FireEye AX

חשוב: החברות FireEye ו-McAfee Enterprise התמזגו והפכו ל-Trelix. השם של FireEye AX השתנה ל-Trellix Malware Analysis.

במאמר הזה מוסבר איך לשלב את FireEye AX עם Google Security Operations.

תרחישים לדוגמה

להעשיר ישויות.

הגדרת השילוב של FireEye AX ב-Google Security Operations

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
הרמה הבסיסית (root) של ה-API	String	https:/<<ip address>>	כן	שורש ה-API של המכונה של Trellix Malware Analysis.
שם משתמש	String	לא רלוונטי	כן	שם המשתמש של החשבון ב-Trellix Malware Analysis.
סיסמה	סיסמה	לא רלוונטי	כן	הסיסמה של החשבון ב-Trellix Malware Analysis.
אימות SSL	תיבת סימון	סימן אישור	כן	אם המדיניות מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Trellix Malware Analysis תקף.

הערה: אפשר לבצע שינויים בשלב מאוחר יותר, אם צריך. אחרי שמגדירים את המופעים, אפשר להשתמש בהם בפלייבוקים. מידע מפורט על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

פינג

תיאור

בודקים את הקישוריות ל-Trellix Malware Analysis באמצעות הפרמטרים שסופקו בדף הגדרת השילוב בדף Google SecOps Content Hub.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים
is_success	is_success=False
is_success	is_success=True

קיר נרתיקים

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק: אם הפעולה הצליחה: "Successfully connected to the Trellix Malware Analysis server with the provided connection parameters!‎" הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם הפעולה נכשלה: "החיבור לשרת Trellix Malware Analysis נכשל! השגיאה היא {0}".format(exception.stacktrace)	כללי

שליחת כתובת URL

תיאור

שליחת קובץ לניתוח באמצעות כתובת URL ב-Trellix Malware Analysis. ישויות נתמכות: כתובת URL.

הערה: הפעולה פועלת באופן אסינכרוני. צריך לשנות את ערך הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE לפעולה לפי הצורך.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
פרופיל VM	String	לא רלוונטי	כן	צריך לציין את פרופיל המכונה הווירטואלית שבו יש להשתמש במהלך הניתוח. הפרופילים הזמינים של המכונות הווירטואליות מופיעים בפעולה "Get Appliance Details" (קבלת פרטי המכשיר)
מזהה האפליקציה	String	לא רלוונטי	לא	צריך לציין את מזהה האפליקציה שבה צריך להשתמש במהלך ניתוח הקובץ. כברירת מחדל, Trellix Malware Analysis תבחר את האפליקציה הנדרשת באופן אוטומטי. כדי לקבל רשימה של האפליקציות הזמינות בפרופיל, צריך לבצע את הפעולה "קבלת פרטי המכשיר"
עדיפות	DDL	רגילה ערכים אפשריים: רגילה דחוף	לא	מציינים את העדיפות של הבקשה. אם בוחרים באפשרות "רגילה", הבקשה תועבר לתחתית התור, ואם בוחרים באפשרות "דחופה", הבקשה תועבר לראש התור.
אילוץ סריקה מחדש	תיבת סימון		לא	אם ההגדרה מופעלת, הפעולה תאלץ את Trellix Malware Analysis לסרוק מחדש את הקובץ שנשלח.
סוג הניתוח	DDL	פעיל ערכים אפשריים: פעיל ארגז חול	לא	מציינים את סוג הניתוח. אם בוחרים באפשרות "בזמן אמת", המערכת של Trellix Malware Analysis תנתח קבצים חשודים בזמן אמת במנוע לניתוח נתונים Malware Analysis Multi-Vector Virtual Execution‏ (MVX). אם בוחרים באפשרות "ארגז חול", המערכת של Trellix Malware Analysis תנתח קבצים חשודים בסביבה סגורה ומוגנת.
יצירת תובנה	תיבת סימון		כן	אם המדיניות מופעלת, הפעולה תיצור תובנה שמכילה מידע על הקובץ שנשלח.

ריצה

הפעולה הזו פועלת על ישות כתובת ה-URL.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים
is_success	is_success=False
is_success	is_success=True

תוצאת JSON

 {
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

טבלת העשרה

שם שדה ההעשרה	לוגיקה – מתי להחיל
זדונית	כשהוא זמין ב-JSON
severity	כשהוא זמין ב-JSON

תובנה בנוגע לישויות

דוגמה לתובנה לגבי ישות:

זדוני: נכון

רמת חומרה: MINR מספר שירותי C&C‏: 0 מספר תהליכים שבוצעו: 0 מספר שינויים ברישום: 0 מספר קבצים שחולצו: 0

קיר נרתיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הנתונים זמינים לאחד(is_success = true): "העשרת הישויות הבאות באמצעות מידע מ-Trellix Malware Analysis בוצעה בהצלחה: {entity.identifier}". אם הנתונים לא זמינים לאחת מהן (is_success=true): "הפעולה לא הצליחה להעשיר את הישויות הבאות באמצעות מידע מ-Trellix Malware Analysis: ‏{entity.identifier}" אם הנתונים לא זמינים לכל הישויות (is_success=false): אף אחת מהישויות שסופקו לא הועשרה. הודעה אסינכרונית: בהמתנה לעיבוד הקבצים הבאים: {pending files} הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "Error executing action "Enrich Entities". הסיבה: {0}''.format(error.Stacktrace) אם הזמן הקצוב לתפוגה נגמר: "שגיאה בביצוע הפעולה "העשרת ישויות". הסיבה: הזמן הקצוב לתפוגה של הפעולה הסתיים. הקבצים הבאים עדיין בתהליך עיבוד: {pending urls}. צריך להגדיל את זמן הקצוב לתפוגה ב-IDE. הערה: הוספה של אותם קבצים תיצור משימת ניתוח נפרדת ב-Trellix Malware Analysis.	כללי
שולחן קיר עם ארונית	כותרת: {entity.identifier}	ישות

שליחת הקובץ

תיאור

שליחת קובץ לניתוח ב-Trellix Malware Analysis.

הערה: הפעולה פועלת באופן אסינכרוני. צריך לשנות את ערך הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE לפעולה לפי הצורך.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
נתיבי קבצים	CSV	לא רלוונטי	כן	צריך לציין רשימה מופרדת בפסיקים של נתיבי קבצים מוחלטים לשליחה.
פרופיל VM	String	לא רלוונטי	כן	צריך לציין את פרופיל המכונה הווירטואלית שבו יש להשתמש במהלך הניתוח. הפרופילים הזמינים של המכונות הווירטואליות מופיעים בפעולה "Get Appliance Details" (קבלת פרטי המכשיר)
מזהה האפליקציה	String	לא רלוונטי	לא	צריך לציין את מזהה האפליקציה שבה צריך להשתמש במהלך ניתוח הקובץ. כברירת מחדל, Trellix Malware Analysis תבחר את האפליקציה הנדרשת באופן אוטומטי. כדי לקבל רשימה של האפליקציות הזמינות בפרופיל, צריך לבצע את הפעולה "קבלת פרטי המכשיר"
עדיפות	DDL	רגילה ערכים אפשריים: רגילה דחוף	לא	מציינים את העדיפות של הבקשה. אם בוחרים באפשרות "רגילה", הבקשה תועבר לתחתית התור, ואם בוחרים באפשרות "דחופה", הבקשה תועבר לראש התור.
אילוץ סריקה מחדש	תיבת סימון		לא	אם ההגדרה מופעלת, הפעולה תאלץ את Trellix Malware Analysis לסרוק מחדש את הקובץ שנשלח.
סוג הניתוח	DDL	פעיל ערכים אפשריים: פעיל ארגז חול	לא	מציינים את סוג הניתוח. אם בוחרים באפשרות "בזמן אמת", המערכת של Trellix Malware Analysis תנתח קבצים חשודים בזמן אמת במנוע לניתוח נתונים Malware Analysis Multi-Vector Virtual Execution‏ (MVX). אם בוחרים באפשרות "ארגז חול", המערכת של Trellix Malware Analysis תנתח קבצים חשודים בסביבה סגורה ומוגנת.
יצירת תובנה	תיבת סימון		כן	אם המדיניות מופעלת, הפעולה תיצור תובנה שמכילה מידע על הקובץ שנשלח.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים
is_success	is_success=False
is_success	is_success=True

תוצאת JSON

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

תובנה בנוגע לישויות

דוגמה לתובנה לגבי ישות:

זדוני: נכון

חומרה: MAJR מספר שירותי C&C:‏ 15 מספר תהליכים שבוצעו: 0 מספר שינויים ברישום: 13 מספר קבצים שחולצו: 10

קיר נרתיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הושלמה עבור נתיב קובץ אחד (is_success = true): "Successfully retrieved details for the following files in Trellix Malware Analysis: {submitted files}.". הודעה אסינכרונית: בהמתנה לעיבוד הקבצים הבאים: {pending files} הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בהפעלת הפעולה "שליחת קובץ". הסיבה: {0}''.format(error.Stacktrace) אם הזמן הקצוב לתפוגה נגמר: "שגיאה בביצוע הפעולה 'שליחת קובץ'. הסיבה: הזמן הקצוב לתפוגה של הפעולה הסתיים. הקבצים הבאים עדיין בתהליך עיבוד: {pending files}. צריך להגדיל את זמן הקצוב לתפוגה ב-IDE. הערה: הוספה של אותם קבצים תיצור משימת ניתוח נפרדת ב-Trellix Malware Analysis. אם לפחות קובץ אחד לא נמצא: "Error executing action "Attach File To Case".‎ הסיבה: הקבצים הבאים לא נמצאו או שלפעולה אין מספיק הרשאות כדי לגשת אליהם: {not available files}'	כללי

קבלת פרטי המכשיר

תיאור

אחזור מידע על מכשיר Trellix Malware Analysis.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים
is_success	is_success=False
is_success	is_success=True

תוצאת JSON

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

קיר נרתיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הושלמה לנתיב קובץ אחד (is_success = true): "Successfully retrieved details about Trellix Malware Analysis.".‎ הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בהפעלת הפעולה "קבלת פרטי המכשיר". הסיבה: {0}''.format(error.Stacktrace)	כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.