Esta página foi traduzida pela API Cloud Translation.

Resposta ao vivo do VMware Carbon Black Endpoint Standard

Versão da integração: 6.0

Caso de uso

Realize investigações e correções em tempo real nos hosts que executam o agente do CB Endpoint Standard.

Configurar o VMware Carbon Black Endpoint Standard Live Response para trabalhar com o Google Security Operations

Permissão de produto

O recurso Carbon Black Live Response é autenticado por chave de API. Os usuários podem ver as configurações de chave de API no console do Carbon Black Cloud em "Configurações > Chaves de API".

Nomes de host do serviço

Há dois nomes de host do Carbon Black Cloud:

https://defense-<environment>.conferdeploy.net
https://api-<environment>.conferdeploy.net

Além disso, temos vários ambientes, como (não é uma lista completa):

prod02
prod04
prod05

Para a API Carbon Black Live Response, os seguintes nomes de host serão usados: https://defense-about:blank)<environment>.conferdeploy.net

Chaves de API

As chaves de API incluem duas partes:

Chave secreta da API (antes chamada de chave de API).
ID da API (antes ID do conector).

A autenticação é transmitida para a API pelo cabeçalho HTTP X-Auth-Token.

Para gerar o cabeçalho adequado, concatene a chave secreta da API com o ID da API com uma barra entre eles.
Por exemplo, se a chave secreta da API for ABCD e o ID da API for 1234, o cabeçalho HTTP X-Auth-Token correspondente será: X-Auth-Token: ABCD/1234

Todas as solicitações de API precisam ser autenticadas usando uma chave secreta e um ID da API. Solicitações não autenticadas retornam um erro HTTP 401.

Como conseguir uma chave secreta e um ID de API

Faça login na sua organização do Carbon Black Cloud.
Acesse Configurações > Chaves de API.
Clique em "Adicionar chave de API".
Selecione Nível de acesso = Resposta em tempo real e configure outros parâmetros.
Receba o par de chave secreta e ID da API.

Rede

Função	Porta padrão	Direção	Protocolo
API	Multivalores	Saída	apikey

Permissão de produto para a versão 6 da API CB Live Response

Conceitos necessários para acessar as APIs do Carbon Black Cloud:

Nome do host do serviço
Chaves de API
RBAC
Chaves da organização

Nomes de host do serviço:

Para a API CarbonBlack Live Response, os seguintes nomes de host serão usados: https://defense-<environment>.conferdeploy.net

Chaves de API

As APIs e os serviços do Carbon Black Cloud são autenticados por chaves de API. Os usuários podem ver as configurações de chave de API no console do Carbon Black Cloud em "Configurações > Chaves de API".

As chaves de API incluem duas partes:

Chave secreta da API (antes chamada de chave de API).
ID da API (antes ID do conector).

Como conseguir uma chave secreta e um ID da API

Faça login na sua organização do Carbon Black Cloud.
Acesse Configurações > Chaves de API.
Clique em "Adicionar chave de API".
Configure nome, nível de acesso etc.
Receba o par de chave secreta e ID da API.

Isso permite que um administrador da organização defina uma chave de API e tenha acesso à chave secreta e ao ID da API, que são necessários para autenticar a solicitação de API. Além disso, os administradores podem restringir o uso dessa chave de API a um conjunto específico de endereços IP por motivos de segurança.

Chaves da organização

Além das chaves de API, muitas APIs ou serviços do Carbon Black Cloud exigem uma org_key no caminho da solicitação de API. Isso é para oferecer suporte a clientes que gerenciam várias organizações. Você encontra a org_key no console do Carbon Black Cloud em Settings > API Keys.

Configurar o acesso à API para a integração do CB Live Response com o Google SecOps

Para configurar o acesso à API para a integração do Google SecOps de resposta em tempo real do CB, siga estas etapas:

Faça login no console do Carbon Black Cloud e acesse Configurações > Acesso à API.
Na página "Acesso à API", acesse Níveis de acesso.
Na página "Níveis de acesso", clique em + Adicionar nível de acesso.
Na janela aberta, forneça um nome e uma descrição para o novo nível de acesso e selecione permissões como na captura de tela abaixo:
Volte para a guia "Acesso à API".
Clique em + Adicionar chave de API para criar uma chave.
Na guia aberta, preencha o campo obrigatório e selecione o nível de acesso que você configurou na etapa 4:
Depois de clicar em "Salvar", o ID e a chave secreta da API vão aparecer. Salve esses valores, porque você vai precisar deles para configurar a integração.
Depois que o ID e a chave secreta da API forem salvos, o acesso à API CB Live Response v6 será concluído.

Configurar a integração do VMware Carbon Black Endpoint Standard Live Response no Google SecOps

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome da instância	String	N/A	Não	Nome da instância em que você pretende configurar a integração.
Descrição	String	N/A	Não	Descrição da instância.
Raiz da API	String	https://defense-{environment}.conferdeploy.net	Sim	URL raiz da API de resposta em tempo real padrão do endpoint.
Chave da organização	String	N/A	Sim	Chave da organização do Vmware Carbon Black Cloud.
ID da API do Carbon Black Cloud	String	N/A	Sim	ID da API do VMware Carbon Black Cloud (ID da chave de API personalizada que permite ler dados de dispositivos).
Chave secreta da API do Carbon Black Cloud.	String	N/A	Sim	Chave secreta da API do VMware Carbon Black Cloud (ID de chave de API personalizada que permite ler dados de dispositivos).
ID da API Live Response	String	N/A	Sim	Endpoint Standard ID da API de chave de API de resposta em tempo real.
Chave secreta da API Live Response	Senha	N/A	Sim	Chave secreta da API de resposta em tempo real.
Executar remotamente	Caixa de seleção	Desmarcado	Não	Marque a caixa para executar a integração configurada remotamente. Depois de marcada, a opção aparece para selecionar o usuário remoto (agente).
Usar a API Live Response V6	Caixa de seleção	Desmarcado	Não	Se ativada, a integração vai usar a API Live Response versão 6, que faz parte das APIs do CB Cloud (plataforma).

Ações

Ping

Descrição

Teste a conectividade com o VMware Carbon Black Endpoint Standard Live Response usando os parâmetros fornecidos na página de configuração da integração na guia "Marketplace" do Google Security Operations.

Parâmetros

N/A

Caso de uso

A ação é usada para testar a conectividade na página de configuração da integração na guia "Marketplace" do Google Security Operations e pode ser executada como uma ação manual, não usada em playbooks.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se a conexão for bem-sucedida, imprima "Successfully connected to the VMware Carbon Black Endpoint Standard Live Response service with the provided connection parameters!" A ação precisa falhar e interromper a execução de um playbook: Se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Falha ao se conectar ao serviço de resposta ativa do VMware Carbon Black Endpoint Standard. O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se a conexão for bem-sucedida, imprima "Successfully connected to the VMware Carbon Black Endpoint Standard Live Response service with the provided connection parameters!"

A ação precisa falhar e interromper a execução de um playbook:

Se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Falha ao se conectar ao serviço de resposta ativa do VMware Carbon Black Endpoint Standard. O erro é {0}".format(exception.stacktrace)

Geral

Encerrar processo

Descrição

Encerra um processo em um host com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do processo	String	N/A	Não	Nome do processo para pesquisar o PID. O nome do processo não diferencia maiúsculas de minúsculas.
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Caso de uso

Encerra o processo malicioso no dispositivo afetado.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

A ação precisa retornar um resultado JSON.

A ação precisa retornar as informações sobre a tarefa de processo de encerramento executada, e esses resultados precisam ser agrupados de acordo com as entidades em que a ação foi executada para uso posterior com o criador de expressões. Consulte o exemplo em JSON para referência.

{
    "entity1":[
  {
    "obj": {
        "name": "kill",
        "object": 2224
    },
    "id": 1,
    "name": "kill",
    "username": null,
    "creation_time": 1602161475,
    "completion_time": 1602161475,
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete"
}]
}

Listar processos

Descrição

Lista os processos em execução no endpoint com base no host ou na entidade IP do Google SecOps fornecidos.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do processo	String	N/A	Não	Nome do processo a ser pesquisado no host. O nome do processo não diferencia maiúsculas de minúsculas.
Quantos registros retornar	Número inteiro	25	Não	Quantos registros por ação de entidade devem ser retornados.
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Casos de uso

Receba uma lista de processos do host específico para investigação.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Enriquecimento de entidades

Nome do campo de enriquecimento	Lógica: quando aplicar
cb_defense_deviceId	N/A
cb_defense_policy	N/A

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

A ação precisa retornar um resultado JSON.

A ação precisa retornar as informações sobre os processos do resultado do comando "get" e esses resultados precisam ser agrupados de acordo com as entidades em que a ação foi executada para uso posterior com o criador de expressões. Consulte o exemplo em JSON para referência.

{
    "entity1":[
  {
    "pid": 4,
    "create_time": 132463818889511,
    "path": "SYSTEM",
    "command_line": "",
    "sid": "S-1-5-18",
    "username": "NT AUTHORITY\\SYSTEM",
    "parent": 0,
    "parent_create_time": 0
  }]
}

Baixar o arquivo

Descrição

Faça o download de um arquivo de um host que executa o VMware CB Cloud Agent com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do arquivo	String	N/A	Não	Especifique o nome do arquivo para fazer o download. O nome do arquivo não diferencia maiúsculas de minúsculas.
Caminho do diretório remoto	String	N/A	Sim	Especifique o caminho do diretório remoto que a ação deve seguir para baixar o arquivo. Exemplo: C:\\TMP\\
Caminho do diretório local	String	N/A	Sim	Especifique o caminho do diretório local em que a ação deve salvar o arquivo. Exemplo: /tmp/
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host
Arquivo (opcional, se fornecido)

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "values": [],
    "file_details": {
        "offset": 0,
        "count": 0,
        "file_id": "55173d88-b4a8-4410-870c-8d3a0acf1cc9"
    },
    "id": 1,
    "name": "get file",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "get file",
        "object": "C:\\TMP\\127.0.0.1.txt"
    },
    "create_time": "2021-06-16T11:46:41Z",
    "finish_time": "2021-06-16T11:46:42Z"
}

Listar arquivos

Descrição

Liste arquivos em um host que executa o agente do VMware CB Cloud com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Caminho do diretório remoto	String	N/A	Sim	Especifique o caminho do diretório de destino que a ação precisa listar. Exemplo: C:\\TMP\\ ou /tmp/
Número máximo de linhas a serem retornadas	Número inteiro	50	Não	Especifique quantas linhas a ação deve retornar.
Começar da linha	Número inteiro	0	Não	Especifique de qual linha a ação deve começar a retornar dados.
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "values": [],
    "id": 0,
    "name": "directory list",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [
        {
            "size": 0,
            "attributes": [
                "DIRECTORY"
            ],
            "filename": ".",
            "alternate_name": "",
            "create_time": "2021-01-27T19:06:19Z",
            "last_access_time": "2021-06-16T07:51:39Z",
            "last_write_time": "2021-06-16T07:51:40Z"
        },
        {
            "size": 0,
            "attributes": [
                "DIRECTORY"
            ],
            "filename": "..",
            "alternate_name": "",
            "create_time": "2021-01-27T19:06:19Z",
            "last_access_time": "2021-06-16T07:51:39Z",
            "last_write_time": "2021-06-16T07:51:40Z"
        },
        {
            "size": 341,
            "attributes": [
                "ARCHIVE"
            ],
            "filename": "127.0.0.1.txt",
            "alternate_name": "127001~1.TXT",
            "create_time": "2021-01-27T19:18:44Z",
            "last_access_time": "2021-03-18T12:34:04Z",
            "last_write_time": "2021-01-27T19:03:27Z"
        },

Enviar arquivo

Descrição

Coloque um arquivo em um host que executa o agente do VMware CB Cloud com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do arquivo	String	N/A	Não	Especifique o nome do arquivo para fazer upload. O nome do arquivo não diferencia maiúsculas de minúsculas.
Caminho do diretório de origem	String	N/A	Sim	Especifique o caminho do diretório de origem que a ação deve seguir para fazer upload do arquivo. Exemplo: /tmp/
Caminho do diretório de destino	String	N/A	Sim	Especifique o caminho do diretório de destino para onde a ação deve fazer upload do arquivo. Exemplo: C:\\TMP\\
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host
Arquivo (opcional, se fornecido)

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "values": [],
    "id": 0,
    "name": "put file",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "chunkNumber": 0,
        "file_id": "a3623dc4-a1cc-4d29-8cde-2d36d605b1a5",
        "name": "put file",
        "object": "C:\\TMP\\test_file.txt"
    },
    "create_time": "2021-06-16T07:51:40Z",
    "finish_time": "2021-06-16T07:51:41Z"
}

Executar arquivo

Descrição

Execute um arquivo em um host que executa o agente do VMware CB Cloud com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do arquivo	String	N/A	Não	Especifique o nome do arquivo a ser executado. O nome do arquivo não diferencia maiúsculas de minúsculas.
Caminho do diretório remoto	String	N/A	Sim	Especifique o caminho do diretório remoto para o arquivo a ser executado. Exemplo: C:\\TMP\\
Gerar arquivo de registro de saída no host remoto	String	N/A	Não	Especifique a ação que o arquivo de registro de saída deve salvar a saída redirecionada. Exemplo: C:\\TMP\\cmdoutput.log
Argumentos de comando a serem transmitidos para o arquivo	String	N/A	Não	Especifique os argumentos de comando a serem transmitidos para executar o arquivo. Por exemplo, aqui especificamos "/C whoami" para executar o comando whoami com cmd: C:\Windows\system32\cmd.exe /C whoami
Aguardar o resultado	Booleano	Caixa de seleção desmarcada	Não	Se ativada, a ação vai aguardar a conclusão do comando.
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host
Arquivo (opcional, se fornecido)

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "values": [],
    "process_details": {
        "pid": 0,
        "return_code": -1
    },
    "id": 0,
    "name": "create process",
    "result_code": 0,
    "result_desc": "",
    "status": "pending",
    "sub_keys": [],
    "files": [],
    "input": {
        "wait": false,
        "name": "create process",
        "object": "C:\\Windows\\system32\\cmd.exe /C whoami"
    },
    "create_time": "2021-06-16T12:14:25Z",
    "finish_time": "2021-06-16T12:14:25.690Z"
}

Criar memdump

Descrição

Crie um memdump em um host que executa o VMware CB Cloud Agent com base na entidade de host ou IP do Google SecOps.

Além disso, a API VMware CB não mostra uma mensagem de erro se um caminho de diretório remoto inválido for fornecido para o despejo de memória criado.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do arquivo	String	N/A	Não	Especifique o nome do arquivo para a criação de memdump. O nome do arquivo não diferencia maiúsculas de minúsculas.
Caminho do diretório remoto	String	N/A	Sim	Especifique o caminho do arquivo de diretório para armazenar o memdump. Exemplo: C:\\TMP\\
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host
Arquivo (opcional, se fornecido)

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "values": [],
    "mem_dump": {
        "compressing": false,
        "complete": true,
        "dumping": false,
        "return_code": 1627,
        "percentdone": 0
    },
    "id": 0,
    "name": "memdump",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "memdump",
        "object": "C:\\TMP\\cb-session-dump2.dmp"
    },
    "create_time": "2021-06-16T13:06:26Z",
    "finish_time": "+53427-09-21T04:18:52Z"
}

Excluir arquivo

Descrição

Exclua um arquivo de um host que executa o VMware CB Cloud Agent com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do arquivo	String	N/A	Não	Especifique o nome do arquivo a ser excluído. O nome do arquivo não diferencia maiúsculas de minúsculas.
Caminho do diretório remoto	String	N/A	Sim	Especifique o caminho do diretório remoto para o arquivo a ser excluído. Exemplo: C:\\TMP\\
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "values": [],
    "id": 0,
    "name": "delete file",
    "result_code": 0,
    "result_desc": "",
    "status": "pending",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "delete file",
        "object": "C:\\TMP\\test_file.txt"
    },
    "create_time": "2021-06-16T13:43:45Z",
    "finish_time": "2021-06-16T13:43:45.796Z"
}

Listar arquivos no Cloud Storage

Descrição

Liste os arquivos no armazenamento de arquivos do VMware Carbon Black Cloud para uma sessão de resposta ativa com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Número máximo de linhas a serem retornadas	Número inteiro	50	Não	Especifique quantas linhas a ação deve retornar.
Começar da linha	Número inteiro	0	Não	Especifique de qual linha a ação deve começar a retornar dados.
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

[
    {
        "id": "97200931-cca6-4eed-8952-c47d529de103",
        "size": 32,
        "file_name": "test_file.txt",
        "size_uploaded": 0,
        "upload_url": null
    }
]

Excluir arquivo do Cloud Storage

Descrição

Exclui um arquivo do armazenamento de arquivos do VMware Carbon Black Cloud para uma sessão de resposta ativa com base na entidade de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do arquivo	String	N/A	Não	Especifique o nome do arquivo a ser excluído. O nome do arquivo não diferencia maiúsculas de minúsculas.
Verificar se há uma sessão ativa x vezes	Número inteiro	20	Sim	Quantas tentativas a ação deve fazer para conseguir uma sessão ativa para a entidade. A verificação é feita a cada dois segundos.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Host
Arquivo (opcional, se fornecido)

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.