Varonis Data Security Platform

本文档提供了关于如何将 Varonis 数据安全平台与 Google SecOps 集成的指导。

产品应用场景

  1. 注入 Varonis 提醒，以便在 Google Security Operations 中进行分析。
  2. 更新 Google SecOps 中的 Varonis 提醒。

产品权限配置

如需将 Varonis 配置为与 Google SecOps 搭配使用，需要执行以下步骤：

  1. 需要在 DatAdvantage 部署上安装特殊的 API 补丁，请就此与 Varonis 团队联系。
  2. 将用于集成的用户应具有 DatAdavantage“Web UI User”和“DatAlertConfiguration”角色。

在 Google SecOps 中配置 Varonis Data Security Platform 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://{ip address}:{port} 是 指定目标 Varonis 数据安全 实例的 API 网址。
用户名 字符串 不适用 是 指定要连接的用户名。
密码 密码 不适用 是 指定连接时使用的密码。
验证 SSL 复选框 勾选 是 如果启用，系统会验证为 API 根配置的证书。

操作

Ping

说明

使用 Google SecOps 内容中心页面中的集成配置页面上提供的参数，测试与 Varonis Data Security Platform 的连接。

参数

不适用

Playbook 应用场景示例

该操作用于在 Google SecOps Content Hub 页面上的集成配置页面测试连接性，并且可以作为人工处置措施执行，不用于 playbook。

运行时间

此操作不会对实体运行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
N/A
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 Varonis 数据安全平台！”

操作应失败并停止 playbook 执行：

如果不成功：“Failed to connect to the Varonis 数据安全 Platform! Error is {0}".format(exception.stacktrace)

常规

更新提醒

说明

更新 Varonis 数据安全平台提醒。

参数

参数名称 类型 默认值 为必填项 说明
提醒 GUID CSV 不适用 是 指定要更新的提醒的 GUID。此操作可针对多条提醒运行。您可以指定多个提醒（以逗号分隔）。
提醒状态 DDL

选择一项

可能的值：

  • 选择一项
  • 打开
  • 正在接受调查
  • 已关闭
 是 指定要更新到的提醒状态。
关闭原因 DDL

未提供

可能的值：

  • 未提供
  • 已解决
  • 配置错误
  • 威胁模型已停用或已删除
  • 账号分类错误
  • 合法活动
  • 其他
 否 指定关闭提醒的原因。当提醒状态更改为“已关闭”时，必须指定关闭原因。

Playbook 应用场景示例

更新 Google SecOps 中的 DatAdvantage 提醒。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success=False
JSON 结果
N/A
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果提醒更新成功："Alert(s) {0} were updated successfully".format(list of alerts)

操作应失败并停止 playbook 执行：

如果未能更新提醒：“Failed to update alert(s) {0} due to following error {1}”。format（提醒列表、错误代码）

如果报告了严重错误（例如凭证错误、无法连接到服务器等），则会显示以下消息：“Failed to execute "Update Alert" action! Error is {0}".format(exception.stacktrace)

常规

连接器

Varonis 数据安全平台提醒连接器

说明

该连接器可用于从 Varonis 数据安全平台提取提醒。连接器动态列表可用于根据 Varonis 数据安全平台提醒名称过滤要提取的特定提醒。

在 Google SecOps 中配置 Varonis 数据安全平台提醒连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 device_product 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 类型 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
PythonProcessTimeout 整数 300 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://{ip address}:{port} 是 指定目标 Varonis 数据安全平台 实例的 API 网址。
用户名 字符串 不适用 是 指定要连接的用户名。
密码 密码 不适用 是 指定连接时使用的密码。
回溯的天数上限 整数 3 是 提取过去 X 天的提醒。
每个周期的提醒数量上限 整数 10 是 每个连接器周期提取 X 个提醒。
每个 Varonis 提醒的事件数量上限 整数 25 是 连接器为 Varonis Data Security Platform 提醒提取的事件数量上限。
状态 CSV 开放、正在接受调查、关闭 是 要提取的数据安全平台提醒状态。
严重级别 CSV 低、中、高 是 要提取的数据安全平台提醒严重级别。
停用溢出 复选框 勾选 否 如果启用，连接器在创建提醒时会忽略 Google SecOps 溢出机制。
将动态列表用作屏蔽名单 复选框 尚未核查 是 如果启用，连接器会将动态列表中指定的提醒名称用作屏蔽名单。它仅提取与动态列表不匹配的提醒。
验证 SSL 复选框 勾选 是 如果启用，系统会验证为 API 根配置的证书。
提醒名称模板 字符串 [Name]

如果提供，连接器会将此值用于 Google SecOps 提醒名称。

您可以使用以下格式提供占位符：[字段名称]。

示例：Varonis 提醒 - [名称]。

注意：连接器首先使用 CSOAR 事件作为占位符。

系统只会处理具有字符串值的键。

如果用户未提供任何内容或提供了无效模板，连接器将使用默认提醒名称 - [name]。
规则生成器模板 字符串 [Name]

如果提供，连接器会将此值用作 Google SecOps 规则生成器值。

您可以使用以下格式提供占位符：[字段名称]。

示例：Varonis 提醒 - [名称]。

注意：连接器首先使用 Google SecOps 事件作为占位符。

系统只会处理具有字符串值的键。

如果用户未提供任何内容或提供了无效模板，连接器将使用默认规则生成器 - [name]。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

此连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。