Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

FireEye AX

In diesem Dokument wird beschrieben, wie Sie FireEye AX in Google Security Operations einbinden.

Anwendungsbereiche

Anreicherung von Entitäten durchführen

FireEye AX-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
API-Stamm	String	https:/<<ip address>>	Ja	API-Stamm der Trellix Malware Analysis-Instanz.
Nutzername	String	–	Ja	Nutzername des Trellix Malware Analysis-Kontos.
Passwort	Passwort	–	Ja	Passwort des Trellix Malware Analysis-Kontos.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Trellix Malware Analysis-Server gültig ist.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Trellix Malware Analysis mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht stoppen: Bei Erfolg: „Successfully connected to the Trellix Malware Analysis server with the provided connection parameters!“ Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: if not successful: „Failed to connect to the Trellix Malware Analysis server! Error is {0}".format(exception.stacktrace)	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht stoppen:
Bei Erfolg: „Successfully connected to the Trellix Malware Analysis server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
if not successful: „Failed to connect to the Trellix Malware Analysis server! Error is {0}".format(exception.stacktrace)

Allgemein

URL einreichen

Beschreibung

Datei zur Analyse über die URL in Trellix Malware Analysis einreichen. Unterstützte Entitäten: URL.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
VM-Profil	String	–	Ja	Geben Sie das VM-Profil an, das während der Analyse verwendet werden soll. Verfügbare VM-Profile sind in der Aktion „Appliance-Details abrufen“ verfügbar
Anwendungs-ID	String	–	Nein	Geben Sie die ID der Anwendung an, die bei der Analyse der Datei verwendet werden soll. Standardmäßig wählt Trellix Malware Analysis die erforderliche Anwendung automatisch aus. Führen Sie die Aktion „Appliance-Details abrufen“ aus, um eine Liste der im Profil verfügbaren Anwendungen zu erhalten.
Priorität	DDL	Normal Mögliche Werte: Normal Dringend	Nein	Geben Sie die Priorität für die Einreichung an. Bei „Normal“ wird die Einreichung am Ende der Warteschlange platziert, bei „Dringend“ am Anfang.
Erneuten Scan erzwingen	Kästchen		Nein	Wenn diese Option aktiviert ist, wird die eingereichte Datei von Trellix Malware Analysis noch einmal gescannt.
Analysetyp	DDL	Live Mögliche Werte: Live Sandbox	Nein	Geben Sie den Typ der Analyse an. Wenn „Live“ ausgewählt ist, analysiert Trellix Malware Analysis verdächtige Dateien live in der MVX-Analyse-Engine (Multi-Vector Virtual Execution) von Malware Analysis. Wenn „Sandbox“ ausgewählt ist, werden verdächtige Dateien von Trellix Malware Analysis in einer geschlossenen, geschützten Umgebung analysiert.
Insight erstellen	Kästchen		Ja	Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik mit Informationen zur eingereichten Datei erstellt.

Ausführen am

Diese Aktion wird für die URL-Entität ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

 {
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Anreicherungstabelle

Name des Anreicherungsfelds	Logik – Wann anwenden?
schädlich	Wenn in JSON verfügbar
die Ausprägung	Wenn in JSON verfügbar

Entitätsstatistik

Beispiel für eine Entitätsstatistik:

Schädlich: Wahr

Schweregrad: MINR Anzahl der C&C-Dienste: 0 Anzahl der ausgeführten Prozesse: 0 Anzahl der Änderungen an der Registry: 0 Anzahl der extrahierten Dateien: 0

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden: Wenn Daten für eine Entität verfügbar sind(is_success = true): „Die folgenden Entitäten wurden erfolgreich mit Informationen aus Trellix Malware Analysis angereichert: {entity.identifier}“. Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Entitäten nicht mit Informationen aus Trellix Malware Analysis anreichern: {entity.identifier}“ Wenn für alle Entitäten keine Daten verfügbar sind (is_success=false): Keine der bereitgestellten Entitäten wurde angereichert. Asynchrone Nachricht: Die folgenden Dateien werden noch verarbeitet: {pending files} Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace) Bei Zeitüberschreitung: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Grund: Zeitüberschreitung bei der Aktion. Die folgenden Dateien werden noch verarbeitet: {pending urls}. Erhöhen Sie das Zeitlimit in der IDE. Hinweis: Wenn Sie dieselben Dateien hinzufügen, wird in Trellix Malware Analysis ein separater Analysejob erstellt.	Allgemein
Tabelle mit Fall-Repository	Titel: {entity.identifier}	Entität

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn Daten für eine Entität verfügbar sind(is_success = true): „Die folgenden Entitäten wurden erfolgreich mit Informationen aus Trellix Malware Analysis angereichert: {entity.identifier}“.

Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Entitäten nicht mit Informationen aus Trellix Malware Analysis anreichern: {entity.identifier}“

Wenn für alle Entitäten keine Daten verfügbar sind (is_success=false): Keine der bereitgestellten Entitäten wurde angereichert.

Asynchrone Nachricht: Die folgenden Dateien werden noch verarbeitet: {pending files}

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)

Bei Zeitüberschreitung: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Grund: Zeitüberschreitung bei der Aktion. Die folgenden Dateien werden noch verarbeitet: {pending urls}. Erhöhen Sie das Zeitlimit in der IDE. Hinweis: Wenn Sie dieselben Dateien hinzufügen, wird in Trellix Malware Analysis ein separater Analysejob erstellt.

Allgemein

Tabelle mit Fall-Repository

Titel: {entity.identifier}

Entität

Datei einreichen

Beschreibung

Datei zur Analyse in Trellix Malware Analysis einreichen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Dateipfade	CSV	–	Ja	Geben Sie eine durch Kommas getrennte Liste der absoluten Dateipfade für die Einreichung an.
VM-Profil	String	–	Ja	Geben Sie das VM-Profil an, das während der Analyse verwendet werden soll. Verfügbare VM-Profile sind in der Aktion „Appliance-Details abrufen“ verfügbar
Anwendungs-ID	String	–	Nein	Geben Sie die ID der Anwendung an, die bei der Analyse der Datei verwendet werden soll. Standardmäßig wählt Trellix Malware Analysis die erforderliche Anwendung automatisch aus. Führen Sie die Aktion „Appliance-Details abrufen“ aus, um eine Liste der im Profil verfügbaren Anwendungen zu erhalten.
Priorität	DDL	Normal Mögliche Werte: Normal Dringend	Nein	Geben Sie die Priorität für die Einreichung an. Bei „Normal“ wird die Einreichung am Ende der Warteschlange platziert, bei „Dringend“ am Anfang.
Erneuten Scan erzwingen	Kästchen		Nein	Wenn diese Option aktiviert ist, wird die eingereichte Datei von Trellix Malware Analysis noch einmal gescannt.
Analysetyp	DDL	Live Mögliche Werte: Live Sandbox	Nein	Geben Sie den Typ der Analyse an. Wenn „Live“ ausgewählt ist, analysiert Trellix Malware Analysis verdächtige Dateien live in der MVX-Analyse-Engine (Multi-Vector Virtual Execution) von Malware Analysis. Wenn „Sandbox“ ausgewählt ist, werden verdächtige Dateien von Trellix Malware Analysis in einer geschlossenen, geschützten Umgebung analysiert.
Insight erstellen	Kästchen		Ja	Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik mit Informationen zur eingereichten Datei erstellt.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Entitätsstatistik

Beispiel für eine Entitätsstatistik:

Schädlich: Wahr

Schweregrad: MAJR Anzahl der C&C-Dienste: 15 Anzahl der ausgeführten Prozesse: 0 Anzahl der Registry-Änderungen: 13 Anzahl der extrahierten Dateien: 10

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden: Wenn für einen Dateipfad abgeschlossen (is_success = true): „Details für die folgenden Dateien in Trellix Malware Analysis wurden erfolgreich abgerufen: {submitted files}.“ Asynchrone Nachricht: Die folgenden Dateien werden noch verarbeitet: {pending files} Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Datei einreichen‘. Reason: {0}''.format(error.Stacktrace) Bei Zeitüberschreitung: „Fehler beim Ausführen der Aktion ‚Datei einreichen‘. Grund: Zeitüberschreitung bei der Aktion. Die folgenden Dateien werden noch verarbeitet: {pending files}. Erhöhen Sie das Zeitlimit in der IDE. Hinweis: Wenn Sie dieselben Dateien hinzufügen, wird in Trellix Malware Analysis ein separater Analysejob erstellt. Wenn mindestens eine Datei nicht gefunden wurde: „Fehler beim Ausführen der Aktion ‚Datei an Fall anhängen‘. Grund: Die folgenden Dateien wurden nicht gefunden oder die Aktion hat nicht die erforderlichen Berechtigungen, um darauf zuzugreifen: {not available files}'	Allgemein

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn für einen Dateipfad abgeschlossen (is_success = true): „Details für die folgenden Dateien in Trellix Malware Analysis wurden erfolgreich abgerufen: {submitted files}.“

Asynchrone Nachricht: Die folgenden Dateien werden noch verarbeitet: {pending files}

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Datei einreichen‘. Reason: {0}''.format(error.Stacktrace)

Bei Zeitüberschreitung: „Fehler beim Ausführen der Aktion ‚Datei einreichen‘. Grund: Zeitüberschreitung bei der Aktion. Die folgenden Dateien werden noch verarbeitet: {pending files}. Erhöhen Sie das Zeitlimit in der IDE. Hinweis: Wenn Sie dieselben Dateien hinzufügen, wird in Trellix Malware Analysis ein separater Analysejob erstellt.

Wenn mindestens eine Datei nicht gefunden wurde: „Fehler beim Ausführen der Aktion ‚Datei an Fall anhängen‘. Grund: Die folgenden Dateien wurden nicht gefunden oder die Aktion hat nicht die erforderlichen Berechtigungen, um darauf zuzugreifen: {not available files}'

Allgemein

Appliance-Details abrufen

Beschreibung

Rufen Sie Informationen zur Trellix Malware Analysis-Appliance ab.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden: Wenn die Aktion für einen Dateipfad abgeschlossen wurde (is_success = true): „Details zu Trellix Malware Analysis wurden erfolgreich abgerufen.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegendem Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server, sonstigem: „Fehler beim Ausführen der Aktion ‚Appliance-Details abrufen‘. Reason: {0}''.format(error.Stacktrace)	Allgemein

Ergebnistyp

Wert/Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Wenn die Aktion für einen Dateipfad abgeschlossen wurde (is_success = true): „Details zu Trellix Malware Analysis wurden erfolgreich abgerufen.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei schwerwiegendem Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server, sonstigem: „Fehler beim Ausführen der Aktion ‚Appliance-Details abrufen‘. Reason: {0}''.format(error.Stacktrace)

Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten