Nozomi Networks

Versão de integração: 5.0

Exemplos de utilização

  • Enriquecer as informações sobre os recursos.
  • Executar consultas na instalação do Nozomi.
  • Execute comandos da CLI na instalação do Nozomi.

Configure a integração da Nozomi Networks no Google Security Operations

Para obter instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
URL da API String https://x.x.x.x:port Sim URL da API Nozomi para estabelecer ligação
Nome de utilizador String N/A Sim Nome de utilizador da conta Nozomi a usar para a associação
Palavra-passe Palavra-passe N/A Sim Palavra-passe da conta Nozomi a usar para a ligação
Validar SSL Caixa de verificação Desmarcado Não Especifique se o certificado do URL da API deve ser validado antes da ligação.
Certificado da AC String N/A Não

Ações

Tchim-tchim

Descrição

Teste a conetividade à instância do Nozomi Networks com os parâmetros fornecidos na página de configuração da integração no separador Google Security Operations Marketplace.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores
is_success is_success=False
is_success is_success=True
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

  • Se for bem-sucedido: imprima "Ligação à instância da Nozomi Networks estabelecida com êxito com os parâmetros de ligação fornecidos!"

A ação deve falhar e parar a execução de um guia interativo:

  • Se ocorrer um erro crítico, como credenciais incorretas ou perda de conetividade: imprima "Failed to connect to the Nozomi Networks instance! O erro é {0}".format(exception.stacktrace)
 Geral

Enriquecer entidades

Descrição

Enriquecer as entidades de anfitrião ou IP do Google SecOps com base nas informações do dispositivo Nozomi Networks.

Parâmetros

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Campos adicionais a adicionar ao enriquecimento String N/A Não Lista separada por vírgulas de campos que devem ser obtidos adicionalmente da consulta Nodes para adicionar aos campos que são usados para o enriquecimento por predefinição.

Executar em

Esta ação é executada nas seguintes entidades:

  • Endereço IP
  • Anfitrião

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores
is_success is_success=False
is_success is_success=True
Resultado JSON
{
    "result": [
        {
            "appliance_host": "nozomi-n2os.local",
            "label": "DESKTOP-8P0TH6Q.local",
            "id": "172.30.202.127",
            "_asset_kb_id": null,
            "ip": "172.30.202.127",
            "mac_address": "00:50:56:a2:51:88",
            "mac_address:info": {
                "source": "",
                "likelihood": 0,
                "likelihood_level": "unconfirmed"
            },
            "mac_vendor": "VMware, Inc.",
            "_private_status": "no",
            "subnet": "172.30.202.0/24",
            "vlan_id": null,
            "vlan_id:info": {
                "source": "passive"
            },
            "zone": "Internal",
            "level": "5",
            "type": "computer",
            "type:info": {
                "source": "passive"
            },
            "os": "Windows 10 / Server 2016",
            "vendor": null,
            "vendor:info": {
                "source": "passive"
            },
            "product_name": null,
            "product_name:info": {
                "source": "passive"
            },
            "firmware_version": null,
            "firmware_version:info": {
                "source": "passive"
            },
            "serial_number": null,
            "serial_number:info": {
                "source": "passive"
            },
            "is_broadcast": false,
            "is_public": false,
            "reputation": null,
            "is_confirmed": true,
            "is_learned": true,
            "is_fully_learned": true,
            "is_disabled": false,
            "_is_licensed": true,
            "roles": [
                "other"
            ],
            "links": [
                {
                    "id": "224.0.0.252",
                    "protos": [
                        {
                            "name": "llmnr",
                            "last_activity": "1602495882225"
                        }
                    ]
                },
                {
                    "id": "172.30.202.255",
                    "protos": [
                        {
                            "name": "browser",
                            "last_activity": "1605052230602"
                        },
                        {
                            "name": "netbios-ns",
                            "last_activity": "1604654773056"
                        }
                    ]
                },
                {
                    "id": "224.0.0.251",
                    "protos": [
                        {
                            "name": "mdns",
                            "last_activity": "1602636321803"
                        }
                    ]
                },
                {
                    "id": "239.255.255.250",
                    "protos": [
                        {
                            "name": "ssdp",
                            "last_activity": "1600331209918"
                        }
                    ]
                }
            ],
            "links_count": "5",
            "protocols": [
                "browser",
                "llmnr",
                "mdns",
                "netbios-ns",
                "ssdp"
            ],
            "created_at": "1595315728295",
            "first_activity_time": "1595315728295",
            "last_activity_time": "1605052230602",
            "received.packets": "0",
            "received.bytes": "0",
            "received.last_5m_bytes": "0",
            "received.last_15m_bytes": "0",
            "received.last_30m_bytes": "0",
            "sent.packets": "5088",
            "sent.bytes": "1031179",
            "sent.last_5m_bytes": "0",
            "sent.last_15m_bytes": "0",
            "sent.last_30m_bytes": "0",
            "tcp_retransmission.percent": 0,
            "tcp_retransmission.packets": "0",
            "tcp_retransmission.bytes": "0",
            "tcp_retransmission.last_5m_bytes": "0",
            "tcp_retransmission.last_15m_bytes": "0",
            "tcp_retransmission.last_30m_bytes": "0",
            "variables_count": null,
            "device_id": "TIP-HW-HOST-033",
            "properties": {},
            "custom_fields": {},
            "bpf_filter": "ip host 172.30.202.127",
            "device_modules": {},
            "capture_device": "em1"
        }
    ],
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
Nozomi.level Quando não é nulo
Nozomi.appliance_host Quando não é nulo
Nozomi.ip Quando não é nulo
Nozomi.mac_address Quando não é nulo
Nozomi.vlan_id Quando não é nulo
Nozomi.os Quando não é nulo
Nozomi.roles Quando não é nulo
Nozomi.vendor Quando não é nulo
Nozomi.firmware_version Quando não é nulo
Nozomi.serial_number Quando não é nulo
Nozomi.product_name Quando não é nulo
Nozomi.type Quando não é nulo
Nozomi.protocols Quando não é nulo
Nozomi.device_id Quando não é nulo
Nozomi.capture_device Quando não é nulo
Nozomi.is_broadcast Quando não é nulo
Nozomi.is_public Quando não é nulo
Nozomi.is_confirmed Quando não é nulo
Nozomi.is_disabled Quando não é nulo
Nozomi.is_licensed Quando não é nulo
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

  • Se for bem-sucedido e, pelo menos, uma das entidades fornecidas tiver sido enriquecida: imprima "Successfully enriched entities: {0}".format([entity.Identifier]).
  • Se não for possível enriquecer todas as entidades fornecidas: imprima "Não foram enriquecidas entidades."
  • Se não conseguir encontrar dados no dispositivo Nozomi para enriquecer entidades específicas: imprima "Action was not able to find Nozomi Guardian information to enrich the following entities: {0}".format([entity.identifier])
  • If action found multiple matches in Nozomi for some Google SecOps entities, first match was taken to enrich entities: print "Multiple matches were found in Nozomi Guardian, taking first match for the following entities:/n {0}".format(entity.identifiers list)

A ação deve falhar e parar a execução de um guia interativo:

  • Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, entre outros: imprima "Failed to execute Enrich Entities action! O erro é {0}".format(exception.stacktrace)
 Geral

Execute uma consulta

Descrição

Execute uma consulta no dispositivo Nozomi Networks.

Parâmetros

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Consulta String N/A Sim Especifique uma consulta a executar no dispositivo Nozomi Networks, por exemplo: alerts | head 10.
Limite de registos Número inteiro 10 Não Pode ser usado para especificar quantos registos podem ser devolvidos pela ação. Se o valor predefinido de 10 estiver definido, o parâmetro adiciona "| head 10" à consulta final para limitar o número de registos devolvidos. Se não for fornecido nada para o parâmetro, são devolvidos todos os resultados da consulta. Os valores negativos são ignorados.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores
is_success is_success=False
is_success is_success=True
Resultado JSON
{
    "result": [
        {
            "id": "0bee5f36-9b50-4037-8b02-f02f5cd637c3",
            "type_id": "VI:NEW-ARP",
            "name": "New ARP",
            "description": "New ARP packet from node with MAC address 00:50:56:a2:e8:0b and IP address 172.30.202.8",
            "severity": 10,
            "mac_src": "00:50:56:a2:e8:0b",
            "mac_dst": "ff:ff:ff:ff:ff:ff",
            "ip_src": "172.30.202.8",
            "ip_dst": null,
            "risk": "6.0",
            "protocol": "arp",
            "src_roles": "other",
            "dst_roles": "other",
            "time": 1604974955058,
            "ack": false,
            "id_src": "00:50:56:a2:e8:0b",
            "id_dst": "ff:ff:ff:ff:ff:ff",
            "synchronized": false,
            "appliance_id": "",
            "port_src": null,
            "port_dst": null,
            "label_src": null,
            "label_dst": null,
            "trigger_id": null,
            "trigger_type": null,
            "appliance_host": "nozomi-n2os.local",
            "appliance_ip": "172.30.202.226",
            "transport_protocol": "ethernet",
            "is_security": true,
            "note": null,
            "appliance_site": null,
            "parents": [
                "9827b15f-bbdf-483a-b074-8991793f80f3",
                "e76a4060-50f1-47cd-98c4-fb25bfb16433"
            ],
            "is_incident": false,
            "properties": {
                "base_risk": 4,
                "from_id": "00:50:56:a2:e8:0b",
                "is_dst_node_learned": true,
                "is_dst_reputation_bad": false,
                "is_src_node_learned": false,
                "is_src_reputation_bad": false,
                "to_id": "ff:ff:ff:ff:ff:ff"
            },
            "created_time": 1604974955058,
            "incident_keys": [],
            "bpf_filter": "ether host 00:50:56:a2:e8:0b and ether host ff:ff:ff:ff:ff:ff and ether proto 0x0806",
            "closed_time": 0,
            "status": "open",
            "session_id": "154400:50:56:a2:e8:0bff:ff:ff:ff:ff:ff0000175aff64a32",
            "replicated": false,
            "capture_device": "em1",
            "threat_name": "",
            "type_name": "New ARP",
            "sec_profile_visible": true,
            "zone_src": "Layer2",
            "zone_dst": "Layer2"
        },
Case Wall
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução do guia interativo:

  • if successful: print "Query executed successfully".
  • Se não for encontrado nada: imprima "A consulta foi executada com êxito, mas não devolveu resultados.".
  • if error: print "Query didn't completed due to error: {0}".format(exception.stacktrace).
  • If timeout: print "Query didn't completed due to timeout {0}".format(exception.stacktrace).

A ação deve falhar e parar a execução do guia interativo:

  • Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, ou outro: imprima "Falha ao executar a ação Executar uma consulta! O erro é {0}".format(exception.stacktrace)
 Geral
Tabela

Título da tabela: resultados da consulta

Colunas: geram dinamicamente colunas com base no resultado da consulta

 Geral

Execute um comando da CLI

Descrição

Executar um comando CLI no dispositivo Nozomi Networks.

Parâmetros

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Comando da CLI String N/A Sim Especifique um comando da CLI para executar no dispositivo Nozomi Networks. Nota: a API Nozomi não oferece uma validação para comandos CLI executados. Cabe ao utilizador certificar-se de que o comando CLI fornecido está correto.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores
is_success is_success=False
is_success is_success=True
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução do guia interativo:

  • Se for bem-sucedido: imprima "CLI Command executed" (Comando da CLI executado).

A ação deve falhar e parar a execução do guia interativo:

  • Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, ou outro: imprima "Falha ao executar a ação Executar uma consulta! O erro é {0}".format(exception.stacktrace)
 Geral

Listar vulnerabilidades

Descrição

Liste as vulnerabilidades descobertas pelo dispositivo Nozomi com base nos parâmetros de entrada de ação fornecidos.

Parâmetros

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Endereço IP String N/A Não Listar vulnerabilidades para o endereço IP fornecido. O parâmetro aceita vários valores como uma string separada por vírgulas.
Pontuação CVE Número inteiro N/A Não A vulnerabilidade com a pontuação CVE mínima tem de ser apresentada. A pontuação pode ser um número de 0 a 10.
O nome da vulnerabilidade contém String N/A Não Especifique uma string que o nome da vulnerabilidade deve conter para ser apresentado.
ID da CVE String N/A Não Se souber que CVEs específicos procurar, indique o ID relacionado neste campo, por exemplo, CVE-2020-1207. O parâmetro aceita vários valores como uma string separada por vírgulas.
Limite de registos Número inteiro 25 Sim Pode ser usado para especificar quantos registos podem ser devolvidos pela ação.
Incluir vulnerabilidades marcadas como resolvidas? Caixa de verificação Desmarcado Não Especifique se a ação também deve devolver vulnerabilidades marcadas como resolvidas.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores
is_success is_success=False
is_success is_success=True
Resultado JSON
{
    "result": [
        {
            "id": "cb9054a6-11a6-47ff-9c08-8033e42f9e63",
            "node_id": "172.30.202.71",
            "cve": "CVE-2017-8718",
            "cve_summary": "The Microsoft JET Database Engine in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1 and RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an attacker to take control of an affected system, due to how it handles objects in memory, aka \"Microsoft JET Database Engine Remote Code Execution Vulnerability\". This CVE ID is unique from CVE-2017-8717.",
            "cve_score": 9.3,
            "cve_creation_time": 1507886940000,
            "cve_update_time": 1508488860000,
            "time": 1598516419115,
            "cwe_id": "119",
            "cwe_name": "Improper Restriction of Operations within the Bounds of a Memory Buffer",
            "matching_cpes": [
                "cpe:/o:microsoft:windows_server_2016:-:-:-"
            ],
            "cve_references": [
                {
                    "name": "101162",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "BID",
                    "url": "http://www.securityfocus.com/bid/101162"
                },
                {
                    "name": "1039527",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "SECTRACK",
                    "url": "http://www.securitytracker.com/id/1039527"
                },
                {
                    "name": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "CONFIRM",
                    "url": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718"
                }
            ],
            "likelihood": 0.4,
            "resolved": false,
            "resolved_reason": "",
            "resolved_source": null,
            "installed_on": null,
            "appliance_id": "",
            "appliance_ip": "",
            "appliance_host": "",
            "zone": "Internal"
        }
    ],
Case Wall
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução do guia interativo:

  • if successful: print "Search executed successfully".
  • if nothing found: print "Search executed successfully, but did not return any results.".

A ação deve falhar e parar a execução do guia interativo:

  • Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, ou outro: imprima "Falha ao executar a ação Executar uma consulta! O erro é {0}".format(exception.stacktrace)
 Geral
Tabela

Título da tabela: Vulnerabilidades encontradas

Colunas:

Endereço IP

ID da CVE

Nome da vulnerabilidade

Descrição da vulnerabilidade

Pontuação CVE

Zona

Está resolvida

Referências

Hora de criação da CVE

Hora da atualização da CVE

 Geral

Conetor

Conetor de alertas da Nozomi Networks

Descrição

Conetor para obter alertas da Nozomi Networks para o Google SecOps.

Configure o conetor de alertas da Nozomi Networks no Google SecOps

Para ver instruções detalhadas sobre como configurar um conetor no Google SecOps, consulte o artigo Configurar o conetor.

Parâmetros do conetor

Use os seguintes parâmetros para configurar o conector:

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Nome do campo do produto String Nome do produto Sim Introduza o nome do campo de origem para obter o nome do campo do produto.
Nome do campo de evento String Operação Sim Introduza o nome do campo de origem para obter o nome do campo do evento.
Nome do campo do ambiente String "" Não

Descreve o nome do campo onde o nome do ambiente está armazenado.

Se o campo do ambiente não for encontrado, o ambiente é o ambiente predefinido.
Padrão de regex do ambiente String .* Não

Um padrão de regex a executar no valor encontrado no campo "Nome do campo do ambiente".

A predefinição é .* para captar tudo e devolver o valor inalterado.

Usado para permitir que o utilizador manipule o campo do ambiente através da lógica de regex.

Se o padrão regex for nulo ou estiver vazio, ou o valor do ambiente for nulo, o resultado final do ambiente é o ambiente predefinido.
Limite de tempo do script (segundos) Número inteiro 180 Sim Limite de tempo limite para o processo Python que executa o script atual.
URL da API String https://x.x.x.x:port Sim URL da API Nozomi para estabelecer ligação
Nome de utilizador String N/A Sim Nome de utilizador da conta Nozomi a usar para a associação
Palavra-passe Palavra-passe N/A Sim Palavra-passe da conta Nozomi a usar para a ligação
Validar SSL Caixa de verificação Desmarcado Não Especifique se o certificado do URL da API deve ser validado antes da ligação.
Certificado da AC String N/A Não
Gravidade mínima para obter número inteiro N/A Não O alerta de gravidade mínima tem de ser carregado. A gravidade pode ser um número de 0 a 10.
Ingerir apenas alertas com o atributo "is_security" definido como verdadeiro? Caixa de verificação Desmarcado Não Especifique se apenas os alertas com o atributo "is_security" definido como True devem ser carregados.
Ingerir apenas alertas com o atributo "is_incident" definido como verdadeiro? Caixa de verificação Desmarcado Não Especifique se apenas os alertas com o atributo "is_incident" definido como verdadeiro devem ser carregados.
Fetch Max Hours Backwards Número inteiro 8 Sim Obter alertas de X horas anteriores.
Intervalo de tempo de obtenção para trás (minutos) Número inteiro 60 Sim O conector de intervalo de tempo deve usar para obter alertas do número máximo de horas anteriores. Se o dispositivo Nozomi estiver implementado numa rede grande, o número de alertas gerados pode ser substancial. Por este motivo, este parâmetro em minutos pode ser usado para dividir as horas máximas para trás em segmentos mais pequenos e processá-los individualmente. O intervalo de tempo não pode ser superior ao valor máximo de horas anteriores.
Use a lista de autorizações como uma lista negra Caixa de verificação Desmarcado Sim Se estiver ativada, a lista de autorizações é usada como uma lista negra.
Endereço do servidor proxy String Não O endereço do servidor proxy a usar.
Nome de utilizador do proxy String Não O nome de utilizador do proxy para autenticação.
Palavra-passe do proxy Palavra-passe Não A palavra-passe do proxy para autenticação.

Regras do conetor

Suporte de proxy

O conetor suporta proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.