值会设置为 null。

注意：此参数会检查 JSON 对象，因为它已被展平。

示例："object": {"id": 123} -> object_id 是键。
输出 DDL

JSON

可能的值：

  • JSON
  • CSV
 否

指定操作的输出类型。

如果选择“JSON”，该操作会返回常规 JSON 结果。

如果选择“CSV”，该操作会在操作执行文件夹中创建一个文件，并且 JSON 结果会包含该文件的路径。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success=False
JSON 结果
{
    "cve_id": "{cve_id}",
    "results": [
        {
            "asset_auto_updates": "off",
            "vm_asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
            "group_type_string": "VM",
            "asset_regions_names": [
                "N. Virginia"
            ],
            "group_type": "asg",
            "cluster_type": "asg",
            "type": "cve",
            "score": 4,
            "vm_id": "i-07cb1901406d7f7a2",
            "asset_name": "alon-test",
            "context": "data",
            "nvd": {
                "cvss2_severity": "MEDIUM",
                "cvss2_score": 5.0,
                "cvss3_severity": "HIGH",
                "cvss3_vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N",
                "cvss3_score": 7.5,
                "cvss2_vector": "AV:N/AC:L/Au:N/C:N/I:P/A:N"
            },
            "asset_distribution_version": "2 (2022.01.05)",
            "asset_first_public_ips": [
                "54.234.117.173"
            ],
            "asset_first_private_ips": [
                "10.0.85.56"
            ],
            "group_name": "alon-test",
            "level": 1,
            "fix_available_state": "Yes",
            "organization_name": "Partners",
            "published": "2019-09-30T19:15:00+00:00",
            "packages": [
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/vlan",
                    "non_os_package_paths": [
                        "/opt/cni/bin/vlan"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/ipvlan",
                    "non_os_package_paths": [
                        "/opt/cni/bin/ipvlan"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/firewall",
                    "non_os_package_paths": [
                        "/opt/cni/bin/firewall"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/tuning",
                    "non_os_package_paths": [
                        "/opt/cni/bin/tuning"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/loopback",
                    "non_os_package_paths": [
                        "/opt/cni/bin/loopback"
                    ],
                    "patched_version": "1.13.1"
                }
            ],
            "cloud_vendor_id": "570398916848",
            "labels": [
                "fix_available"
            ],
            "asset_image_id": "ami-0d6c8b2a8562eba37",
            "asset_num_public_dnss": 1,
            "cve_id": "CVE-2019-16276",
            "asset_state": "running",
            "organization_id": "e739eb76-3d1a-4022-b5d0-360b10d44685",
            "asset_availability_zones": [
                "us-east-1b"
            ],
            "asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
            "asset_num_private_dnss": 1,
            "asset_vendor_id": "i-07cb1901406d7f7a2",
            "cvss3_score": 6.5,
            "group_val": "nongroup",
            "asset_type_string": "VM",
            "asset_regions": [
                "us-east-1"
            ],
            "group_unique_id": "asg_570398916848_alon-test",
            "cloud_account_id": "1b6a52d3-58ed-4879-af03-b99f252f532d",
            "asset_num_private_ips": 1,
            "account_name": "alon-vendors",
            "asset_type": "vm",
            "fix_available": true,
            "cvss3_vector": "CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N",
            "cluster_unique_id": "asg_570398916848_alon-test",
            "summary": "Go before 1.12.10 and 1.13.x before 1.13.1 allow HTTP Request Smuggling.",
            "severity": "informational",
            "cluster_name": "alon-test",
            "asset_first_public_dnss": [
                "ec2-54-234-117-173.compute-1.amazonaws.com"
            ],
            "tags_info_list": [
                "aws:ec2launchtemplate:version|1",
                "aws:autoscaling:groupName|alon-test",
                "aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
            ],
            "asset_first_private_dnss": [
                "ip-10-0-85-56.ec2.internal"
            ],
            "cloud_provider": "aws",
            "asset_vpcs": [
                "vpc-07ef7f777429cfd82"
            ],
            "source_link": "https://nvd.nist.gov/vuln/detail/CVE-2019-16276",
            "asset_category": "VM",
            "asset_distribution_major_version": "2",
            "asset_tags_info_list": [
                "aws:ec2launchtemplate:version|1",
                "aws:autoscaling:groupName|alon-test",
                "aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
            ],
            "cloud_provider_id": "570398916848",
            "asset_num_public_ips": 1,
            "asset_labels": [
                "brute-force_attempts"
            ],
            "asset_distribution_name": "Amazon",
            "affected_packages": [
                "/opt/cni/bin/vlan",
                "/opt/cni/bin/ipvlan",
                "/opt/cni/bin/firewall",
                "/opt/cni/bin/tuning",
                "/opt/cni/bin/loopback"
            ],
            "asset_role_names": [
                "ssh"
            ]
        }
    ]
}
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果有一个漏洞的数据可用 (is_success=true)：“已使用 Orca Security 中的信息成功丰富了以下漏洞：{cve id}”

如果某个漏洞的数据不可用 (is_success=true)：“操作无法使用 Orca Security 中的信息丰富以下漏洞：{cve id}”

如果所有漏洞的数据都不可用 (is_success=false)：“None of the provided vulnerabilities were enriched.”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action "Get Vulnerability Details". Reason: {0}''.format(error.Stacktrace)"

 常规
案例墙表格

表名称：漏洞详情

表列：

  • ID：{cve_id}
  • 说明：{summary}
  • 是否有可用修复：{fix_available}
  • 受影响的资产数量：{group_size}
  • 标签：{csv of labels}
  • 发布日期：{published}
 常规

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

Orca Security - 提醒连接器

说明

从 Orca Security 中提取有关提醒的信息。

在 Google SecOps 中配置 Orca Security - Alerts 连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 产品名称 是 输入源字段名称，以检索产品字段名称。
事件字段名称 字符串 asset_type_string 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 “” 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户使用正则表达式逻辑来操作环境字段。

如果正则表达式模式为 null 或为空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https:/:8501 是 Orca Security 实例的 API 根。
API 密钥 字符串 不适用 是

Orca Security 实例账号的 API 密钥。

如果同时提供了“API 密钥”和“API 令牌”参数，则系统会使用“API 令牌”参数。
API 令牌 字符串 不适用 是

Orca Security 实例账号的 API 令牌。

如果同时提供了“API 密钥”和“API 令牌”参数，则系统会使用“API 令牌”参数。
类别过滤条件 CSV 不适用 否

在提取提醒期间应使用的类别名称的英文逗号分隔列表。

注意：此参数区分大小写。
要提取的最低优先级 字符串 不适用 否

需要用于提取提醒的最低严重级别。

可能的值：Compromised、Imminent compromise、Hazardous、Informational

如果未指定任何内容，连接器会注入所有严重级别的提醒。
回溯的小时数上限 整数 1 否 提取提醒的小时数。
要提取的提醒数量上限 整数 100 否 每次连接器迭代要处理的提醒数量。
将动态列表用作黑名单 复选框 尚未核查 是 如果启用，动态列表将用作黑名单。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 Orca Security 服务器连接的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。
提醒类型过滤条件 CSV 不适用 否 需要提取的提醒类型。此过滤条件可与回答中的 AlertType_value 参数搭配使用。示例：aws_s3_bucket_accessible_to_unmonitored_account

连接器规则

代理支持

连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。