Carbon Black Protection

Ce document explique comment intégrer Carbon Black App Control à Google Security Operations.

Configurer VMware Carbon Black App Control (App Control) pour qu'il fonctionne avec Google Security Operations

Clé API

Pour trouver une clé API correspondant à un compte utilisateur VMware Carbon Black App Control (App Control) spécifique, procédez comme suit :

  1. Connectez-vous à la console en tant qu'administrateur.
  2. Sélectionnez Administration > Comptes de connexion.
  3. Recherchez l'utilisateur dans la liste, puis cliquez sur le bouton Modifier à gauche de la ligne contenant son nom d'utilisateur.

Réseau

Fonction Port par défaut Direction Protocole
API Valeurs multiples Sortant apikey

Configurer l'intégration de Carbon Black Protection dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nom de l'instance Chaîne N/A Non Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description Chaîne N/A Non Description de l'instance.
Racine de l'API Chaîne https://x.x.x.x Oui Adresse de l'instance VMware Carbon Black App Control (App Control).
Clé API Chaîne N/A Oui Clé API générée dans la console VMware Carbon Black App Control (App Control).
Exécuter à distance Case à cocher Décochée Non Cochez le champ pour exécuter l'intégration configurée à distance. Une fois la case cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Analyser le fichier

Description

Analysez un fichier.

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Nom du connecteur Chaîne N/A Oui Nom du connecteur d'analyse. Exemple : Palo Alto Networks
Priorité Chaîne N/A Oui Priorité de l'analyse (de -2 à 2).
Timeout Chaîne N/A Oui Délai d'attente dépassé. Exemple : 120

Exécuter sur

Cette action s'exécute sur l'entité Filehash.

Résultats de l'action

Enrichissement d'entités

Une entité est marquée comme suspecte si CB Protection détecte un fichier MSI dont les données ont été ajoutées après la signature.

Nom du champ d'enrichissement Logique : quand l'appliquer ?
computerId Renvoie la valeur si elle existe dans le résultat JSON
connectorId Renvoie la valeur si elle existe dans le résultat JSON
analysisStatus Renvoie la valeur si elle existe dans le résultat JSON
dateCreated Renvoie la valeur si elle existe dans le résultat JSON
priorité Renvoie la valeur si elle existe dans le résultat JSON
createdByUserId Renvoie la valeur si elle existe dans le résultat JSON
is_malicious Renvoie la valeur si elle existe dans le résultat JSON
pathName Renvoie la valeur si elle existe dans le résultat JSON
fileCatalogId Renvoie la valeur si elle existe dans le résultat JSON
createdBy Renvoie la valeur si elle existe dans le résultat JSON
analysisResult Renvoie la valeur si elle existe dans le résultat JSON
dateModified Renvoie la valeur si elle existe dans le résultat JSON
fileName Renvoie la valeur si elle existe dans le résultat JSON
id Renvoie la valeur si elle existe dans le résultat JSON
analysisTarget Renvoie la valeur si elle existe dans le résultat JSON
Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False
Résultat JSON
[{
    "EntityResult":
        {
          "computerId": 1,
          "connectorId": 2,
          "analysisStatus": 0,
          "dateCreated": "2019-01-17T09:17:41.663Z",
          "priority": 0,
          "createdByUserId": 0,
          "is_malicious": "True",
          "pathName": "c:\\\\\\\\windows\\\\\\\\winsxs\\\\\\\\trojan.conf",
          "fileCatalogId": 23718,
          "createdBy": "admin",
          "analysisResult": 0,
          "dateModified": "2019-01-17T09:30:28.053Z",
          "fileName": "iexpress.exe",
          "id": 17,
          "analysisTarget": ""
         },
     "Entity": "FSFSD213CGJK3423423FCFS33dFSV123"
}]

Hachage du bloc

Description

Bloquez un hachage dans des règles spécifiques ou de manière globale.

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Noms des règles Chaîne N/A Non Exemple : Stratégie par défaut, Stratégie d'approbation locale

Exécuter sur

Cette action s'exécute sur l'entité Filehash.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False

Modifier les règles relatives aux ordinateurs

Description

Déplacer un ordinateur vers une autre règle

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Nom de la règle Chaîne N/A Oui Nouveau nom de la règle. Exemple : Stratégie par défaut

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False

Rechercher un fichier

Description

Recherchez une instance de fichier sur plusieurs ordinateurs.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur l'entité Filehash.

Résultats de l'action

Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
exécuté Renvoie la valeur si elle existe dans le résultat JSON
fileName Renvoie la valeur si elle existe dans le résultat JSON
computerId Renvoie la valeur si elle existe dans le résultat JSON
unifiedSource Renvoie la valeur si elle existe dans le résultat JSON
policyId Renvoie la valeur si elle existe dans le résultat JSON
detailedLocalState Renvoie la valeur si elle existe dans le résultat JSON
dateCreated Renvoie la valeur si elle existe dans le résultat JSON
topLevel Renvoie la valeur si elle existe dans le résultat JSON
certificateId Renvoie la valeur si elle existe dans le résultat JSON
pathName Renvoie la valeur si elle existe dans le résultat JSON
localState Renvoie la valeur si elle existe dans le résultat JSON
initialisé Renvoie la valeur si elle existe dans le résultat JSON
detachedCertificateId Renvoie la valeur si elle existe dans le résultat JSON
detachedPublisherId Renvoie la valeur si elle existe dans le résultat JSON
fileInstanceGroupId Renvoie la valeur si elle existe dans le résultat JSON
id Renvoie la valeur si elle existe dans le résultat JSON
fileCatalogId Renvoie la valeur si elle existe dans le résultat JSON
Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False
Résultat JSON
[{
   "executed": "true",
   "fileName": "iexpress.exe",
   "computerId": 1,
   "unifiedSource": "null",
   "policyId": 1,
   "detailedLocalState": 3,
   "dateCreated": "2018-05-29T10:09:27Z",
   "topLevel": "false",
   "certificateId": 0,
   "pathName": "c:\\\\\\\\windows\\\\\\\\syswow64",
   "localState": 3,
   "initialized": "true",
   "detachedCertificateId": 33,
   "detachedPublisherId": 8,
   "fileInstanceGroupId": 1,
   "id": 37372,
   "fileCatalogId": 23718
}]

Obtenir les ordinateurs par fichier

Description

Obtenez les ordinateurs sur lesquels un fichier avec la valeur SHA-256 donnée existe.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur l'entité Filehash.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Résultat JSON
[
    {
        "EntityResult": "00:50:56:11:22:33",
        "Entity": "macAddress"
    }, {
        "EntityResult": 0,
        "Entity": "systemMemoryDumps"
    }, {
        "EntityResult": "Agent did not receive all the rules yet",
        "Entity": "policyStatusDetails"
    }, {
        "EntityResult": "False",
        "Entity": "prioritized"
    }, {
        "EntityResult": 1,
        "Entity": "platformId"
    }, {
        "EntityResult": "None",
        "Entity": "upgradeErrorTime"
    }, {
        "EntityResult": 0,
        "Entity": "tdCount"
    }, {
        "EntityResult": "False",
        "Entity": "hasDuplicates"
    }, {
        "EntityResult": 60,
        "Entity": "disconnectedEnforcementLevel"
    }, {
        "EntityResult": "False",
        "Entity": "hasHealthCheckErrors"
    }, {
        "EntityResult": 100,
        "Entity": "syncPercent"
    }, {
        "EntityResult": 0,
        "Entity": "agentQueueSize"
    }, {
        "EntityResult": "1.1.1.1",
        "Entity": "agentVersion"
    }, {
        "EntityResult": 0,
        "Entity": "activeDebugLevel"
    }, {
        "EntityResult": "True",
        "Entity": "tamperProtectionActive"
    }, {
        "EntityResult": 0,
        "Entity": "refreshFlags"
    }, {
        "EntityResult": 0,
        "Entity": "cbSensorFlags"
    }, {
        "EntityResult": "None",
        "Entity": "templateCloneCleanupMode"
    }, {
        "EntityResult": 2,
        "Entity": "activeKernelDebugLevel"
    }, {
        "EntityResult": "None",
        "Entity": "description"
    }, {
        "EntityResult": "Default Policy",
        "Entity": "policyName"
    }, {
        "EntityResult": 60,
        "Entity": "enforcementLevel"
    }, {
        "EntityResult": "None",
        "Entity": "templateDate"
    }, {
        "EntityResult": 6,
        "Entity": "previousPolicyId"
    }, {
        "EntityResult": 8192,
        "Entity": "memorySize"
    }, {
        "EntityResult": 1212,
        "Entity": "clVersion"
    }, {
        "EntityResult": 1,
        "Entity": "id"
    }, {
        "EntityResult": "Approvals out of date",
        "Entity": "policyStatus"
    }, {
        "EntityResult": 2200.0,
        "Entity": "processorSpeed"
    }, {
        "EntityResult": 0,
        "Entity": "ccFlags"
    }, {
        "EntityResult": "False",
        "Entity": "template"
    }, {
        "EntityResult": "False",
        "Entity": "initializing"
    }, {
        "EntityResult": "False",
        "Entity": "uninstalled"
    }, {
        "EntityResult": 0,
        "Entity": "upgradeErrorCount"
    }, {
        "EntityResult": 0,
        "Entity": "templateComputerId"
    }, {
        "EntityResult": 55,
        "Entity": "daysOffline"
    }, {
        "EntityResult": "None",
        "Entity": "upgradeError"
    }, {
        "EntityResult": "False",
        "Entity": "automaticPolicy"
    }, {
        "EntityResult": "WORKGROUP\\\\\\\\TEST$,Window Manager\\\\\\\\TEST-4",
        "Entity": "users"
    }, {
        "EntityResult": "Windows Server 2012",
        "Entity": "osShortName"
    }, {
        "EntityResult": "False",
        "Entity": "deleted"
    }, {
        "EntityResult": 100,
        "Entity": "initPercent"
    }, {
        "EntityResult": "False",
        "Entity": "templateTrackModsOnly"
    }, {
        "EntityResult": 16,
        "Entity": "activeDebugFlags"
    }, {
        "EntityResult": "TEST-TEST-TEST-TEST",
        "Entity": "CLIPassword"
    }, {
        "EntityResult": "2018-05-29T10:10:19.26Z",
        "Entity": "dateCreated"
    }, {
        "EntityResult": "Yes",
        "Entity": "virtualized"
    }, {
        "EntityResult": 0,
        "Entity": "agentMemoryDumps"
    }, {
        "EntityResult": "False",
        "Entity": "connected"
    }, {
        "EntityResult": -1,
        "Entity": "debugLevel"
    }, {
        "EntityResult": "None",
        "Entity": "cbSensorVersion"
    }, {
        "EntityResult": "Up to date",
        "Entity": "upgradeStatus"
    }, {
        "EntityResult": "False",
        "Entity": "localApproval"
    }, {
        "EntityResult": "False",
        "Entity": "isActive"
    }, {
        "EntityResult": "WORKGROUP\\\\\\\\TEST",
        "Entity": "name"
    }, {
        "EntityResult": 0,
        "Entity": "debugFlags"
    }, {
        "EntityResult": "VMware",
        "Entity": "virtualPlatform"
    }, {
        "EntityResult": "None",
        "Entity": "computerTag"
    }, {
        "EntityResult": "2018-11-22T10:49:41.583Z",
        "Entity": "lastRegisterDate"
    }, {
        "EntityResult": 0,
        "Entity": "debugDuration"
    }, {
        "EntityResult": 0,
        "Entity": "cbSensorId"
    }, {
        "EntityResult": 0,
        "Entity": "SCEPStatus"
    }, {
        "EntityResult": 43432,
        "Entity": "agentCacheSize"
    }, {
        "EntityResult": 4,
        "Entity": "processorCount"
    }, {
        "EntityResult": "VMware Virtual Platform",
        "Entity": "machineModel"
    }, {
        "EntityResult": "Microsoft Windows Server 2012 R2 x64 Server Standard (Evaluation) (6.3.9600)",
        "Entity": "osName"
    }, {
        "EntityResult": "None",
        "Entity": "templateCloneCleanupTimeScale"
    }, {
        "EntityResult": 1,
        "Entity": "policyId"
    }, {
        "EntityResult": "False",
        "Entity": "forceUpgrade"
    }, {
        "EntityResult": "2018-11-23T21:59:12.613Z",
        "Entity": "lastPollDate"
    }, {
        "EntityResult": "None",
        "Entity": "templateCloneCleanupTime"
    }, {
        "EntityResult": "True",
        "Entity": "supportedKernel"
    }, {
        "EntityResult": 0,
        "Entity": "kernelDebugLevel"
    }, {
        "EntityResult": 0,
        "Entity": "ccLevel"
    }, {
        "EntityResult": "1.1.1.1",
        "Entity": "ipAddress"
    }, {
        "EntityResult": "Intel(R) Xeon(R) CPU E5-2630 v4 @ 2.20GHz",
        "Entity": "processorModel"
    }, {
        "EntityResult": 8,
        "Entity": "syncFlags"
    }
]

Obtenir des informations système

Description

Obtenez des informations sur un ordinateur.

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
macAddress Renvoie la valeur si elle existe dans le résultat JSON
systemMemoryDumps Renvoie la valeur si elle existe dans le résultat JSON
policyStatusDetails Renvoie la valeur si elle existe dans le résultat JSON
prioritaire Renvoie la valeur si elle existe dans le résultat JSON
platformId Renvoie la valeur si elle existe dans le résultat JSON
upgradeErrorTime Renvoie la valeur si elle existe dans le résultat JSON
tdCount Renvoie la valeur si elle existe dans le résultat JSON
hasDuplicates Renvoie la valeur si elle existe dans le résultat JSON
disconnectedEnforcementLevel Renvoie la valeur si elle existe dans le résultat JSON
hasHealthCheckErrors Renvoie la valeur si elle existe dans le résultat JSON
syncPercent Renvoie la valeur si elle existe dans le résultat JSON
agentVersion Renvoie la valeur si elle existe dans le résultat JSON
activeDebugLevel Renvoie la valeur si elle existe dans le résultat JSON
templateCloneCleanupMode Renvoie la valeur si elle existe dans le résultat JSON
processorCount Renvoie la valeur si elle existe dans le résultat JSON
kernelDebugLevel Renvoie la valeur si elle existe dans le résultat JSON
refreshFlags Renvoie la valeur si elle existe dans le résultat JSON
activeKernelDebugLevel Renvoie la valeur si elle existe dans le résultat JSON
utilisateurs Renvoie la valeur si elle existe dans le résultat JSON
policyName Renvoie la valeur si elle existe dans le résultat JSON
enforcementLevel Renvoie la valeur si elle existe dans le résultat JSON
templateDate Renvoie la valeur si elle existe dans le résultat JSON
previousPolicyId Renvoie la valeur si elle existe dans le résultat JSON
memorySize Renvoie la valeur si elle existe dans le résultat JSON
machineModel Renvoie la valeur si elle existe dans le résultat JSON
id Renvoie la valeur si elle existe dans le résultat JSON
policyStatus Renvoie la valeur si elle existe dans le résultat JSON
processorSpeed Renvoie la valeur si elle existe dans le résultat JSON
ccFlags Renvoie la valeur si elle existe dans le résultat JSON
modèle Renvoie la valeur si elle existe dans le résultat JSON
en cours d'initialisation Renvoie la valeur si elle existe dans le résultat JSON
initPercent Renvoie la valeur si elle existe dans le résultat JSON
désinstallée Renvoie la valeur si elle existe dans le résultat JSON
computerTag Renvoie la valeur si elle existe dans le résultat JSON
templateComputerId Renvoie la valeur si elle existe dans le résultat JSON
initPercent Renvoie la valeur si elle existe dans le résultat JSON
désinstallée Renvoie la valeur si elle existe dans le résultat JSON
computerTag Renvoie la valeur si elle existe dans le résultat JSON
templateComputerId Renvoie la valeur si elle existe dans le résultat JSON
daysOffline Renvoie la valeur si elle existe dans le résultat JSON
upgradeError Renvoie la valeur si elle existe dans le résultat JSON
automaticPolicy Renvoie la valeur si elle existe dans le résultat JSON
description Renvoie la valeur si elle existe dans le résultat JSON
osShortName Renvoie la valeur si elle existe dans le résultat JSON
supprimée Renvoie la valeur si elle existe dans le résultat JSON
localApproval Renvoie la valeur si elle existe dans le résultat JSON
tamperProtectionActive Renvoie la valeur si elle existe dans le résultat JSON
lastPollDate Renvoie la valeur si elle existe dans le résultat JSON
activeDebugFlags Renvoie la valeur si elle existe dans le résultat JSON
CLIPassword Renvoie la valeur si elle existe dans le résultat JSON
dateCreated Renvoie la valeur si elle existe dans le résultat JSON
virtualPlatform Renvoie la valeur si elle existe dans le résultat JSON
connecté Renvoie la valeur si elle existe dans le résultat JSON
supportedKernel Renvoie la valeur si elle existe dans le résultat JSON
debugLevel Renvoie la valeur si elle existe dans le résultat JSON
cbSensorVersion Renvoie la valeur si elle existe dans le résultat JSON
upgradeStatus Renvoie la valeur si elle existe dans le résultat JSON
upgradeErrorCount Renvoie la valeur si elle existe dans le résultat JSON
upgradeErrorCount Renvoie la valeur si elle existe dans le résultat JSON
isActive Renvoie la valeur si elle existe dans le résultat JSON
debugFlags Renvoie la valeur si elle existe dans le résultat JSON
agentMemoryDumps Renvoie la valeur si elle existe dans le résultat JSON
nom Renvoie la valeur si elle existe dans le résultat JSON
lastRegisterDate Renvoie la valeur si elle existe dans le résultat JSON
ipAddress Renvoie la valeur si elle existe dans le résultat JSON
cbSensorId Renvoie la valeur si elle existe dans le résultat JSON
SCEPStatus Renvoie la valeur si elle existe dans le résultat JSON
agentCacheSize Renvoie la valeur si elle existe dans le résultat JSON
cbSensorFlags Renvoie la valeur si elle existe dans le résultat JSON
clVersion Renvoie la valeur si elle existe dans le résultat JSON
osName Renvoie la valeur si elle existe dans le résultat JSON
templateCloneCleanupTimeScale Renvoie la valeur si elle existe dans le résultat JSON
policyId Renvoie la valeur si elle existe dans le résultat JSON
forceUpgrade Renvoie la valeur si elle existe dans le résultat JSON
templateTrackModsOnly Renvoie la valeur si elle existe dans le résultat JSON
templateCloneCleanupTime Renvoie la valeur si elle existe dans le résultat JSON
agentQueueSize Renvoie la valeur si elle existe dans le résultat JSON
virtualisé Renvoie la valeur si elle existe dans le résultat JSON
ccLevel Renvoie la valeur si elle existe dans le résultat JSON
debugDuration Renvoie la valeur si elle existe dans le résultat JSON
processorModel Renvoie la valeur si elle existe dans le résultat JSON
syncFlags Renvoie la valeur si elle existe dans le résultat JSON
Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False
Résultat JSON
{
  "macAddress": "00:50:56:B5:30:57",
  "systemMemoryDumps": 0,
  "policyStatusDetails": "Agent did not receive all the rules yet",
  "prioritized": "False",
  "platformId": 1,
  "upgradeErrorTime": "None",
  "tdCount": 0,
  "hasDuplicates": "False",
  "disconnectedEnforcementLevel": 60,
  "hasHealthCheckErrors": "False",
  "syncPercent": 100,
  "agentVersion": "8.0.0.2562",
  "activeDebugLevel": 0,
  "templateCloneCleanupMode": "None",
  "processorCount": 4,
  "kernelDebugLevel": 0,
  "refreshFlags": 0,
  "activeKernelDebugLevel": 2,
  "users": "WORKGROUP\\\\\\\\SIEMPLIFY$,Window Manager\\\\\\\\DWM-4",
  "policyName": "Default Policy",
  "enforcementLevel": 60,
  "templateDate": "None",
  "previousPolicyId": 6,
  "memorySize": 8192,
  "machineModel": "VMware Virtual Platform",
  "id": 1,
  "policyStatus": "Approvals out of date",
  "processorSpeed": 2200.0,
  "ccFlags": 0,
  "template": "False",
  "initializing": "False",
  "initPercent": 100,
  "uninstalled": "False",
  "computerTag": "None",
  "templateComputerId": 0,
  "daysOffline": 55,
  "upgradeError": "None",
  "automaticPolicy": "False",
  "description": "None",
  "osShortName": "Windows Server 2012",
  "deleted": "False",
  "localApproval": "False",
  "tamperProtectionActive": "True",
  "lastPollDate": "2018-11-23T21:59:12.613Z",
  "activeDebugFlags": 16,
  "CLIPassword": "EYTL-TOYF-EYKG-NIHJ",
  "dateCreated": "2018-05-29T10:10:19.26Z",
  "virtualPlatform": "VMware",
  "connected": "False",
  "supportedKernel": "True",
  "debugLevel": -1,
  "cbSensorVersion": "None",
  "upgradeStatus": "Up to date",
  "upgradeErrorCount": 0,
  "isActive": "False",
  "debugFlags": 0,
  "agentMemoryDumps": 0,
  "name": "WORKGROUP\\\\\\\\SIEMPLIFY",
  "lastRegisterDate": "2018-11-22T10:49:41.583Z",
  "ipAddress": "10.0.0.67",
  "cbSensorId": 0,
  "SCEPStatus": 0,
  "agentCacheSize": 43432,
  "cbSensorFlags": 0,
  "clVersion": 1212,
  "osName": "Microsoft Windows Server 2012 R2 x64 Server Standard (Evaluation) (6.3.9600)",
  "templateCloneCleanupTimeScale": "None",
  "policyId": 1,
   "forceUpgrade": "False",
   "templateTrackModsOnly": "False",
   "templateCloneCleanupTime": "None",
   "agentQueueSize": 0,
   "virtualized": "Yes",
   "ccLevel": 0,
   "debugDuration": 0,
   "processorModel": "Intel(R) Xeon(R) CPU E5-2630 v4 @ 2.20GHz",
   "syncFlags": 8
}

Ping

Description

Testez la connectivité.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False

Débloquer le hachage

Description

Débloquez un hachage pour des règles spécifiques ou de manière globale.

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Noms des règles Chaîne N/A Non Séparés par une virgule. Exemple : Stratégie par défaut, Stratégie d'approbation locale

Exécuter sur

Cette action s'exécute sur l'entité Filehash.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.