‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איך משלבים את Splunk עם Google SecOps

במאמר הזה מוסבר איך לשלב את Splunk עם Google SecOps.

לפני שמתחילים

לפני שמשלבים את Splunk עם Google SecOps, צריך לקבוע את שיטת ההטמעה שמתאימה לארכיטקטורת הפריסה ולוודא שהסביבה עומדת בכל הדרישות של יחסי התלות, נתיבי הרשת והרשאות הגישה.

ב-Google SecOps יש שתי שיטות להטמעת נתונים:

הטמעה מבוססת-דחיפה: המערכת של Splunk בודקת את ההתראות באופן מקומי ודוחפת את האירועים ישירות ל-Google SecOps באמצעות התוסף TA-Siemplify ופעולות של טריגרים להתראות. לא צריך להגדיר מחבר ב-Google SecOps.
הטמעה מבוססת-משיכה: המחברים של Google SecOps שולחים שאילתות לנקודות קצה של Splunk REST API כדי לאחזר התראות, תוצאות חיפוש של SPL או אירועים בולטים של Splunk ES.

הטמעה מבוססת-דחיפה

כדי להטמיע נתונים באמצעות דחיפה, צריך קישוריות HTTPS ישירה יוצאת מ-Splunk אל Google SecOps, וגם הגדרות ספציפיות של תוספים ב-Splunk Search Heads.

לפני שמגדירים הטמעה מבוססת-דחיפה, צריך לוודא שהדרישות הבאות מתקיימות:

מורידים ומתקינים את החבילה TA-Siemplify מ-Splunkbase בכל רכיבי ה-Search Head של Splunk. בסביבות מבוזרות, פורסים את התוסף באשכול Search Head באמצעות Splunk Deployer או Deployment Server.
מוודאים שגרסה תואמת של Splunk Common Information Model (Splunk_SA_CIM)‎ מותקנת ב-Search Head כדי לתמוך בהתראות מודולריות וברישום ביומן.
מוודאים של-Splunk Search Heads יש גישה לרשת יוצאת דרך HTTPS (יציאת TCP‏ 443) לכתובת ה-URL של המכונה של Google SecOps.
מוודאים שיש לכם חשבון ב-Google SecOps עם הרשאות אדמין ליצירת מפתחות API (הגדרות > מתקדם > API). מוודאים שלמפתח ה-API שנוצר מוקצה תפקיד עם הרשאות ליצירת התראות ובקשות תמיכה.
אם אתם מתכננים להטמיע אירועים גולמיים מחיפושים שמשנים את הנתונים (כמו חיפושים באמצעות stats,‏ chart או timechart), ודאו ש-dispatch.buckets = 1 מוגדר ב-savedsearches.conf ב-Search Heads.

הטמעה מבוססת-משיכה (pull)

כדי להשתמש בהטמעה מבוססת-משיכה, בפעולות של פלייבוק ובמשימות סנכרון, צריך להגדיר חיבורים אדמיניסטרטיביים נכנסים ל-Splunk ב-Google SecOps (או בסוכן מרוחק).

לפני שמגדירים מחברים, פעולות או משימות של משיכה, צריך לוודא שהדרישות הבאות מתקיימות:

קישוריות לרשת: מוודאים שיש קו ראייה ברשת מ-Google SecOps (או מהנציג המרוחק) ליציאת ה-API בארכיטקטורת REST לניהול של Splunk (ברירת המחדל: 8089/TCP).
אישור CA בהתאמה אישית: אם במכונה של Splunk נעשה שימוש באישור CA פרטי או פנימי, ודאו שאתם מריצים את גרסה 26.0 ומעלה של השילוב של Splunk ב-Google SecOps.
אימות: צריך להשיג פרטי כניסה תקינים של משתמש ב-Splunk (שם משתמש וסיסמה) או ליצור טוקן למוכ"ז של Splunk (כדי להפעיל את שיטת האימות הזו בפלטפורמת Splunk, נדרש אימות באמצעות טוקן).
יכולות של תפקידים ב-Splunk: ודאו שלחשבון Splunk שמשמש לאימות יש תפקיד עם היכולות הבאות:
- search
- schedule_search
- edit_tcp (חובה רק אם משתמשים בפעולה שליחת אירוע)
- ‫edit_notable_events (נדרש רק אם משתמשים בפעולה Update Notable Events או במשימות סנכרון של Splunk ES)
הרשאות למאגר הנתונים ולחיפוש: ודאו שלחשבון המאמת יש גישה למאגרי הנתונים הרלוונטיים של Splunk בשביל הרכיבים שבחרתם:
- מחבר משיכה של Splunk: הרשאות קריאה לטבלת החיפוש siemplify_alerts (מאוכלסת כש-TA-Siemplify מותקן ומוגדר במצב משיכה).
- מחבר ופעולות של שאילתות Splunk:
  - הרשאות חיפוש באינדקסים של אירועי היעד (לא נדרש TA-Siemplify).
  - הרשאות כתיבה וקלט באינדקס היעד, אם משתמשים בפעולה Submit Event.
- Splunk ES – מחבר אירועים בולטים ומשימות: התקנה פעילה של Splunk Enterprise Security (ES), הרשאות קריאה לאינדקס notable וגישה לפקודת המאקרו get_notable_index (לא נדרשת TA-Siemplify).

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
כתובת השרת	String	{SCHEMA}://{IP}:{PORT}	כן	הכתובת של שרת Splunk.
שם משתמש	String	לא רלוונטי	לא	כתובת האימייל של המשתמש שצריך להשתמש בה כדי להתחבר ל-Splunk.
סיסמה	סיסמה	לא רלוונטי	לא	הסיסמה של המשתמש הרלוונטי.
טוקן API	סיסמה	לא רלוונטי	לא	טוקן API של Splunk. כשהשדה הזה לא ריק, לטוקן ה-API יש עדיפות על פני שיטות אימות אחרות.
אימות SSL	תיבת סימון	התיבה לא מסומנת	לא	צריך לסמן את התיבה הזו אם החיבור ל-Splunk דורש אימות SSL (לא מסומנת כברירת מחדל).
קובץ אישור CA	String	לא רלוונטי	לא	קובץ אישור CA בקידוד Base 64.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים תגובה לפעולות בהמתנה מ-Your Workdesk וביצוע פעולה ידנית.

קבלת אירועים של המארח

קבלת אירועים שקשורים למארחים ב-Splunk.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
הגבלה על מספר האירועים לכל מארח	מספר שלם	100	כן	מציינים כמה אירועים להחזיר לכל מארח.
תוצאות מ:	String	לפני 24 שעות	כן	מציינים את שעת ההתחלה של האירועים.
תוצאות עד	String	עכשיו	כן	מציינים את שעת הסיום של האירועים.
שדות של תוצאות	CSV	לא רלוונטי	לא	צריך לציין רשימה מופרדת בפסיקים של שדות שצריך להחזיר.
אינדקס	String	לא רלוונטי	לא	ציינו באיזה אינדקס להשתמש כשמחפשים אירועים שקשורים למארח. אם לא צוין אינדקס, הפעולה לא תשתמש באינדקס.
מפתח מארח	String	מארח	לא	מציינים באיזה מפתח צריך להשתמש כדי לקבל מידע על אירועים במארח. ברירת המחדל: מארח.

ריצה

הפעולה הזו פועלת על הישות "שם מארח".

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
הפעולה בוצעה	נכון/לא נכון	success:False

תוצאת JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

קיר נרתיקים

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הצליחה ויש תוצאות: "Successfully returned events for the following hosts in Splunk: \n {0}".format(entity.identifier) אם הפעולה הצליחה ואין תוצאות זמינות לחלק מהמארחים: "No events were found for the following hosts in Splunk:\n {0}".format(entity.identifier) אם הפעולה הצליחה ואין תוצאות זמינות לכולם: "לא נמצאו אירועים למארחים שצוינו ב-Splunk" הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה 'קבלת אירועים מהמארח'. הסיבה: {0}''.format(error.Stacktrace) אם השגיאה היא 400: "Error executing action "Get Host Events".‎ Reason: {0}''.format(messages/text)	כללי
שולחן קיר עם ארונית	שם: אירועים של {Entity.identifier} עמודות: בהתאם לתוצאות.

סוג התוצאות

ערך / תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ויש תוצאות: "Successfully returned events for the following hosts in Splunk: \n {0}".format(entity.identifier)

אם הפעולה הצליחה ואין תוצאות זמינות לחלק מהמארחים: "No events were found for the following hosts in Splunk:\n {0}".format(entity.identifier)

אם הפעולה הצליחה ואין תוצאות זמינות לכולם: "לא נמצאו אירועים למארחים שצוינו ב-Splunk"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה 'קבלת אירועים מהמארח'. הסיבה: {0}''.format(error.Stacktrace)

אם השגיאה היא 400: "Error executing action "Get Host Events".‎ Reason: {0}''.format(messages/text)

כללי

שולחן קיר עם ארונית

שם: אירועים של {Entity.identifier}

עמודות: בהתאם לתוצאות.

פינג

בודקים את הקישוריות ל-Splunk באמצעות הפרמטרים שצוינו בדף הגדרת השילוב ב-Google SecOps Content Hub.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא פועלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success:False

קיר נרתיקים

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הצליחה: "Successfully connected to the Splunk server with the provided connection parameters!" הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם הפעולה נכשלה: "החיבור לשרת Splunk נכשל! השגיאה היא {0}".format(exception.stacktrace)	כללי

סוג התוצאות

ערך / תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:
אם הפעולה הצליחה: "Successfully connected to the Splunk server with the provided connection parameters!"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:
אם הפעולה נכשלה: "החיבור לשרת Splunk נכשל! השגיאה היא {0}".format(exception.stacktrace)

כללי

Splunk Csv Viewer

פרמטרים

פרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
תוצאות	מחרוזת	לא רלוונטי	כן	תוצאות גולמיות.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_succeed	נכון/לא נכון	is_succeed:False

SplunkQuery

מריצים שאילתה ב-Splunk.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
מצב חיפוש	DDL	Smart ערכים אפשריים: רישום מפורט (verbose) Smart זריז	לא	מציינים את המצב לביצוע החיפוש.
שאילתה	String		כן	מציינים את השאילתה שצריך להריץ. דוגמה: index="_internal"‎
מגבלה על מספר התוצאות	מספר שלם	100	לא	מציינים כמה תוצאות להחזיר. הערה: הפרמטר הזה מוסיף את מילת המפתח "head" לשאילתה שצוינה. ברירת המחדל היא 100.
תוצאות מ:	String	לפני 24 שעות	לא	מציינים את שעת ההתחלה של השאילתה. ברירת המחדל: ‎-24h
תוצאות אל	String	עכשיו	לא	מציינים את שעת הסיום של השאילתה. ברירת המחדל: עכשיו.
שדות של תוצאות	CSV		לא	צריך לציין רשימה מופרדת בפסיקים של שדות שצריך להחזיר. הערה: הפרמטר הזה מוסיף את מילת המפתח "fields" לשאילתה שצוינה.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_succeed	נכון/לא נכון	is_succeed:False

תוצאת JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

קיר נרתיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הצליחה ויש תוצאות: "Successfully returned results for the query "{0}" in Splunk".format(query) אם הפעולה בוצעה בהצלחה ואין תוצאות: "No results were found for the query "{0}" in Splunk".format(query) הודעה אסינכרונית: "Waiting for query {0} to finish execution.".format(query name) הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה "SplunkQuery". הסיבה: {0}''.format(error.Stacktrace) אם השגיאה היא 400: "Error executing action "SplunkQuery".‎ Reason: {0}''.format(messages/text)	כללי
שולחן קיר עם ארונית	שם: תוצאות השאילתה ב-Splunk עמודות – על סמך התוצאות.	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ויש תוצאות: "Successfully returned results for the query "{0}" in Splunk".format(query)

אם הפעולה בוצעה בהצלחה ואין תוצאות: "No results were found for the query "{0}" in Splunk".format(query)

הודעה אסינכרונית: "Waiting for query {0} to finish execution.".format(query name)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה "SplunkQuery". הסיבה: {0}''.format(error.Stacktrace)

אם השגיאה היא 400: "Error executing action "SplunkQuery".‎ Reason: {0}''.format(messages/text)

כללי

שולחן קיר עם ארונית

שם: תוצאות השאילתה ב-Splunk

עמודות – על סמך התוצאות.

כללי

שליחת האירוע

שליחת האירוע ל-Splunk.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
אינדקס	String	ראשי	כן	מציינים את האינדקס שבו צריך ליצור את האירוע.
אירוע	String	לא רלוונטי	כן	מציינים את האירוע הגולמי שצריך לשלוח.
מארח	String	לא רלוונטי	לא	צריך לציין את המארח שקשור לאירוע.
מקור	String	לא רלוונטי	לא	מציינים את מקור האירוע. דוגמה: www.‎
Sourcetype	String	לא רלוונטי	לא	מציינים את סוג המקור של האירוע. דוגמה: web_event

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
הפעולה בוצעה	נכון/לא נכון	success:False

תוצאת JSON

{
    "index": "default",
    "bytes": 70,
    "host": "dogo",
    "source": "www",
    "sourcetype": "web_event"
}

קיר נרתיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הצליחה: "Successfully added a new event to index "{0}" in Splunk.".format(index) הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה 'שליחת אירוע'. הסיבה: {0}''.format(error.Stacktrace) אם השגיאה היא 400: "Error executing action "Submit Event".‎ Reason: {0}''.format(messages/text)	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה: "Successfully added a new event to index "{0}" in Splunk.".format(index)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה 'שליחת אירוע'. הסיבה: {0}''.format(error.Stacktrace)

אם השגיאה היא 400: "Error executing action "Submit Event".‎ Reason: {0}''.format(messages/text)

כללי

עדכון אירועים בולטים

עדכון אירועים בולטים ב-Splunk ES.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
מזהי אירועים בולטים	CSV	לא רלוונטי	כן	צריך לציין את המזהים של האירועים החשובים. דוגמה: 1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7@@notable@@cb87390ae72763679d3f6f8f097ebe2b,1D234D5B-1531-2D2B-BB94-41C439BE12B7@@notable@@cb87390ae72763679d3f6f8f097ebe2b
סטטוס	DDL	יש לבחור טווח ערכים אפשריים: יש לבחור טווח לא הוקצה חדש בתהליך בהמתנה הסתיים סגור	כן	מציינים את הסטטוס החדש של האירועים החשובים.
דחיפות	DDL	יש לבחור טווח ערכים אפשריים: יש לבחור טווח קריטית גבוהה בינוני נמוכה לצורך מידע	כן	מציינים את רמת הדחיפות החדשה של האירוע החשוב.
הבעלים החדש	String	לא רלוונטי	כן	מציינים את הבעלים החדשים של האירוע החשוב.
תגובה	String	לא רלוונטי	כן	מציינים את ההערה לאירוע החשוב.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success:False

קיר נרתיקים

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם התגובה הצליחה ויש נתונים זמינים (is_success=true) print "Successfully updated {0} notable events in Splunk.".format(count(notable_events))‎ אם העדכון נכשל (status_code=400, is_success=false): print "Action wasn't able to update notable events. Reason:{0}".format(string_from_response) הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או בעיה אחרת: print "Error executing action "Update Notable Events". הסיבה: {0}''.format(error.Stacktrace)	כללי

סוג התוצאות

ערך / תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם התגובה הצליחה ויש נתונים זמינים (is_success=true)

print "Successfully updated {0} notable events in Splunk.".format(count(notable_events))‎

אם העדכון נכשל (status_code=400, is_success=false):

print "Action wasn't able to update notable events. Reason:{0}".format(string_from_response)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או בעיה אחרת:

print "Error executing action "Update Notable Events". הסיבה: {0}''.format(error.Stacktrace)

כללי

הרצת שאילתת ישות

מריצים שאילתת ישות ב-Splunk.

איך עובדים עם פרמטרים של פעולות?

הפעולה הזו מאפשרת לאחזר במהירות מידע שקשור לישויות. לדוגמה, אפשר לפתור את תרחיש השימוש שבו רוצים לראות את כמות האירועים של נקודות הקצה (endpoints) שמושפעות מהגיבובים שסופקו, בלי לבנות שאילתה מסובכת. כדי לפתור את הבעיה הזו ב-Splunk, צריך להכין את השאילתה הבאה: index="main" | where (device_ip="10.0.0.1" or device_ip="10.12.12.12") and (hash="bad_hash_1" or hash="bad_hash_2") כדי ליצור את אותה שאילתה באמצעות הפעולה Execute Entity Query, צריך למלא את הפרמטרים של הפעולה באופן הבא:

שאילתה	index="main"
מפתח ישות של כתובת IP	device_ip
מפתח ישות של גיבוב (hash) של קובץ	hash
אופרטור חוצה ישויות	וגם

אפשר להשאיר את כל שאר השדות ריקים.

אם תרצו לראות כמה נקודות קצה הושפעו מהגיבובים שסופקו, ההגדרה של Execute Entity Query תיראה כך:

שאילתה	index="main"
מפתח ישות של גיבוב (hash) של קובץ	hash

במצב כזה, ל-Cross Entity Operator לא תהיה השפעה, כי הוא משפיע על השאילתה רק כשמציינים כמה Entity Keys.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
מצב חיפוש	DDL	Smart ערכים אפשריים: רישום מפורט (verbose) Smart זריז	לא	מציינים את המצב לביצוע החיפוש.
שאילתה	String		כן	מציינים את השאילתה שצריך להריץ בלי הסעיף "Where". דוגמה: index="_internal"‎
מגבלה על מספר התוצאות	מספר שלם	100	לא	מציינים כמה תוצאות להחזיר. הערה: הפרמטר הזה מוסיף את מילת המפתח "head" לשאילתה שצוינה. ברירת המחדל היא 100.
תוצאות מ:	String	לפני 24 שעות	לא	מציינים את שעת ההתחלה של השאילתה. ברירת המחדל: ‎-24h
תוצאות אל	String	עכשיו	לא	מציינים את שעת הסיום של השאילתה. ברירת המחדל: עכשיו.
שדות של תוצאות	CSV	לא רלוונטי	לא	צריך לציין רשימה מופרדת בפסיקים של שדות שצריך להחזיר. הערה: הפרמטר הזה מוסיף את מילת המפתח "fields" לשאילתה שצוינה.
מפתח ישות של כתובת IP	String	לא רלוונטי	לא	צריך לציין באיזה מפתח להשתמש עם ישויות IP. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח הישות של שם המארח	String	לא רלוונטי	לא	צריך לציין באיזה מפתח להשתמש עם ישויות של שם מארח, כשמכינים את ה- . פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות של גיבוב (hash) של קובץ	String	לא רלוונטי	לא	צריך לציין באיזה מפתח להשתמש עם ישויות של גיבוב קבצים. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות המשתמש	String	לא רלוונטי	לא	צריך לציין באיזה מפתח להשתמש עם ישויות של משתמשים. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות של כתובת URL	String	לא רלוונטי	לא	ציינו באיזה מפתח צריך להשתמש עם ישויות של כתובות URL. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות של כתובת אימייל	String	לא רלוונטי	לא	צריך לציין באיזה מפתח להשתמש עם ישויות של כתובות אימייל. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
עצירה אם אין מספיק ישויות	תיבת סימון	סימן אישור	כן	אם ההגדרה מופעלת, הפעולה לא תתחיל לפעול, אלא אם כל סוגי הישויות זמינים עבור ".. מפתחות ישות" שצוינו. דוגמה: אם צוינו "מפתח ישות של כתובת IP" ו "מפתח ישות של גיבוב קובץ", אבל בהיקף אין גיבובי קבצים, והפרמטר הזה מופעל, הפעולה לא תריץ את השאילתה.
אופרטור חוצה ישויות	DDL	או ערכים אפשריים: או וגם	כן	צריך לציין מה צריך להיות האופרטור הלוגי שבו נעשה שימוש בין סוגי ישויות שונים.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

כתובת IP
מארח
משתמש
גיבוב (hash)
כתובת URL

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_succeed	נכון/לא נכון	is_succeed:False

תוצאת JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

קיר נרתיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הצליחה ויש תוצאות: "Successfully returned results for the query "{0}" in Splunk".format(query) אם הפעולה בוצעה בהצלחה ואין תוצאות: "No results were found for the query "{0}" in Splunk".format(query) הודעה אסינכרונית: "Waiting for query {0} to finish execution.".format(query name) אם האפשרות "עצירה אם אין מספיק ישויות" מופעלת ואין מספיק סוגי ישויות זמינים ל"מפתחות הישויות" שצוינו (is_success=false): הפעולה לא הצליחה ליצור את השאילתה כי לא סופקו מספיק סוגי ישויות ל"מפתחות הישויות" שצוינו. צריך להשבית את הפרמטר "עצירה אם אין מספיק ישויות" או לספק לפחות ישות אחת לכל "מפתח ישות" שצוין. הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה "ביצוע שאילתת ישות". הסיבה: {0}''.format(error.Stacktrace) אם השגיאה היא 400: "Error executing action "Execute Entity Query".‎ Reason: {0}''.format(messages/text)	כללי
שולחן קיר עם ארונית	שם: תוצאות השאילתה ב-Splunk עמודות: בהתאם לתוצאות.	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ויש תוצאות: "Successfully returned results for the query "{0}" in Splunk".format(query)

אם הפעולה בוצעה בהצלחה ואין תוצאות: "No results were found for the query "{0}" in Splunk".format(query)

הודעה אסינכרונית: "Waiting for query {0} to finish execution.".format(query name)

אם האפשרות "עצירה אם אין מספיק ישויות" מופעלת ואין מספיק סוגי ישויות זמינים ל"מפתחות הישויות" שצוינו (is_success=false): הפעולה לא הצליחה ליצור את השאילתה כי לא סופקו מספיק סוגי ישויות ל"מפתחות הישויות" שצוינו. צריך להשבית את הפרמטר "עצירה אם אין מספיק ישויות" או לספק לפחות ישות אחת לכל "מפתח ישות" שצוין.

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה "ביצוע שאילתת ישות". הסיבה: {0}''.format(error.Stacktrace)

אם השגיאה היא 400: "Error executing action "Execute Entity Query".‎ Reason: {0}''.format(messages/text)

כללי

שולחן קיר עם ארונית

שם: תוצאות השאילתה ב-Splunk

עמודות: בהתאם לתוצאות.

כללי

מחברים

איך מגדירים מחברים ב-Google SecOps?

הערה: כדי למנוע אובדן נתונים, המחברים משתמשים בהשטחת אירועים. אם התראה גולמית מכילה רשימה של ישויות (כמו כמה כתובות אימייל, שמות מארחים או כתובות IP), המחברים משטיחים אותן באופן אוטומטי לאירועים נפרדים וייחודיים.

לדוגמה, התראה גולמית אחת שמכילה שלוש כתובות אימייל שונות נטמעת כשלושה אירועים נפרדים, שכל אחד מהם מכיל כתובת אימייל ייחודית אחת.

התהליך הזה מבטיח שכל ישות תתווסף לאינדקס בצורה נכונה כנכס ייחודי, כך שאפשר יהיה לחפש אותה ולבצע בה פעולות בפלייבוקים.

מחבר השאילתות של Splunk

המחבר שולח שאילתות שהן חלק מהרשימה הדינמית (whitelist), מאחזר תוצאות ויוצר אירוע על סמך התוצאות שאוחזרו.

שאילתות לדוגמה ב-Splunk לצפייה ביומנים

צריך להזין את השאילתות בתור כללים של רשימה דינמית (whitelist).
בשאילתות חיפוש עם כמה מסננים, צריך להשתמש ברווח כמפריד בין מסנני החיפוש, לדוגמה, index=cim_modactions sourcetype=modular_alerts:risk.
אם משתמשים בכמה כללים של רשימה דינמית (whitelist) במקום להזין כמה מסנני חיפוש מופרדים ברווחים באותו כלל, מתבצע חיפוש נפרד לכל כלל שנוסף.
- index=cim_modactions
- sourcetype=modular_alerts:send_data_to_siemplify
- index=_internal sourcetype=splunkd
- component=sendmodalert
- action=send_data_to_siemplify
- index=_internal source=/opt/splunk/var/log/splunk/send_data_to_siemplify_modalert.log

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

פרמטרים
`Product Field Name`	חובה מזינים את שם שדה המקור כדי לאחזר את השם של `Product Field`. ערך ברירת המחדל הוא `device_product`.
`Event Field Name`	חובה מזינים את שם השדה של המקור כדי לאחזר את השם של `Event Field`. ערך ברירת המחדל הוא `app`.
`API Root`	חובה כתובת ה-URL הבסיסית של ה-API של המכונה של Splunk. ערך ברירת המחדל הוא `https://IP:8089`.
`Username`	חובה שם המשתמש של החשבון ב-Splunk.
`Password`	חובה הסיסמה של חשבון Splunk.
`API Token`	אופציונלי טוקן API של Splunk. אם יש ערך כלשהו בשדה הזה, לאסימון ה-API יש עדיפות על פני שיטות אימות אחרות.
`Verify SSL`	חובה אם האפשרות מסומנת, המערכת מאמתת שאישור ה-SSL לחיבור לשרת CrowdStrike תקף. האפשרות הזו לא מסומנת כברירת מחדל.
`Environment Field Name`	אופציונלי שם השדה שבו מאוחסן שם הסביבה.
`Rule Generator Field`	חובה שם השדה שמשמש למיפוי הערך של מחולל הכללים.
`Alert Name Field Name`	חובה שם ההתראה.
`Events Count Limit Per Query`	אופציונלי המספר המקסימלי של אירועים שאפשר לאחזר בכל שאילתה.
`Max Day Backwards`	אופציונלי מספר הימים שמהם יאוחזרו אירועים.
`Aggregate Events Query`	אופציונלי אם ההגדרה מופעלת, המחבר ישלב את כל האירועים בהתראה אחת. מושבתת כברירת מחדל.
`PythonProcessTimeout (Seconds)`	חובה מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 60 שניות.
`Proxy Server Address`	אופציונלי כתובת שרת ה-Proxy שבו רוצים להשתמש.
`Proxy Username`	אופציונלי שם המשתמש של שרת ה-Proxy לאימות.
`Proxy Password`	אופציונלי סיסמת שרת ה-Proxy לאימות.
`Environment Regex Pattern`	אופציונלי תבנית של ביטוי רגולרי להרצה על הערך שנמצא בשדה `Environment Field Name`. ערך ברירת המחדל `.*` כולל את הכול ומחזיר את הערך ללא שינוי. הפרמטר מאפשר לכם לשנות את השדה "סביבה" באמצעות הלוגיקה של הביטוי הרגולרי. אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.

כללי מחברים

המחבר תומך בשרת proxy.

Splunk Pull Connector

אפשר למשוך התראות ואירועים מ-Splunk אל Google SecOps.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

פרמטרים
`Product Field Name`	חובה מזינים את שם שדה המקור כדי לאחזר את השם של `Product Field`. ערך ברירת המחדל הוא `device_product`.
`Event Field Name`	חובה מזינים את שם השדה של המקור כדי לאחזר את השם של `Event Field`. ערך ברירת המחדל הוא `name`.
`Environment Field Name`	אופציונלי שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה שמתקבלת היא `""`. ערך ברירת המחדל הוא `""`.
`Environment Regex Pattern`	אופציונלי תבנית של ביטוי רגולרי להרצה על הערך שנמצא בשדה `Environment Field Name`. ערך ברירת המחדל `.*` כולל את הכול ומחזיר את הערך ללא שינוי. הפרמטר מאפשר לכם לשנות את השדה "סביבה" באמצעות הלוגיקה של הביטוי הרגולרי. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא `""`.
`PythonProcessTimeout (Seconds)`	חובה מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 60 שניות.
`Server Address`	חובה כתובת ה-IP של שרת ה-API של Splunk.
`Port`	חובה היציאה של המכונה ב-Splunk. ערך ברירת המחדל הוא `8089`.
`Username`	חובה שם המשתמש של החשבון ב-Splunk.
`Password`	חובה הסיסמה של חשבון Splunk.
`Time Frame`	אופציונלי מסגרת הזמן לאחזור ההתראות. ערך ברירת המחדל הוא שעה אחת. דוגמאות: אם הערך מוגדר לדקה אחת, המחבר מאחזר התראות החל מדקה אחת לפני כן. אם הערך מוגדר ל-3 שעות, המחבר מאחזר התראות החל מלפני 3 שעות. אם הערך מוגדר ליום אחד או לשבוע אחד, המחבר מאחזר התראות החל מיום אחד (24 שעות) או משבוע אחד לפני כן, בהתאמה.
`Alerts Count Limit`	אופציונלי מספר ההתראות שהמחבר מחזיר בכל איטרציה. ערך ברירת המחדל הוא 100.
`Use SSL`	אופציונלי מסמנים את התיבה כדי להפעיל את החיבור ל-SSL או ל-TLS. האפשרות הזו לא מסומנת כברירת מחדל.
`Proxy Server Address`	אופציונלי כתובת שרת ה-Proxy שבו רוצים להשתמש.
`Proxy Username`	אופציונלי שם המשתמש של שרת ה-Proxy לאימות.
`Proxy Password`	אופציונלי סיסמת שרת ה-Proxy לאימות.

כללי מחברים

המחבר תומך בשרת proxy.

Splunk ES – מחבר אירועים בולטים

הטמעת אירועים חשובים מ-Splunk ES.

הגדרת העדיפות של בקשת התמיכה

העדיפות של בקשת התמיכה מוגדרת על ידי הפרמטר Urgency באירוע החשוב. רק הפרמטר הזה נלקח בחשבון כשמטמיעים את האירוע החשוב ב-Google SecOps.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

פרמטרים
`Product Field Name`	חובה מזינים את שם שדה המקור כדי לאחזר את השם של `Product Field`. ערך ברירת המחדל הוא `Product Name`.
`Event Field Name`	חובה מזינים את שם השדה של המקור כדי לאחזר את השם של `Event Field`. ערך ברירת המחדל הוא `index`.
`Environment Field Name`	אופציונלי שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, המערכת משתמשת בסביבת ברירת המחדל. ערך ברירת המחדל הוא `""`.
`Environment Regex Pattern`	אופציונלי תבנית של ביטוי רגולרי להרצה על הערך שנמצא בשדה `Environment Field Name`. ערך ברירת המחדל `.*` כולל את הכול ומחזיר את הערך ללא שינוי. הפרמטר מאפשר לכם לשנות את השדה "סביבה" באמצעות הלוגיקה של הביטוי הרגולרי. אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
`Script Timeout (Seconds)`	חובה מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180 שניות.
`Server Address`	חובה כתובת השרת של המכונה ב-Splunk. ערך ברירת המחדל הוא `https://:8089`.
`Username`	אופציונלי שם המשתמש של החשבון ב-Splunk.
`Password`	אופציונלי הסיסמה של חשבון Splunk.
`API Token`	חובה טוקן API של Splunk. אם יש ערך כלשהו בשדה הזה, לאסימון ה-API יש עדיפות על פני שיטות אימות אחרות.
`Lowest Urgency To Fetch`	חובה רמת הדחיפות הנמוכה ביותר שמשמשת לאחזור אירועים חשובים. הערכים שאפשר לבחור הם: `Informational` `Low` `Medium` `High` `Critical` ערך ברירת המחדל הוא `Medium`.
`Fetch Max Hours Backwards`	אופציונלי מספר השעות שמהן יאוחזרו אירועים חשובים. ערך ברירת המחדל הוא שעה אחת.
`Only Drilldown Events`	אופציונלי אם האפשרות מופעלת, המחבר מנסה לאחזר אירועי פירוט בלי לאחזר אירועי בסיס. כדי להשתמש בפרמטר הזה, צריך להפעיל את האפשרות `Fetch Base Events`. מושבתת כברירת מחדל.
`Padding Time`	אופציונלי מספר השעות שישמשו כזמן הכנה. אם לא מציינים ערך, הפרמטר הזה לא רלוונטי. הערך המקסימלי הוא 12 שעות.
`Max Notable Events To Fetch`	אופציונלי מספר האירועים החשובים לעיבוד בכל איטרציה של מחבר. ערך ברירת המחדל הוא 10.
`Use whitelist as a blacklist`	חובה אם המדיניות מופעלת, הרשימה הדינמית משמשת כרשימת חסימה. מושבתת כברירת מחדל.
`Verify SSL`	חובה אם האפשרות מסומנת, המערכת מאמתת שאישור ה-SSL לחיבור לשרת CrowdStrike תקף. האפשרות הזו לא מסומנת כברירת מחדל.
`Proxy Server Address`	אופציונלי כתובת שרת ה-Proxy שבו רוצים להשתמש.
`Proxy Username`	אופציונלי שם המשתמש של שרת ה-Proxy לאימות.
`Proxy Password`	אופציונלי סיסמת שרת ה-Proxy לאימות.
`Query Filter`	אופציונלי מסנן שאילתות נוסף שנשלח אל Splunk כדי לקבל אירועים בולטים. הערך שצוין כאן מצורף לסעיף השאילתה WHERE.
`Extract Base Events`	אופציונלי אם המדיניות מופעלת, המחבר מחלץ אירועי בסיס שקשורים לאירוע הבולט באמצעות מידע על המשימה. במקרים אחרים, המחבר יוצר אירוע ב-Google SecOps על סמך האירוע החשוב. אם הפרמטר הזה מוגדר לערך `True` אבל המחבר לא יכול לעבוד עם משימות, המחבר משתמש במידע על אירועים בולטים כמנגנון חלופי. מופעלת כברירת מחדל.
`Multivalue Fields`	אופציונלי רשימה מופרדת בפסיקים של שדות שמכילים כמה ישויות. לדוגמה, אם שדה מכיל שני שמות מארחים, האירוע החשוב מפוצל לשני אירועים ב-Google SecOps כדי למפות ישויות בצורה נכונה.
`Notable Event Data Along Base Event`	אופציונלי אם האפשרות הזו מופעלת, המחבר מוסיף אירועים של Google SecOps על סמך האירוע החשוב, בנוסף לאירועים הבסיסיים. מושבתת כברירת מחדל.
`Rule Generator Field Name`	אופציונלי שם השדה שמשמש למיפוי הערך של מחולל הכללים. רק המידע על האירוע החשוב עצמו משמש למיפוי, והאירועים לא נכללים. אם צוין ערך לא חוקי, המחבר מגדיר את השדה לערך `rule_name`.
`Alert Name Source`	אופציונלי המקור של שם ההתראה. הערכים שאפשר לבחור הם: `Search Name` `Rule Name` ערך ברירת המחדל הוא `Search Name`.
`Alert Start Time Field`	אופציונלי שדה מ-Splunk Notable Event שישמש כ-`start_time` של ההתראה. אם השדה ריק, לא תקין או שלא ניתן לנתח אותו כחותמת זמן, המחבר חוזר לפעולת ברירת המחדל באמצעות השדה `_time`.

איך משתמשים בפרמטר `Query Filter`

אם צריך לצמצם את האירועים החשובים על סמך פרמטרים ספציפיים, משתמשים בפרמטר Query Filter. הערך שצוין בפרמטר הזה מצורף לסעיף WHERE של השאילתה שנשלחה כדי לקבל אירועים בולטים.

דוגמה לשאילתה שנשלחה:

(`get_notable_index` OR `get_sequenced_index`) | eval `get_event_id_meval`,
rule_id=event_id | tags outputfield=tag | `mvappend_field(tag,orig_tag)` |
`notable_xref_lookup` | `get_correlations` | `get_current_status` | `get_owner`
| `get_urgency` | typer | where (urgency="medium" AND urgency="low") AND
(status_label="Unassigned" OR status_label="New")  | tail 50 | fields *

לדוגמה, אם Query Filter = isTesting = True, השאילתה תיראה כך:

search (`get_notable_index` OR `get_sequenced_index`) | eval epoch=_time | eval
`get_event_id_meval`,rule_id=event_id | tags outputfield=tag |
`mvappend_field(tag,orig_tag)` | `notable_xref_lookup` | `get_correlations` |
`get_current_status` | `get_owner` | `get_urgency` | typer | where
(urgency!="informational" AND urgency!="low" **AND isTesting = "True"**) |
fields *

כללי מחברים

המחבר של Splunk ES משתמש ברשימה דינמית וברשימת חסימה (whitelist ו-blacklist). המחבר משתמש בשדה search_name מהאירוע כדי להשוות אותו לרשימה הדינמית.

אירוע של מחבר

[{
    "indicator": "2012/06/29_21:50", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-578a9be5-0e03-4ec0-940d-4b1842f40fd0", 
    "date_last": "2020-07-15 08:12:07 AM",
"Url": "indicator"
  },{
    "indicator": "2010/12/19_16:35", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-52cadd07-330a-45fd-962f-32e22d36a89a", 
    "date_last": "2020-07-15 08:12:07 AM"
  }]

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ו תזמון מתקדם.

סנכרון אירועים סגורים ב-Splunk ES

סנכרון של אירועים בולטים שנסגרו ב-Splunk ES והתראות ב-Google SecOps.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
כתובת השרת	String	https://`IP`:8089	כן	כתובת השרת של המכונה ב-Splunk.
שם משתמש	String	לא רלוונטי	לא	שם המשתמש של החשבון ב-Splunk.
סיסמה	סיסמה	לא רלוונטי	לא	הסיסמה של חשבון Splunk.
טוקן API	סיסמה	לא רלוונטי	כן	טוקן API של Splunk. כשהשדה הזה לא ריק, לטוקן ה-API יש עדיפות על פני שיטות אימות אחרות.
מספר השעות המקסימלי אחורה	מספר שלם	24	כן	מציינים כמה שעות אחורה לסנכרן את הסטטוסים. ברירת המחדל: 24 שעות.
אימות SSL	תיבת סימון	סימן אישור	כן	אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Splunk תקף.

סנכרון הערות ב-Splunk ES

המשימה הזו תסנכרן את התגובות באירועים של Splunk ES ובבקשות התמיכה של Google SecOps.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
כתובת השרת	String	https://`IP`:8089	כן	כתובת השרת של המכונה ב-Splunk.
שם משתמש	String	לא רלוונטי	לא	שם המשתמש של החשבון ב-Splunk.
סיסמה	סיסמה	לא רלוונטי	לא	הסיסמה של חשבון Splunk.
טוקן API	סיסמה	לא רלוונטי	כן	טוקן API של Splunk. כשהשדה הזה לא ריק, לטוקן ה-API יש עדיפות על פני שיטות אימות אחרות.
אימות SSL	תיבת סימון	סימן אישור	כן	אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Splunk תקף.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.

איך משלבים את Splunk עם Google SecOps

לפני שמתחילים

הטמעה מבוססת-דחיפה

הטמעה מבוססת-משיכה (pull)

פרמטרים של שילוב

פעולות

קבלת אירועים של המארח

פרמטרים

ריצה

תוצאות הפעולה

תוצאת הסקריפט

תוצאת JSON

קיר נרתיקים

פינג

פרמטרים

ריצה

תוצאות הפעולה

תוצאת הסקריפט

קיר נרתיקים

Splunk Csv Viewer

פרמטרים

ריצה

תוצאות הפעולה

תוצאת הסקריפט

SplunkQuery

פרמטרים

ריצה

תוצאות הפעולה

תוצאת הסקריפט

תוצאת JSON

קיר נרתיקים

שליחת האירוע

פרמטרים

ריצה

תוצאות הפעולה

תוצאת הסקריפט

תוצאת JSON

קיר נרתיקים

עדכון אירועים בולטים

פרמטרים

ריצה

תוצאות הפעולה

תוצאת הסקריפט

קיר נרתיקים

הרצת שאילתת ישות

איך עובדים עם פרמטרים של פעולות?

פרמטרים

ריצה

תוצאות הפעולה

תוצאת הסקריפט

תוצאת JSON

קיר נרתיקים

מחברים

מחבר השאילתות של Splunk

שאילתות לדוגמה ב-Splunk לצפייה ביומנים

פרמטרים של מחברים

כללי מחברים

Splunk Pull Connector

פרמטרים של מחברים

כללי מחברים

Splunk ES – מחבר אירועים בולטים

הגדרת העדיפות של בקשת התמיכה

פרמטרים של מחברים

איך משתמשים בפרמטר Query Filter

כללי מחברים

אירוע של מחבר

תעסוקה

סנכרון אירועים סגורים ב-Splunk ES

פרמטרים

סנכרון הערות ב-Splunk ES

פרמטרים

איך משתמשים בפרמטר `Query Filter`