Carbon Black Defense

Versi integrasi: 9.0

Mengonfigurasi VMware Carbon Black Endpoint Standard (Endpoint Standard) agar dapat digunakan dengan Google Security Operations

Kunci API

  1. Login ke konsol Carbon Black.
  2. Buka nama pengguna di sisi kanan atas halaman, lalu pilih Info profil.

  3. Klik Token API di sisi kiri halaman untuk melihat token API Anda.

    Jika tidak ada token API yang ditampilkan, klik Reset untuk membuat token baru.

Jaringan

Fungsi Port Default Arah Protokol
API Multinilai Keluar apikey

Mengonfigurasi integrasi Carbon Black Defense di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter Jenis Nilai Default Wajib Deskripsi
Nama Instance String T/A Tidak Nama Instance yang ingin Anda konfigurasi integrasinya.
Deskripsi String T/A Tidak Deskripsi Instance.
Root API String https://{server-addres} Ya URL Root API VMware Carbon Black Endpoint Standard (Endpoint Standard).
Kunci Rahasia API String T/A Ya Kunci API VMware Carbon Black Endpoint Standard (Endpoint Standard).
Menjalankan dari Jarak Jauh Kotak centang Tidak dicentang Tidak Centang kolom untuk menjalankan integrasi yang dikonfigurasi dari jarak jauh. Setelah dicentang, opsi akan muncul untuk memilih pengguna jarak jauh (agen).

Tindakan

Mengubah Status Perangkat

Deskripsi

Mengubah status perangkat.

Parameter

Parameter Jenis Nilai Default Wajib Deskripsi
Status Perangkat String T/A Ya Status baru. Contoh: TERDAFTAR

Run On

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Hostname

Hasil Tindakan

Pengayaan Entity
Nama Kolom Pengayaan Logika - Kapan harus diterapkan
cb_defense_deviceId T/A
cb_defense_device_status T/A
Insight

T/A

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Ubah Kebijakan

Deskripsi

Ubah kebijakan CB Defense yang ditetapkan ke setiap entity hasil kueri.

Parameter

Parameter Jenis Nilai Default Wajib Deskripsi
Nama Kebijakan String T/A Ya Nama kebijakan baru. Contoh: DFLabs_Policy

Kasus penggunaan

T/A

Run On

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Hostname

Hasil Tindakan

Pengayaan Entity
Nama Kolom Pengayaan Logika - Kapan harus diterapkan
cb_defense_deviceId T/A
cb_defense_policy T/A
Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
berhasil Benar/Salah success:False

Kebijakan Dibuat

Deskripsi

Buat kebijakan baru di Cb Defense.

Parameter

Parameter Jenis Nilai Default Wajib Deskripsi
Nama Kebijakan String T/A Ya Nama kebijakan.
Deskripsi Kebijakan String T/A Ya Deskripsi kebijakan.
Tingkat Prioritas String RENDAH Ya Skor prioritas yang terkait dengan sensor yang ditetapkan ke kebijakan ini. Contoh: RENDAH
Detail Kebijakan String T/A Ya Detail kebijakan.

Run On

Tindakan ini dijalankan di semua entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
new_policy_id T/A T/A

Kebijakan Dihapus

Deskripsi

Menghapus kebijakan dari Cb Defense.

Parameter

Parameter Jenis Nilai Default Wajib Deskripsi
Nama Kebijakan String T/A Ya Nama kebijakan.

Run On

Tindakan ini dijalankan di semua entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Menghapus Aturan dari Kebijakan

Deskripsi

Menghapus aturan dari kebijakan yang ada.

Parameter

Parameter Jenis Nilai Default Wajib Deskripsi
Nama Kebijakan String T/A Ya Nama kebijakan.
ID aturan String T/A Ya ID Aturan. Contoh: 1

Run On

Tindakan ini dijalankan di semua entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Mendapatkan Info Perangkat

Deskripsi

Mendapatkan informasi tentang perangkat.

Parameter

T/A

Run On

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Hostname

Hasil Tindakan

Pengayaan Entity
Nama Kolom Pengayaan Logika - Kapan harus diterapkan
assignedToName Menampilkan apakah ada di hasil JSON
macAddress Menampilkan apakah ada di hasil JSON
adGroupId Menampilkan apakah ada di hasil JSON
avEngine Menampilkan apakah ada di hasil JSON
avVdfVersion Menampilkan apakah ada di hasil JSON
rootedByAnalyticsTime Menampilkan apakah ada di hasil JSON
linuxKernelVersion Menampilkan apakah ada di hasil JSON
lastExternalIpAddress Menampilkan apakah ada di hasil JSON
lastDevicePolicyRequestedTime Menampilkan apakah ada di hasil JSON
activationCodeExpiryTime Menampilkan apakah ada di hasil JSON
currentSensorPolicyName Menampilkan apakah ada di hasil JSON
organizationName Menampilkan apakah ada di hasil JSON
deviceGuid Menampilkan apakah ada di hasil JSON
loginUserName Menampilkan apakah ada di hasil JSON
lastPolicyUpdatedTime Menampilkan apakah ada di hasil JSON
registeredTime Menampilkan apakah ada di hasil JSON
deviceSessionId Menampilkan apakah ada di hasil JSON
lastDevicePolicyChangedTime Menampilkan apakah ada di hasil JSON
windowsPlatform Menampilkan apakah ada di hasil JSON
osVersion Menampilkan apakah ada di hasil JSON
firstVirusActivityTime Menampilkan apakah ada di hasil JSON
avUpdateServers Menampilkan apakah ada di hasil JSON
lastReportedTime Menampilkan apakah ada di hasil JSON
middleName Menampilkan apakah ada di hasil JSON
activationCode Menampilkan apakah ada di hasil JSON
deregisteredTime Menampilkan apakah ada di hasil JSON
lastResetTime Menampilkan apakah ada di hasil JSON
lastInternalIpAddress Menampilkan apakah ada di hasil JSON
deviceOwnerId Menampilkan apakah ada di hasil JSON
avMaster Menampilkan apakah ada di hasil JSON
lastLocation Menampilkan apakah ada di hasil JSON
deviceType Menampilkan apakah ada di hasil JSON
targetPriorityType Menampilkan apakah ada di hasil JSON
encodedActivationCode Menampilkan apakah ada di hasil JSON
lastVirusActivityTime Menampilkan apakah ada di hasil JSON
avStatus Menampilkan apakah ada di hasil JSON
sensorStates Menampilkan apakah ada di hasil JSON
email Menampilkan apakah ada di hasil JSON
virtualizationProvider Menampilkan apakah ada di hasil JSON
avPackVersion Menampilkan apakah ada di hasil JSON
assignedToId Menampilkan apakah ada di hasil JSON
scanStatus Menampilkan apakah ada di hasil JSON
nama Menampilkan apakah ada di hasil JSON
policyName Menampilkan apakah ada di hasil JSON
scanLastActionTime Menampilkan apakah ada di hasil JSON
vdiBaseDevice Menampilkan apakah ada di hasil JSON
rootedByAnalytics Menampilkan apakah ada di hasil JSON
testId Menampilkan apakah ada di hasil JSON
avProductVersion Menampilkan apakah ada di hasil JSON
rootedBySensorTime Menampilkan apakah ada di hasil JSON
lastShutdownTime Menampilkan apakah ada di hasil JSON
dikarantina Menampilkan apakah ada di hasil JSON
createTime Menampilkan apakah ada di hasil JSON
deviceId Menampilkan apakah ada di hasil JSON
sensorVersion Menampilkan apakah ada di hasil JSON
passiveMode Menampilkan apakah ada di hasil JSON
virtualMachine Menampilkan apakah ada di hasil JSON
firstName Menampilkan apakah ada di hasil JSON
uninstallCode Menampilkan apakah ada di hasil JSON
uninstalledTime Menampilkan apakah ada di hasil JSON
pesan Menampilkan apakah ada di hasil JSON
policyOverride Menampilkan apakah ada di hasil JSON
organizationId Menampilkan apakah ada di hasil JSON
sensorOutOfDate Menampilkan apakah ada di hasil JSON
avAveVersion Menampilkan apakah ada di hasil JSON
status Menampilkan apakah ada di hasil JSON
policyId Menampilkan apakah ada di hasil JSON
deviceMetaDataItemList Menampilkan apakah ada di hasil JSON
lastName Menampilkan apakah ada di hasil JSON
originEventHash Menampilkan apakah ada di hasil JSON
avLastScanTime Menampilkan apakah ada di hasil JSON
rootedBySensor Menampilkan apakah ada di hasil JSON
scanLastCompleteTime Menampilkan apakah ada di hasil JSON
lastContact Menampilkan apakah ada di hasil JSON
Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
berhasil Benar/Salah success:False
Hasil JSON
[
    {
  "EntityResult":
    {
     "assignedToName": null,
     "macAddress": null,
     "adGroupId": 0,
     "avEngine": "",
     "avVdfVersion": null,
     "rootedByAnalyticsTime": null,
     "linuxKernelVersion": null,
     "lastExternalIpAddress": "1.1.1.1",
     "lastDevicePolicyRequestedTime": null,
     "activationCodeExpiryTime": 1513776891190,
     "currentSensorPolicyName": null,
     "organizationName": "cb-internal-alliances.com",
     "deviceGuid": null,
     "loginUserName": null,
     "lastPolicyUpdatedTime": null,
     "registeredTime": 1513172091219,
     "deviceSessionId": null,
     "lastDevicePolicyChangedTime": null,
     "windowsPlatform": null,
     "osVersion": "Windows 10 x64",
     "firstVirusActivityTime": 0,
     "avUpdateServers": null,
     "lastReportedTime": 1520325064134,
     "middleName": null,
     "activationCode": null,
     "deregisteredTime": null,
     "lastResetTime": 0,
     "lastInternalIpAddress": "1.1.1.1",
     "deviceOwnerId": 260377,
     "avMaster": false,
     "lastLocation": "OFFSITE",
     "deviceType": "WINDOWS",
     "targetPriorityType": "MEDIUM",
     "encodedActivationCode": null,
     "lastVirusActivityTime": 0,
     "avStatus": ["AV_BYPASS"],
     "sensorStates": ["ACTIVE","LIVE_RESPONSE_NOT_RUNNING","LIVE_RESPONSE_NOT_KILLED"],
     "email": "ACorona",
     "virtualizationProvider": null,
     "avPackVersion": null,
     "assignedToId": null,
     "scanStatus": null,
     "name": "HP-01",
     "policyName": "default",
     "scanLastActionTime": 0,
     "vdiBaseDevice": null,
     "rootedByAnalytics": false,
     "testId": -1,
     "avProductVersion": null,
     "rootedBySensorTime": null,
     "lastShutdownTime": 1519811818082,
     "quarantined": false,
     "createTime": null,
     "deviceId": 605341,
     "sensorVersion": "1.1.1.1",
     "passiveMode": false,
     "virtualMachine": false,
     "firstName": null,
     "uninstallCode": null,
     "uninstalledTime": null,
     "messages": null,
     "policyOverride": false,
     "organizationId": 1105,
     "sensorOutOfDate": false,
     "avAveVersion": null,
     "status": "REGISTERED",
     "policyId": 6525,
     "deviceMetaDataItemList": null,
     "lastName": null,
     "originEventHash": null,
     "avLastScanTime": 0,
     "rootedBySensor": false,
     "scanLastCompleteTime": 0,
     "lastContact": 1520325053567
 },
 "Entity": "HP-01"
}
]

Mendapatkan Acara

Deskripsi

Mendapatkan peristiwa menurut entitas.

Parameter

Parameter Jenis Nilai Default Wajib Deskripsi
Jangka Waktu string T/A Ya Jangka waktu penelusuran. Contoh: 3 jam

Run On

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Hostname

Hasil Tindakan

Pengayaan Entity
Nama Kolom Pengayaan Logika - Kapan harus diterapkan
eventId Menampilkan apakah ada di hasil JSON
parentApp Menampilkan apakah ada di hasil JSON
eventTime Menampilkan apakah ada di hasil JSON
selectedApp Menampilkan apakah ada di hasil JSON
attackStage Menampilkan apakah ada di hasil JSON
processDetails Menampilkan apakah ada di hasil JSON
eventType Menampilkan apakah ada di hasil JSON
targetAp Menampilkan apakah ada di hasil JSON
longDescription Menampilkan apakah ada di hasil JSON
threatIndicators Menampilkan apakah ada di hasil JSON
securityEventCode Menampilkan apakah ada di hasil JSON
registryValue Menampilkan apakah ada di hasil JSON
incidentId Menampilkan apakah ada di hasil JSON
shortDescription Menampilkan apakah ada di hasil JSON
createTime Menampilkan apakah ada di hasil JSON
alertScore Menampilkan apakah ada di hasil JSON
alertCategory Menampilkan apakah ada di hasil JSON
Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
berhasil Benar/Salah success:False
Hasil JSON
[
    {
        "EntityResult":
        {
            "0":
            {
                "eventId": "1defe38112e911e7b34047d6447797bd",
                "parentApp":
                {
                    "applicationName": "C: \\\\Windows\\\\System32\\\\svchost.exe",
                    "md5Hash": null,
                    "reputationProperty": null,
                    "effectiveReputation": null,
                    "applicationPath": null,
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null
                    "sha256Hash": "c7db4ae8175c33a47baa3ddfa089fad17bc8e362f21e835d78ab22c9231fe370",
                    "virusSubCategory": null
                },
                "eventTime": 1490617768036,
                "selectedApp":
                {
                    "applicationName": "taskeng.exe",
                    "md5Hash": "a21ac8d41e63cf1aa24ebc165ae82c9a",
                    "reputationProperty": "TRUSTED_WHITE_LIST",
                    "effectiveReputation": null,
                    "applicationPath": "C: \\\\Windows\\\\System32\\\\taskeng.exe",
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null,
                    "sha256Hash": "74b9cf472d5008e00735482f084f886eaa201248d6e87ab6b1990e3670bd6693",
                    "virusSubCategory": null
                },
                "attackStage": null,
                "processDetails":
                {
                    "userName": "SYSTEM",
                    "interpreterHash": null,
                    "parentCommandLine": "C: Windows\\\\system32\\\\svchost.exe-knetsvcs",
                    "milisSinceProcessStart": 32,
                    "name": "taskeng.exe",
                    "parentPid": 772,
                    "processId": 2872,
                    "interpreterName": null,
                    "commandLine": "taskeng.exe{5267BC82-9B0D-4F0B-A566-E06CDE5602F1}S-1-5-18: NTAUTHORITY\\\\System: Service: ",
                    "parentName": "svchost.exe",
                    "parentPrivatePid": "772-1489763380982-18",
                    "targetPrivatePid": "2468-1490617768051-975",
                    "targetPid": 2468,
                    "targetCommandLine": "C: \\\\ProgramFiles(x86)\\\\Google\\\\Update\\\\GoogleUpdate.exe",
                    "privatePid": "2872-1490617768004-974",
                    "targetName": "GoogleUpdate.exe",
                    "fullUserName": "NTAUTHORITY\\\\SYSTEM"
                },
                "eventType": "SYSTEM_API_CALL",
                "targetApp":
                {
                    "applicationName": "C: \\\\ProgramFiles(x86)\\\\Google\\\\Update\\\\GoogleUpdate.exe",
                    "md5Hash": null,
                    "reputationProperty": "TRUSTED_WHITE_LIST",
                    "effectiveReputation": null,
                    "applicationPath": null,
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null,
                    "sha256Hash": "52fc3aa9f704300041e486e57fe863218e4cdf4c8eee05ca6b99a296efee5737",
                    "virusSubCategory": null
                },
                "longDescription": "",
                "threatIndicators": ["SUSPENDED_PROCESS"],
                "securityEventCode": null,
                "registryValue": null,
                "incidentId": null,
                "shortDescription": "",
                "createTime": 1490617872232,
                "alertScore": 0,
                "alertCategory": null
            }
        },
        "Entity": "HP-01"
    }
]

Mendapatkan Proses

Deskripsi

Mencantumkan proses menurut perangkat.

Parameter

Parameter Jenis Nilai Default Wajib Deskripsi
Jangka Waktu string 3 jam Ya Jangka waktu penelusuran. Contoh: 3 jam

Run On

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Hostname

Hasil Tindakan

Pengayaan Entity
Nama Kolom Pengayaan Logika - Kapan harus diterapkan
applicationName Menampilkan apakah ada di hasil JSON
processId Menampilkan apakah ada di hasil JSON
numEvents Menampilkan apakah ada di hasil JSON
applicationPath Menampilkan apakah ada di hasil JSON
privatePid Menampilkan apakah ada di hasil JSON
sha256Hash Menampilkan apakah ada di hasil JSON
Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
berhasil Benar/Salah success:False
Hasil JSON
[
    {
        "EntityResult":
        {
            "0":
            {
                "applicationName": "chrome.exe",
                "processId": 3052,
                "numEvents": 252,
                "applicationPath": null,
                "privatePid": "3052-1489181082476-30",
                "sha256Hash": "c8b01dd0153bbe4527630fb002f9ef8b4e04127bdff212831ff67bd6ab0ea265"
            }
        },
        "Entity": "HP-01"
    }
]

Ping

Deskripsi

Uji Konektivitas.

Run On

Tindakan ini dijalankan di semua entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
berhasil Benar/Salah success:False

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.