Carbon Black Protection

통합 버전: 7.0

Google Security Operations와 함께 작동하도록 VMware Carbon Black App Control (App Control) 구성

API 키

특정 VMware Carbon Black App Control (App Control) 사용자 계정에 해당하는 API 키를 찾으려면 다음 단계를 완료하세요.

  1. 관리자로 콘솔에 로그인합니다.
  2. 관리 > 로그인 계정을 선택합니다.
  3. 목록에서 사용자를 찾은 다음 사용자 이름이 포함된 행의 왼쪽에 있는 수정 버튼을 클릭합니다.

네트워크

함수 기본 포트 방향 프로토콜
API Multivalues 아웃바운드 apikey

Google SecOps에서 Carbon Black Protection 통합 구성

Google SecOps에서 통합을 구성하는 방법에 대한 자세한 내용은 통합 구성을 참고하세요.

통합 매개변수

다음 매개변수를 사용하여 통합을 구성합니다.

매개변수 표시 이름 유형 기본값 필수 항목 설명
인스턴스 이름 문자열 해당 사항 없음 No 통합을 구성할 인스턴스의 이름입니다.
설명 문자열 해당 사항 없음 No 인스턴스에 대한 설명입니다.
API 루트 문자열 https://x.x.x.x 예 VMware Carbon Black App Control (App Control) 인스턴스의 주소입니다.
API 키 문자열 해당 사항 없음 예 VMware Carbon Black App Control (App Control) 콘솔에서 생성된 API 키입니다.
원격 실행 체크박스 선택 해제 No 구성된 통합을 원격으로 실행하려면 필드를 선택합니다. 선택하면 원격 사용자(에이전트)를 선택하는 옵션이 나타납니다.

작업

파일 분석

설명

파일을 분석합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
커넥터 이름 문자열 해당 사항 없음 예 분석 커넥터의 이름입니다. 예: Palo Alto Networks
우선순위 문자열 해당 사항 없음 예 분석의 우선순위 (-2~2)입니다.
제한 시간 문자열 해당 사항 없음 예 대기 시간 초과입니다. 예: 120

실행

이 작업은 Filehash 항목에서 실행됩니다.

작업 결과

항목 보강

서명 뒤에 데이터가 추가된 MSI 파일이 CB Protection에 의해 감지되면 엔티티가 의심스러운 것으로 표시됩니다.

보강 필드 이름 로직 - 적용 시기
computerId JSON 결과에 존재하는 경우에 반환
connectorId JSON 결과에 존재하는 경우에 반환
analysisStatus JSON 결과에 존재하는 경우에 반환
dateCreated JSON 결과에 존재하는 경우에 반환
우선순위 JSON 결과에 존재하는 경우에 반환
createdByUserId JSON 결과에 존재하는 경우에 반환
is_malicious JSON 결과에 존재하는 경우에 반환
pathName JSON 결과에 존재하는 경우에 반환
fileCatalogId JSON 결과에 존재하는 경우에 반환
createdBy JSON 결과에 존재하는 경우에 반환
analysisResult JSON 결과에 존재하는 경우에 반환
dateModified JSON 결과에 존재하는 경우에 반환
fileName JSON 결과에 존재하는 경우에 반환
id JSON 결과에 존재하는 경우에 반환
analysisTarget JSON 결과에 존재하는 경우에 반환
스크립트 결과
스크립트 결과 이름 값 옵션 예시
성공 True/False success:False
JSON 결과
[{
    "EntityResult":
        {
          "computerId": 1,
          "connectorId": 2,
          "analysisStatus": 0,
          "dateCreated": "2019-01-17T09:17:41.663Z",
          "priority": 0,
          "createdByUserId": 0,
          "is_malicious": "True",
          "pathName": "c:\\\\\\\\windows\\\\\\\\winsxs\\\\\\\\trojan.conf",
          "fileCatalogId": 23718,
          "createdBy": "admin",
          "analysisResult": 0,
          "dateModified": "2019-01-17T09:30:28.053Z",
          "fileName": "iexpress.exe",
          "id": 17,
          "analysisTarget": ""
         },
     "Entity": "FSFSD213CGJK3423423FCFS33dFSV123"
}]

블록 해시

설명

특정 정책 또는 전역에서 해시를 차단합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
정책 이름 문자열 해당 사항 없음 아니요 예: 기본 정책, 로컬 승인 정책

실행

이 작업은 Filehash 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
성공 True/False success:False

컴퓨터 정책 변경

설명

컴퓨터를 새 정책으로 이동

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
정책 이름 문자열 해당 사항 없음 예 새 정책 이름입니다. 예: 기본 정책

실행

이 작업은 다음 항목에서 실행됩니다.

  • IP 주소
  • 호스트 이름

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
성공 True/False success:False

파일 찾기

설명

여러 컴퓨터에서 파일 인스턴스를 찾습니다.

매개변수

해당 사항 없음

실행

이 작업은 Filehash 항목에서 실행됩니다.

작업 결과

항목 보강
보강 필드 이름 로직 - 적용 시기
실행됨 JSON 결과에 존재하는 경우에 반환
fileName JSON 결과에 존재하는 경우에 반환
computerId JSON 결과에 존재하는 경우에 반환
unifiedSource JSON 결과에 존재하는 경우에 반환
policyId JSON 결과에 존재하는 경우에 반환
detailedLocalState JSON 결과에 존재하는 경우에 반환
dateCreated JSON 결과에 존재하는 경우에 반환
topLevel JSON 결과에 존재하는 경우에 반환
certificateId JSON 결과에 존재하는 경우에 반환
pathName JSON 결과에 존재하는 경우에 반환
localState JSON 결과에 존재하는 경우에 반환
초기화됨 JSON 결과에 존재하는 경우에 반환
detachedCertificateId JSON 결과에 존재하는 경우에 반환
detachedPublisherId JSON 결과에 존재하는 경우에 반환
fileInstanceGroupId JSON 결과에 존재하는 경우에 반환
id JSON 결과에 존재하는 경우에 반환
fileCatalogId JSON 결과에 존재하는 경우에 반환
스크립트 결과
스크립트 결과 이름 값 옵션 예시
성공 True/False success:False
JSON 결과
[{
   "executed": "true",
   "fileName": "iexpress.exe",
   "computerId": 1,
   "unifiedSource": "null",
   "policyId": 1,
   "detailedLocalState": 3,
   "dateCreated": "2018-05-29T10:09:27Z",
   "topLevel": "false",
   "certificateId": 0,
   "pathName": "c:\\\\\\\\windows\\\\\\\\syswow64",
   "localState": 3,
   "initialized": "true",
   "detachedCertificateId": 33,
   "detachedPublisherId": 8,
   "fileInstanceGroupId": 1,
   "id": 37372,
   "fileCatalogId": 23718
}]

파일별 컴퓨터 가져오기

설명

지정된 SHA-256 값이 있는 파일이 있는 컴퓨터를 가져옵니다.

매개변수

해당 사항 없음

실행

이 작업은 Filehash 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
[
    {
        "EntityResult": "00:50:56:11:22:33",
        "Entity": "macAddress"
    }, {
        "EntityResult": 0,
        "Entity": "systemMemoryDumps"
    }, {
        "EntityResult": "Agent did not receive all the rules yet",
        "Entity": "policyStatusDetails"
    }, {
        "EntityResult": "False",
        "Entity": "prioritized"
    }, {
        "EntityResult": 1,
        "Entity": "platformId"
    }, {
        "EntityResult": "None",
        "Entity": "upgradeErrorTime"
    }, {
        "EntityResult": 0,
        "Entity": "tdCount"
    }, {
        "EntityResult": "False",
        "Entity": "hasDuplicates"
    }, {
        "EntityResult": 60,
        "Entity": "disconnectedEnforcementLevel"
    }, {
        "EntityResult": "False",
        "Entity": "hasHealthCheckErrors"
    }, {
        "EntityResult": 100,
        "Entity": "syncPercent"
    }, {
        "EntityResult": 0,
        "Entity": "agentQueueSize"
    }, {
        "EntityResult": "1.1.1.1",
        "Entity": "agentVersion"
    }, {
        "EntityResult": 0,
        "Entity": "activeDebugLevel"
    }, {
        "EntityResult": "True",
        "Entity": "tamperProtectionActive"
    }, {
        "EntityResult": 0,
        "Entity": "refreshFlags"
    }, {
        "EntityResult": 0,
        "Entity": "cbSensorFlags"
    }, {
        "EntityResult": "None",
        "Entity": "templateCloneCleanupMode"
    }, {
        "EntityResult": 2,
        "Entity": "activeKernelDebugLevel"
    }, {
        "EntityResult": "None",
        "Entity": "description"
    }, {
        "EntityResult": "Default Policy",
        "Entity": "policyName"
    }, {
        "EntityResult": 60,
        "Entity": "enforcementLevel"
    }, {
        "EntityResult": "None",
        "Entity": "templateDate"
    }, {
        "EntityResult": 6,
        "Entity": "previousPolicyId"
    }, {
        "EntityResult": 8192,
        "Entity": "memorySize"
    }, {
        "EntityResult": 1212,
        "Entity": "clVersion"
    }, {
        "EntityResult": 1,
        "Entity": "id"
    }, {
        "EntityResult": "Approvals out of date",
        "Entity": "policyStatus"
    }, {
        "EntityResult": 2200.0,
        "Entity": "processorSpeed"
    }, {
        "EntityResult": 0,
        "Entity": "ccFlags"
    }, {
        "EntityResult": "False",
        "Entity": "template"
    }, {
        "EntityResult": "False",
        "Entity": "initializing"
    }, {
        "EntityResult": "False",
        "Entity": "uninstalled"
    }, {
        "EntityResult": 0,
        "Entity": "upgradeErrorCount"
    }, {
        "EntityResult": 0,
        "Entity": "templateComputerId"
    }, {
        "EntityResult": 55,
        "Entity": "daysOffline"
    }, {
        "EntityResult": "None",
        "Entity": "upgradeError"
    }, {
        "EntityResult": "False",
        "Entity": "automaticPolicy"
    }, {
        "EntityResult": "WORKGROUP\\\\\\\\TEST$,Window Manager\\\\\\\\TEST-4",
        "Entity": "users"
    }, {
        "EntityResult": "Windows Server 2012",
        "Entity": "osShortName"
    }, {
        "EntityResult": "False",
        "Entity": "deleted"
    }, {
        "EntityResult": 100,
        "Entity": "initPercent"
    }, {
        "EntityResult": "False",
        "Entity": "templateTrackModsOnly"
    }, {
        "EntityResult": 16,
        "Entity": "activeDebugFlags"
    }, {
        "EntityResult": "TEST-TEST-TEST-TEST",
        "Entity": "CLIPassword"
    }, {
        "EntityResult": "2018-05-29T10:10:19.26Z",
        "Entity": "dateCreated"
    }, {
        "EntityResult": "Yes",
        "Entity": "virtualized"
    }, {
        "EntityResult": 0,
        "Entity": "agentMemoryDumps"
    }, {
        "EntityResult": "False",
        "Entity": "connected"
    }, {
        "EntityResult": -1,
        "Entity": "debugLevel"
    }, {
        "EntityResult": "None",
        "Entity": "cbSensorVersion"
    }, {
        "EntityResult": "Up to date",
        "Entity": "upgradeStatus"
    }, {
        "EntityResult": "False",
        "Entity": "localApproval"
    }, {
        "EntityResult": "False",
        "Entity": "isActive"
    }, {
        "EntityResult": "WORKGROUP\\\\\\\\TEST",
        "Entity": "name"
    }, {
        "EntityResult": 0,
        "Entity": "debugFlags"
    }, {
        "EntityResult": "VMware",
        "Entity": "virtualPlatform"
    }, {
        "EntityResult": "None",
        "Entity": "computerTag"
    }, {
        "EntityResult": "2018-11-22T10:49:41.583Z",
        "Entity": "lastRegisterDate"
    }, {
        "EntityResult": 0,
        "Entity": "debugDuration"
    }, {
        "EntityResult": 0,
        "Entity": "cbSensorId"
    }, {
        "EntityResult": 0,
        "Entity": "SCEPStatus"
    }, {
        "EntityResult": 43432,
        "Entity": "agentCacheSize"
    }, {
        "EntityResult": 4,
        "Entity": "processorCount"
    }, {
        "EntityResult": "VMware Virtual Platform",
        "Entity": "machineModel"
    }, {
        "EntityResult": "Microsoft Windows Server 2012 R2 x64 Server Standard (Evaluation) (6.3.9600)",
        "Entity": "osName"
    }, {
        "EntityResult": "None",
        "Entity": "templateCloneCleanupTimeScale"
    }, {
        "EntityResult": 1,
        "Entity": "policyId"
    }, {
        "EntityResult": "False",
        "Entity": "forceUpgrade"
    }, {
        "EntityResult": "2018-11-23T21:59:12.613Z",
        "Entity": "lastPollDate"
    }, {
        "EntityResult": "None",
        "Entity": "templateCloneCleanupTime"
    }, {
        "EntityResult": "True",
        "Entity": "supportedKernel"
    }, {
        "EntityResult": 0,
        "Entity": "kernelDebugLevel"
    }, {
        "EntityResult": 0,
        "Entity": "ccLevel"
    }, {
        "EntityResult": "1.1.1.1",
        "Entity": "ipAddress"
    }, {
        "EntityResult": "Intel(R) Xeon(R) CPU E5-2630 v4 @ 2.20GHz",
        "Entity": "processorModel"
    }, {
        "EntityResult": 8,
        "Entity": "syncFlags"
    }
]

시스템 정보 가져오기

설명

컴퓨터에 관한 정보를 가져옵니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • IP 주소
  • 호스트 이름

작업 결과

항목 보강
보강 필드 이름 로직 - 적용 시기
macAddress JSON 결과에 존재하는 경우에 반환
systemMemoryDumps JSON 결과에 존재하는 경우에 반환
policyStatusDetails JSON 결과에 존재하는 경우에 반환
우선순위가 지정됨 JSON 결과에 존재하는 경우에 반환
platformId JSON 결과에 존재하는 경우에 반환
upgradeErrorTime JSON 결과에 존재하는 경우에 반환
tdCount JSON 결과에 존재하는 경우에 반환
hasDuplicates JSON 결과에 존재하는 경우에 반환
disconnectedEnforcementLevel JSON 결과에 존재하는 경우에 반환
hasHealthCheckErrors JSON 결과에 존재하는 경우에 반환
syncPercent JSON 결과에 존재하는 경우에 반환
agentVersion JSON 결과에 존재하는 경우에 반환
activeDebugLevel JSON 결과에 존재하는 경우에 반환
templateCloneCleanupMode JSON 결과에 존재하는 경우에 반환
processorCount JSON 결과에 존재하는 경우에 반환
kernelDebugLevel JSON 결과에 존재하는 경우에 반환
refreshFlags JSON 결과에 존재하는 경우에 반환
activeKernelDebugLevel JSON 결과에 존재하는 경우에 반환
사용자 JSON 결과에 존재하는 경우에 반환
policyName JSON 결과에 존재하는 경우에 반환
enforcementLevel JSON 결과에 존재하는 경우에 반환
templateDate JSON 결과에 존재하는 경우에 반환
previousPolicyId JSON 결과에 존재하는 경우에 반환
memorySize JSON 결과에 존재하는 경우에 반환
machineModel JSON 결과에 존재하는 경우에 반환
id JSON 결과에 존재하는 경우에 반환
policyStatus JSON 결과에 존재하는 경우에 반환
processorSpeed JSON 결과에 존재하는 경우에 반환
ccFlags JSON 결과에 존재하는 경우에 반환
템플릿 JSON 결과에 존재하는 경우에 반환
초기화 중 JSON 결과에 존재하는 경우에 반환
initPercent JSON 결과에 존재하는 경우에 반환
제거됨 JSON 결과에 존재하는 경우에 반환
computerTag JSON 결과에 존재하는 경우에 반환
templateComputerId JSON 결과에 존재하는 경우에 반환
initPercent JSON 결과에 존재하는 경우에 반환
제거됨 JSON 결과에 존재하는 경우에 반환
computerTag JSON 결과에 존재하는 경우에 반환
templateComputerId JSON 결과에 존재하는 경우에 반환
daysOffline JSON 결과에 존재하는 경우에 반환
upgradeError JSON 결과에 존재하는 경우에 반환
automaticPolicy JSON 결과에 존재하는 경우에 반환
설명 JSON 결과에 존재하는 경우에 반환
osShortName JSON 결과에 존재하는 경우에 반환
삭제됨 JSON 결과에 존재하는 경우에 반환
localApproval JSON 결과에 존재하는 경우에 반환
tamperProtectionActive JSON 결과에 존재하는 경우에 반환
lastPollDate JSON 결과에 존재하는 경우에 반환
activeDebugFlags JSON 결과에 존재하는 경우에 반환
CLIPassword JSON 결과에 존재하는 경우에 반환
dateCreated JSON 결과에 존재하는 경우에 반환
virtualPlatform JSON 결과에 존재하는 경우에 반환
연결됨 JSON 결과에 존재하는 경우에 반환
supportedKernel JSON 결과에 존재하는 경우에 반환
debugLevel JSON 결과에 존재하는 경우에 반환
cbSensorVersion JSON 결과에 존재하는 경우에 반환
upgradeStatus JSON 결과에 존재하는 경우에 반환
upgradeErrorCount JSON 결과에 존재하는 경우에 반환
upgradeErrorCount JSON 결과에 존재하는 경우에 반환
isActive JSON 결과에 존재하는 경우에 반환
debugFlags JSON 결과에 존재하는 경우에 반환
agentMemoryDumps JSON 결과에 존재하는 경우에 반환
name JSON 결과에 존재하는 경우에 반환
lastRegisterDate JSON 결과에 존재하는 경우에 반환
ipAddress JSON 결과에 존재하는 경우에 반환
cbSensorId JSON 결과에 존재하는 경우에 반환
SCEPStatus JSON 결과에 존재하는 경우에 반환
agentCacheSize JSON 결과에 존재하는 경우에 반환
cbSensorFlags JSON 결과에 존재하는 경우에 반환
clVersion JSON 결과에 존재하는 경우에 반환
osName JSON 결과에 존재하는 경우에 반환
templateCloneCleanupTimeScale JSON 결과에 존재하는 경우에 반환
policyId JSON 결과에 존재하는 경우에 반환
forceUpgrade JSON 결과에 존재하는 경우에 반환
templateTrackModsOnly JSON 결과에 존재하는 경우에 반환
templateCloneCleanupTime JSON 결과에 존재하는 경우에 반환
agentQueueSize JSON 결과에 존재하는 경우에 반환
가상화 JSON 결과에 존재하는 경우에 반환
ccLevel JSON 결과에 존재하는 경우에 반환
debugDuration JSON 결과에 존재하는 경우에 반환
processorModel JSON 결과에 존재하는 경우에 반환
syncFlags JSON 결과에 존재하는 경우에 반환
스크립트 결과
스크립트 결과 이름 값 옵션 예시
성공 True/False success:False
JSON 결과
{
  "macAddress": "00:50:56:B5:30:57",
  "systemMemoryDumps": 0,
  "policyStatusDetails": "Agent did not receive all the rules yet",
  "prioritized": "False",
  "platformId": 1,
  "upgradeErrorTime": "None",
  "tdCount": 0,
  "hasDuplicates": "False",
  "disconnectedEnforcementLevel": 60,
  "hasHealthCheckErrors": "False",
  "syncPercent": 100,
  "agentVersion": "8.0.0.2562",
  "activeDebugLevel": 0,
  "templateCloneCleanupMode": "None",
  "processorCount": 4,
  "kernelDebugLevel": 0,
  "refreshFlags": 0,
  "activeKernelDebugLevel": 2,
  "users": "WORKGROUP\\\\\\\\SIEMPLIFY$,Window Manager\\\\\\\\DWM-4",
  "policyName": "Default Policy",
  "enforcementLevel": 60,
  "templateDate": "None",
  "previousPolicyId": 6,
  "memorySize": 8192,
  "machineModel": "VMware Virtual Platform",
  "id": 1,
  "policyStatus": "Approvals out of date",
  "processorSpeed": 2200.0,
  "ccFlags": 0,
  "template": "False",
  "initializing": "False",
  "initPercent": 100,
  "uninstalled": "False",
  "computerTag": "None",
  "templateComputerId": 0,
  "daysOffline": 55,
  "upgradeError": "None",
  "automaticPolicy": "False",
  "description": "None",
  "osShortName": "Windows Server 2012",
  "deleted": "False",
  "localApproval": "False",
  "tamperProtectionActive": "True",
  "lastPollDate": "2018-11-23T21:59:12.613Z",
  "activeDebugFlags": 16,
  "CLIPassword": "EYTL-TOYF-EYKG-NIHJ",
  "dateCreated": "2018-05-29T10:10:19.26Z",
  "virtualPlatform": "VMware",
  "connected": "False",
  "supportedKernel": "True",
  "debugLevel": -1,
  "cbSensorVersion": "None",
  "upgradeStatus": "Up to date",
  "upgradeErrorCount": 0,
  "isActive": "False",
  "debugFlags": 0,
  "agentMemoryDumps": 0,
  "name": "WORKGROUP\\\\\\\\SIEMPLIFY",
  "lastRegisterDate": "2018-11-22T10:49:41.583Z",
  "ipAddress": "10.0.0.67",
  "cbSensorId": 0,
  "SCEPStatus": 0,
  "agentCacheSize": 43432,
  "cbSensorFlags": 0,
  "clVersion": 1212,
  "osName": "Microsoft Windows Server 2012 R2 x64 Server Standard (Evaluation) (6.3.9600)",
  "templateCloneCleanupTimeScale": "None",
  "policyId": 1,
   "forceUpgrade": "False",
   "templateTrackModsOnly": "False",
   "templateCloneCleanupTime": "None",
   "agentQueueSize": 0,
   "virtualized": "Yes",
   "ccLevel": 0,
   "debugDuration": 0,
   "processorModel": "Intel(R) Xeon(R) CPU E5-2630 v4 @ 2.20GHz",
   "syncFlags": 8
}

핑

설명

연결을 테스트합니다.

매개변수

해당 사항 없음

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
성공 True/False success:False

차단 해제 해시

설명

특정 정책 또는 전역에서 해시 차단 해제

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
정책 이름 문자열 해당 사항 없음 아니요 쉼표로 구분됩니다. 예: 기본 정책, 로컬 승인 정책

실행

이 작업은 Filehash 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
성공 True/False success:False

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.