Carbon Black 防御

集成版本：9.0

配置 VMware Carbon Black Endpoint Standard（Endpoint Standard），使其与 Google Security Operations 搭配使用

API 密钥

  1. 登录 Carbon Black 控制台。
  2. 前往页面右上角的用户名字段，然后选择个人资料信息。

  3. 点击页面左侧的 API 令牌，即可显示您的 API 令牌。

    如果未显示 API 令牌，请点击重置以创建新令牌。

网络

函数 默认端口 方向 协议
API 多值 出站 apikey

在 Google SecOps 中配置 Carbon Black Defense 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 是否为必需属性 说明
实例名称 字符串 不适用 否 您打算为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 https://{server-addres} 是 VMware Carbon Black Endpoint Standard (Endpoint Standard) API 根网址。
API 密钥 字符串 不适用 是 VMware Carbon Black Endpoint Standard (Endpoint Standard) API 密钥。
远程运行 复选框 尚未核查 否 选中此字段，以便远程运行配置的集成。选中后，系统会显示用于选择远程用户（客服人员）的选项。

操作

更改设备状态

说明

更改设备的状态。

参数

参数 类型 默认值 是否为必需属性 说明
设备状态 字符串 不适用 是 新状态。示例：REGISTERED

运行于

此操作适用于以下实体：

  • IP 地址
  • 主机名

操作执行结果

实体扩充
扩充项字段名称 逻辑 - 应用场景
cb_defense_deviceId 不适用
cb_defense_device_status 不适用
数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False

更改政策

说明

更改分配给每个查询结果实体的 CB Defense 政策。

参数

参数 类型 默认值 是否为必需属性 说明
政策名称 字符串 不适用 是 新政策名称。示例：DFLabs_Policy

使用场景

不适用

运行于

此操作适用于以下实体：

  • IP 地址
  • 主机名

操作执行结果

实体扩充
扩充项字段名称 逻辑 - 应用场景
cb_defense_deviceId 不适用
cb_defense_policy 不适用
脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False

创建政策

说明

在 Cb Defense 上创建新政策。

参数

参数 类型 默认值 是否为必需属性 说明
政策名称 字符串 不适用 是 政策的名称。
政策说明 字符串 不适用 是 政策的说明。
优先级 字符串 低 是 与分配给相应政策的传感器相关联的优先级得分。示例：低
政策详情 字符串 不适用 是 政策详情。

运行于

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
new_policy_id 不适用 不适用

删除政策

说明

从 Cb Defense 中删除政策。

参数

参数 类型 默认值 是否为必需属性 说明
政策名称 字符串 不适用 是 政策名称。

运行于

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False

从政策中删除规则

说明

从现有政策中移除规则。

参数

参数 类型 默认值 是否为必需属性 说明
政策名称 字符串 不适用 是 政策名称。
规则 ID 字符串 不适用 是 规则 ID。示例：1

运行于

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False

获取设备信息

说明

获取设备相关信息。

参数

不适用

运行于

此操作适用于以下实体：

  • IP 地址
  • 主机名

操作执行结果

实体扩充
扩充项字段名称 逻辑 - 应用场景
assignedToName 返回 JSON 结果中是否存在相应值
macAddress 返回 JSON 结果中是否存在相应值
adGroupId 返回 JSON 结果中是否存在相应值
avEngine 返回 JSON 结果中是否存在相应值
avVdfVersion 返回 JSON 结果中是否存在相应值
rootedByAnalyticsTime 返回 JSON 结果中是否存在相应值
linuxKernelVersion 返回 JSON 结果中是否存在相应值
lastExternalIpAddress 返回 JSON 结果中是否存在相应值
lastDevicePolicyRequestedTime 返回 JSON 结果中是否存在相应值
activationCodeExpiryTime 返回 JSON 结果中是否存在相应值
currentSensorPolicyName 返回 JSON 结果中是否存在相应值
organizationName 返回 JSON 结果中是否存在相应值
deviceGuid 返回 JSON 结果中是否存在相应值
loginUserName 返回 JSON 结果中是否存在相应值
lastPolicyUpdatedTime 返回 JSON 结果中是否存在相应值
registeredTime 返回 JSON 结果中是否存在相应值
deviceSessionId 返回 JSON 结果中是否存在相应值
lastDevicePolicyChangedTime 返回 JSON 结果中是否存在相应值
windowsPlatform 返回 JSON 结果中是否存在相应值
osVersion 返回 JSON 结果中是否存在相应值
firstVirusActivityTime 返回 JSON 结果中是否存在相应值
avUpdateServers 返回 JSON 结果中是否存在相应值
lastReportedTime 返回 JSON 结果中是否存在相应值
middleName 返回 JSON 结果中是否存在相应值
activationCode 返回 JSON 结果中是否存在相应值
deregisteredTime 返回 JSON 结果中是否存在相应值
lastResetTime 返回 JSON 结果中是否存在相应值
lastInternalIpAddress 返回 JSON 结果中是否存在相应值
deviceOwnerId 返回 JSON 结果中是否存在相应值
avMaster 返回 JSON 结果中是否存在相应值
lastLocation 返回 JSON 结果中是否存在相应值
deviceType 返回 JSON 结果中是否存在相应值
targetPriorityType 返回 JSON 结果中是否存在相应值
encodedActivationCode 返回 JSON 结果中是否存在相应值
lastVirusActivityTime 返回 JSON 结果中是否存在相应值
avStatus 返回 JSON 结果中是否存在相应值
sensorStates 返回 JSON 结果中是否存在相应值
电子邮件 返回 JSON 结果中是否存在相应值
virtualizationProvider 返回 JSON 结果中是否存在相应值
avPackVersion 返回 JSON 结果中是否存在相应值
assignedToId 返回 JSON 结果中是否存在相应值
scanStatus 返回 JSON 结果中是否存在相应值
name 返回 JSON 结果中是否存在相应值
policyName 返回 JSON 结果中是否存在相应值
scanLastActionTime 返回 JSON 结果中是否存在相应值
vdiBaseDevice 返回 JSON 结果中是否存在相应值
rootedByAnalytics 返回 JSON 结果中是否存在相应值
testId 返回 JSON 结果中是否存在相应值
avProductVersion 返回 JSON 结果中是否存在相应值
rootedBySensorTime 返回 JSON 结果中是否存在相应值
lastShutdownTime 返回 JSON 结果中是否存在相应值
已隔离 返回 JSON 结果中是否存在相应值
createTime 返回 JSON 结果中是否存在相应值
deviceId 返回 JSON 结果中是否存在相应值
sensorVersion 返回 JSON 结果中是否存在相应值
passiveMode 返回 JSON 结果中是否存在相应值
virtualMachine 返回 JSON 结果中是否存在相应值
firstName 返回 JSON 结果中是否存在相应值
uninstallCode 返回 JSON 结果中是否存在相应值
uninstalledTime 返回 JSON 结果中是否存在相应值
消息 返回 JSON 结果中是否存在相应值
policyOverride 返回 JSON 结果中是否存在相应值
organizationId 返回 JSON 结果中是否存在相应值
sensorOutOfDate 返回 JSON 结果中是否存在相应值
avAveVersion 返回 JSON 结果中是否存在相应值
状态 返回 JSON 结果中是否存在相应值
policyId 返回 JSON 结果中是否存在相应值
deviceMetaDataItemList 返回 JSON 结果中是否存在相应值
lastName 返回 JSON 结果中是否存在相应值
originEventHash 返回 JSON 结果中是否存在相应值
avLastScanTime 返回 JSON 结果中是否存在相应值
rootedBySensor 返回 JSON 结果中是否存在相应值
scanLastCompleteTime 返回 JSON 结果中是否存在相应值
lastContact 返回 JSON 结果中是否存在相应值
脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
[
    {
  "EntityResult":
    {
     "assignedToName": null,
     "macAddress": null,
     "adGroupId": 0,
     "avEngine": "",
     "avVdfVersion": null,
     "rootedByAnalyticsTime": null,
     "linuxKernelVersion": null,
     "lastExternalIpAddress": "1.1.1.1",
     "lastDevicePolicyRequestedTime": null,
     "activationCodeExpiryTime": 1513776891190,
     "currentSensorPolicyName": null,
     "organizationName": "cb-internal-alliances.com",
     "deviceGuid": null,
     "loginUserName": null,
     "lastPolicyUpdatedTime": null,
     "registeredTime": 1513172091219,
     "deviceSessionId": null,
     "lastDevicePolicyChangedTime": null,
     "windowsPlatform": null,
     "osVersion": "Windows 10 x64",
     "firstVirusActivityTime": 0,
     "avUpdateServers": null,
     "lastReportedTime": 1520325064134,
     "middleName": null,
     "activationCode": null,
     "deregisteredTime": null,
     "lastResetTime": 0,
     "lastInternalIpAddress": "1.1.1.1",
     "deviceOwnerId": 260377,
     "avMaster": false,
     "lastLocation": "OFFSITE",
     "deviceType": "WINDOWS",
     "targetPriorityType": "MEDIUM",
     "encodedActivationCode": null,
     "lastVirusActivityTime": 0,
     "avStatus": ["AV_BYPASS"],
     "sensorStates": ["ACTIVE","LIVE_RESPONSE_NOT_RUNNING","LIVE_RESPONSE_NOT_KILLED"],
     "email": "ACorona",
     "virtualizationProvider": null,
     "avPackVersion": null,
     "assignedToId": null,
     "scanStatus": null,
     "name": "HP-01",
     "policyName": "default",
     "scanLastActionTime": 0,
     "vdiBaseDevice": null,
     "rootedByAnalytics": false,
     "testId": -1,
     "avProductVersion": null,
     "rootedBySensorTime": null,
     "lastShutdownTime": 1519811818082,
     "quarantined": false,
     "createTime": null,
     "deviceId": 605341,
     "sensorVersion": "1.1.1.1",
     "passiveMode": false,
     "virtualMachine": false,
     "firstName": null,
     "uninstallCode": null,
     "uninstalledTime": null,
     "messages": null,
     "policyOverride": false,
     "organizationId": 1105,
     "sensorOutOfDate": false,
     "avAveVersion": null,
     "status": "REGISTERED",
     "policyId": 6525,
     "deviceMetaDataItemList": null,
     "lastName": null,
     "originEventHash": null,
     "avLastScanTime": 0,
     "rootedBySensor": false,
     "scanLastCompleteTime": 0,
     "lastContact": 1520325053567
 },
 "Entity": "HP-01"
}
]

获取活动

说明

按实体获取活动。

参数

参数 类型 默认值 是否为必需属性 说明
时间范围 字符串 不适用 是 搜索的时间范围。示例：3h

运行于

此操作适用于以下实体：

  • IP 地址
  • 主机名

操作执行结果

实体扩充
扩充项字段名称 逻辑 - 应用场景
eventId 返回 JSON 结果中是否存在相应值
parentApp 返回 JSON 结果中是否存在相应值
eventTime 返回 JSON 结果中是否存在相应值
selectedApp 返回 JSON 结果中是否存在相应值
attackStage 返回 JSON 结果中是否存在相应值
processDetails 返回 JSON 结果中是否存在相应值
eventType 返回 JSON 结果中是否存在相应值
targetAp 返回 JSON 结果中是否存在相应值
longDescription 返回 JSON 结果中是否存在相应值
threatIndicators 返回 JSON 结果中是否存在相应值
securityEventCode 返回 JSON 结果中是否存在相应值
registryValue 返回 JSON 结果中是否存在相应值
incidentId 返回 JSON 结果中是否存在相应值
shortDescription 返回 JSON 结果中是否存在相应值
createTime 返回 JSON 结果中是否存在相应值
alertScore 返回 JSON 结果中是否存在相应值
alertCategory 返回 JSON 结果中是否存在相应值
脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
[
    {
        "EntityResult":
        {
            "0":
            {
                "eventId": "1defe38112e911e7b34047d6447797bd",
                "parentApp":
                {
                    "applicationName": "C: \\\\Windows\\\\System32\\\\svchost.exe",
                    "md5Hash": null,
                    "reputationProperty": null,
                    "effectiveReputation": null,
                    "applicationPath": null,
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null
                    "sha256Hash": "c7db4ae8175c33a47baa3ddfa089fad17bc8e362f21e835d78ab22c9231fe370",
                    "virusSubCategory": null
                },
                "eventTime": 1490617768036,
                "selectedApp":
                {
                    "applicationName": "taskeng.exe",
                    "md5Hash": "a21ac8d41e63cf1aa24ebc165ae82c9a",
                    "reputationProperty": "TRUSTED_WHITE_LIST",
                    "effectiveReputation": null,
                    "applicationPath": "C: \\\\Windows\\\\System32\\\\taskeng.exe",
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null,
                    "sha256Hash": "74b9cf472d5008e00735482f084f886eaa201248d6e87ab6b1990e3670bd6693",
                    "virusSubCategory": null
                },
                "attackStage": null,
                "processDetails":
                {
                    "userName": "SYSTEM",
                    "interpreterHash": null,
                    "parentCommandLine": "C: Windows\\\\system32\\\\svchost.exe-knetsvcs",
                    "milisSinceProcessStart": 32,
                    "name": "taskeng.exe",
                    "parentPid": 772,
                    "processId": 2872,
                    "interpreterName": null,
                    "commandLine": "taskeng.exe{5267BC82-9B0D-4F0B-A566-E06CDE5602F1}S-1-5-18: NTAUTHORITY\\\\System: Service: ",
                    "parentName": "svchost.exe",
                    "parentPrivatePid": "772-1489763380982-18",
                    "targetPrivatePid": "2468-1490617768051-975",
                    "targetPid": 2468,
                    "targetCommandLine": "C: \\\\ProgramFiles(x86)\\\\Google\\\\Update\\\\GoogleUpdate.exe",
                    "privatePid": "2872-1490617768004-974",
                    "targetName": "GoogleUpdate.exe",
                    "fullUserName": "NTAUTHORITY\\\\SYSTEM"
                },
                "eventType": "SYSTEM_API_CALL",
                "targetApp":
                {
                    "applicationName": "C: \\\\ProgramFiles(x86)\\\\Google\\\\Update\\\\GoogleUpdate.exe",
                    "md5Hash": null,
                    "reputationProperty": "TRUSTED_WHITE_LIST",
                    "effectiveReputation": null,
                    "applicationPath": null,
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null,
                    "sha256Hash": "52fc3aa9f704300041e486e57fe863218e4cdf4c8eee05ca6b99a296efee5737",
                    "virusSubCategory": null
                },
                "longDescription": "",
                "threatIndicators": ["SUSPENDED_PROCESS"],
                "securityEventCode": null,
                "registryValue": null,
                "incidentId": null,
                "shortDescription": "",
                "createTime": 1490617872232,
                "alertScore": 0,
                "alertCategory": null
            }
        },
        "Entity": "HP-01"
    }
]

获取进程

说明

按设备列出进程。

参数

参数 类型 默认值 是否为必需属性 说明
时间范围 字符串 3h 是 搜索的时间范围。示例：3h

运行于

此操作适用于以下实体：

  • IP 地址
  • 主机名

操作执行结果

实体扩充
扩充项字段名称 逻辑 - 应用场景
applicationName 返回 JSON 结果中是否存在相应值
processId 返回 JSON 结果中是否存在相应值
numEvents 返回 JSON 结果中是否存在相应值
applicationPath 返回 JSON 结果中是否存在相应值
privatePid 返回 JSON 结果中是否存在相应值
sha256Hash 返回 JSON 结果中是否存在相应值
脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
[
    {
        "EntityResult":
        {
            "0":
            {
                "applicationName": "chrome.exe",
                "processId": 3052,
                "numEvents": 252,
                "applicationPath": null,
                "privatePid": "3052-1489181082476-30",
                "sha256Hash": "c8b01dd0153bbe4527630fb002f9ef8b4e04127bdff212831ff67bd6ab0ea265"
            }
        },
        "Entity": "HP-01"
    }
]

Ping

说明

测试连接。

运行于

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。