Sysdig Secure in Google SecOps einbinden
In diesem Dokument wird beschrieben, wie Sie Sysdig Secure in Google Security Operations (Google SecOps) einbinden.
Integrationsparameter
Für die Sysdig Secure-Integration sind die folgenden Parameter erforderlich:
| Parameter | Beschreibung |
|---|---|
API Root |
Pflichtangabe. Der API-Stamm der Sysdig Secure-Instanz. Weitere Informationen zu API-Stammwerten finden Sie unter Sysdig API. |
API Token |
Pflichtangabe. Das Sysdig Secure API-Token. Weitere Informationen zum Generieren von Tokens finden Sie unter Sysdig API-Token abrufen. |
Verify SSL |
Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Sysdig Secure-Server hergestellt wird. Standardmäßig ausgewählt. |
Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.
Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.
Aktionen
Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.
Ping
Verwenden Sie die Aktion Ping, um die Verbindung zu Sysdig Secure zu testen.
Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.
Aktionseingaben
Keine.
Aktionsausgaben
Die Aktion Ping liefert die folgenden Ausgaben:
| Aktionsausgabetyp | Verfügbarkeit |
|---|---|
| Anhang im Fall-Repository | Nicht verfügbar |
| Link zum Fall-Repository | Nicht verfügbar |
| Tabelle mit Fall-Repository | Nicht verfügbar |
| Anreicherungstabelle | Nicht verfügbar |
| JSON-Ergebnis | Nicht verfügbar |
| Ausgabenachrichten | Verfügbar |
| Scriptergebnis | Verfügbar |
Ausgabenachrichten
Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:
| Ausgabemeldung | Beschreibung der Nachricht |
|---|---|
Successfully connected to the Sysdig Secure server with the
provided connection parameters! |
Die Aktion war erfolgreich. |
Failed to connect to the Sysdig Secure server! Error is ERROR_REASON |
Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten. |
Scriptergebnis
In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:
| Name des Skriptergebnisses | Wert |
|---|---|
is_success |
True oder False |
Connectors
Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).
Sysdig Secure – Events Connector
Verwenden Sie den Sysdig Secure – Events Connector, um Ereignisse aus Sysdig Secure abzurufen.
Verwenden Sie den Parameter ruleName, um mit der dynamischen Liste zu arbeiten.
Connector-Eingaben
Für Sysdig Secure – Events Connector sind die folgenden Parameter erforderlich:
| Parameter | Beschreibung |
|---|---|
Product Field Name |
Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist |
Event Field Name |
Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist |
Environment Field Name |
Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. |
Environment Regex Pattern |
Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Verwenden Sie den Standardwert Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung. |
Script Timeout (Seconds) |
Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist |
API Root |
Pflichtangabe. Der API-Stamm der Sysdig Secure-Instanz. Weitere Informationen zu API-Stammwerten finden Sie unter Sysdig API. |
API Token |
Pflichtangabe. Das Sysdig Secure API-Token. Weitere Informationen zum Generieren von Tokens finden Sie unter Sysdig API-Token abrufen. |
Lowest Severity To Fetch |
Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich:
|
Custom Filter Query |
Optional. Eine Abfrage zum Filtern, Eingrenzen oder Gruppieren von Ereignissen während der Aufnahme. Dieser Parameter hat Vorrang vor dem Parameter Beispiel für die Eingabe: |
Max Hours Backwards |
Pflichtangabe. Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Ereignisse abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel. Der Standardwert ist |
Max Events To Fetch |
Pflichtangabe. Die maximale Anzahl von Ereignissen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist Der Standardwert ist |
Disable Overflow |
Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig nicht ausgewählt. |
Use dynamic list as a blocklist |
Optional. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht ausgewählt. |
Verify SSL |
Optional. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Sysdig Secure-Server hergestellt wird. Nicht standardmäßig ausgewählt. |
Proxy Server Address |
Optional. Die Adresse eines zu verwendenden Proxyservers. |
Proxy Username |
Optional. Der Proxy-Nutzername für die Authentifizierung. |
Proxy Password |
Optional. Das Proxy-Passwort für die Authentifizierung. |
Connector-Regeln
Der Sysdig Secure – Events Connector unterstützt Proxys.
Connector-Ereignisse
Das Beispiel für das Ereignis Sysdig Secure – Events Connector sieht so aus:
{
"id": "ID",
"reference": "0194cd55-6752-823e-990c-380977fa3ce8",
"cursor": "PTE4MjBjYTI0NjdjZDFjYzkwMzdlZDA0NGVkNjYyNzFh",
"timestamp": "2025-02-03T19:41:53.874140361Z",
"customerId": 2002953,
"originator": "policy",
"category": "runtime",
"source": "syscall",
"rawEventOriginator": "linuxAgent",
"rawEventCategory": "runtime",
"sourceDetails": {
"sourceType": "workload",
"sourceSubType": "host"
},
"engine": "falco",
"name": "Sysdig Runtime Threat Detection",
"description": "This policy contains rules which Sysdig considers High Confidence of a security incident. They are tightly coupled to common attacker TTP's. They have been designed to minimize false positives but may still result in some depending on your environment.",
"severity": 3,
"agentId": 118055020,
"machineId": "MACHINE_ID",
"content": {
"policyId": 10339481,
"ruleName": "Find Google Cloud Credentials",
"internalRuleName": "Find Google Cloud Credentials",
"ruleType": 6,
"ruleSubType": 0,
"ruleTags": [
"host",
"container",
"MITRE",
"MITRE_TA0006_credential_access",
"MITRE_TA0007_discovery",
"MITRE_T1552_unsecured_credentials",
"MITRE_T1552.004_unsecured_credentials_private_keys",
"MITRE_T1119_automated_collection",
"MITRE_T1555_credentials_from_password_stores",
"MITRE_TA0009_collection",
"process",
"gcp",
"MITRE_T1552.003_unsecured_credentials_bash_history"
],
"output": "OUTPUT",
"fields": {
"container.id": "host",
"container.image.repository": "<NA>",
"container.image.tag": "<NA>",
"container.name": "host",
"evt.args": "ARGS_VALUE",
"evt.res": "SUCCESS",
"evt.type": "execve",
"group.gid": "1010",
"group.name": "example",
"proc.aname[2]": "sshd",
"proc.aname[3]": "sshd",
"proc.aname[4]": "sshd",
"proc.cmdline": "grep private_key example_credentials.json",
"proc.cwd": "/home/example/",
"proc.exepath": "/usr/bin/grep",
"proc.hash.sha256": "9a9c5a0c3b5d1d78952252f7bcf4a992ab9ea1081c84861381380a835106b817",
"proc.name": "grep",
"proc.pcmdline": "bash",
"proc.pid": "402495",
"proc.pid.ts": "1738611713873608827",
"proc.pname": "bash",
"proc.ppid": "385443",
"proc.ppid.ts": "1738599569497780082",
"proc.sid": "385443",
"user.loginname": "example",
"user.loginuid": "1009",
"user.name": "example",
"user.uid": "1009"
},
"falsePositive": false,
"matchedOnDefault": false,
"templateId": 1331,
"policyType": "falco",
"AlertId": 1357687,
"origin": "Sysdig"
},
"labels": {
"agent.tag.role": "datafeeder",
"cloudProvider.account.id": "ACCOUNT_ID",
"cloudProvider.name": "gcp",
"cloudProvider.region": "europe-west3",
"gcp.compute.availabilityZone": "europe-west3-c",
"gcp.compute.image": "projects/debian-cloud/global/images/debian-example",
"gcp.compute.instanceId": "INSTANCE_ID",
"gcp.compute.instanceName": "example-instance",
"gcp.compute.machineType": "e2-standard-2",
"gcp.location": "europe-west3",
"gcp.projectId": "PROJECT_ID",
"gcp.projectName": "example-project",
"host.hostName": "example-instance",
"host.id": "HOST_ID",
"orchestrator.type": "none",
"process.name": "grep private_key example_credentials.json"
}
}
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten