Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

FireEye AX

Dokumen ini menjelaskan cara mengintegrasikan FireEye AX dengan Google Security Operations.

Kasus Penggunaan

Melakukan pengayaan entity.

Mengonfigurasi integrasi FireEye AX di Google Security Operations

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Root API	String	https:/<<alamat IP>>	Ya	Root API instance Trellix Malware Analysis.
Nama pengguna	String	T/A	Ya	Nama pengguna akun Trellix Malware Analysis.
Sandi	Sandi	T/A	Ya	Sandi akun Trellix Malware Analysis.
Verifikasi SSL	Kotak centang	Dicentang	Ya	Jika diaktifkan, verifikasi bahwa sertifikat SSL untuk koneksi ke server Trellix Malware Analysis valid.

Tindakan

Ping

Deskripsi

Uji konektivitas ke Trellix Malware Analysis dengan parameter yang disediakan di halaman konfigurasi integrasi di halaman Google SecOps Content Hub.

Parameter

T/A

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook: jika berhasil: "Successfully connected to the Trellix Malware Analysis server with the provided connection parameters!" Tindakan akan gagal dan menghentikan eksekusi playbook: jika tidak berhasil: "Failed to connect to the Trellix Malware Analysis server! Error is {0}".format(exception.stacktrace)	Umum

Jenis Hasil

Nilai / Deskripsi

Jenis

Pesan output*

Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook:
jika berhasil: "Successfully connected to the Trellix Malware Analysis server with the provided connection parameters!"

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika tidak berhasil: "Failed to connect to the Trellix Malware Analysis server! Error is {0}".format(exception.stacktrace)

Umum

Kirim URL

Deskripsi

Mengirim file untuk dianalisis menggunakan URL di Trellix Malware Analysis. Entitas yang didukung: URL.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Profil VM	String	T/A	Ya	Tentukan profil virtual machine yang harus digunakan selama analisis. Profil VM yang tersedia dapat dilihat di tindakan "Get Appliance Details"
ID Aplikasi	String	T/A	Tidak	Tentukan ID aplikasi yang perlu digunakan selama analisis file. Secara default, Trellix Malware Analysis akan memilih aplikasi yang diperlukan secara otomatis. Untuk mendapatkan daftar aplikasi yang tersedia di profil, jalankan tindakan "Dapatkan Detail Peralatan"
Prioritas	DDL	Normal Nilai yang Mungkin Muncul: Normal Sangat Penting	Tidak	Tentukan prioritas untuk pengiriman. "Normal" menempatkan pengiriman di bagian bawah antrean, sedangkan "Mendesak" menempatkan pengiriman di bagian atas antrean.
Paksa Pemindaian Ulang	Kotak centang		Tidak	Jika diaktifkan, tindakan akan memaksa Trellix Malware Analysis untuk memindai ulang file yang dikirimkan.
Jenis Analisis	DDL	Aktif Nilai yang Mungkin Muncul: Aktif Sandbox	Tidak	Tentukan jenis analisis. Jika "Live" dipilih, Trellix Malware Analysis akan menganalisis file yang dicurigai secara langsung dalam mesin analisis Malware Analysis Multi-Vector Virtual Execution (MVX). Jika "Sandbox" dipilih, Trellix Malware Analysis akan menganalisis file yang dicurigai di lingkungan yang tertutup dan terlindungi.
Create Insight	Kotak centang		Ya	Jika diaktifkan, tindakan akan membuat insight yang berisi informasi tentang file yang dikirimkan.

Dijalankan Pada

Tindakan ini berjalan di entity URL.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Hasil JSON

 {
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Tabel Pengayaan

Nama Kolom Pengayaan	Logika - Kapan harus diterapkan
berbahaya	Jika tersedia dalam JSON
tingkat keseriusan,	Jika tersedia dalam JSON

Analisis Entity

Contoh insight entitas:

Berbahaya: Benar

Tingkat Keparahan: MINR Jumlah Layanan C&C: 0 Jumlah Proses yang Dieksekusi: 0 Jumlah Perubahan Registry: 0 Jumlah File yang Diekstrak: 0

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook: jika data tersedia untuk satu entitas(is_success = true): "Successfully enriched the following entities using information from Trellix Malware Analysis: {entity.identifier}". Jika data tidak tersedia untuk satu entitas (is_success=true): "Action wasn't able to enrich the following entities using information from Trellix Malware Analysis: {entity.identifier}" Jika data tidak tersedia untuk semua (is_success=false): None of the provided entities were enriched. Pesan Asinkron: Menunggu file berikut diproses: {pending files} Tindakan akan gagal dan menghentikan eksekusi playbook: jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace) Jika waktu tunggu habis: "Error executing action "Enrich Entities". Alasan: tindakan mengalami waktu tunggu habis. File berikut masih diproses: {pending urls}. Tingkatkan waktu tunggu di IDE. Catatan: menambahkan file yang sama akan membuat tugas analisis terpisah di Trellix Malware Analysis.	Umum
Tabel Repositori Kasus	Judul: {entity.identifier}	Entity

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook:
jika data tersedia untuk satu entitas(is_success = true): "Successfully enriched the following entities using information from Trellix Malware Analysis: {entity.identifier}".

Jika data tidak tersedia untuk satu entitas (is_success=true): "Action wasn't able to enrich the following entities using information from Trellix Malware Analysis: {entity.identifier}"

Jika data tidak tersedia untuk semua (is_success=false): None of the provided entities were enriched.

Pesan Asinkron: Menunggu file berikut diproses: {pending files}

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)

Jika waktu tunggu habis: "Error executing action "Enrich Entities". Alasan: tindakan mengalami waktu tunggu habis. File berikut masih diproses: {pending urls}. Tingkatkan waktu tunggu di IDE. Catatan: menambahkan file yang sama akan membuat tugas analisis terpisah di Trellix Malware Analysis.

Umum

Tabel Repositori Kasus

Judul: {entity.identifier}

Entity

Mengirim File

Deskripsi

Mengirim file untuk dianalisis di Trellix Malware Analysis.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Jalur File	CSV	T/A	Ya	Tentukan daftar jalur file absolut yang dipisahkan koma untuk pengiriman.
Profil VM	String	T/A	Ya	Tentukan profil virtual machine yang harus digunakan selama analisis. Profil VM yang tersedia dapat dilihat di tindakan "Get Appliance Details"
ID Aplikasi	String	T/A	Tidak	Tentukan ID aplikasi yang perlu digunakan selama analisis file. Secara default, Trellix Malware Analysis akan memilih aplikasi yang diperlukan secara otomatis. Untuk mendapatkan daftar aplikasi yang tersedia di profil, jalankan tindakan "Dapatkan Detail Peralatan"
Prioritas	DDL	Normal Nilai yang Mungkin Muncul: Normal Sangat Penting	Tidak	Tentukan prioritas untuk pengiriman. "Normal" menempatkan pengiriman di bagian bawah antrean, sedangkan "Mendesak" menempatkan pengiriman di bagian atas antrean.
Paksa Pemindaian Ulang	Kotak centang		Tidak	Jika diaktifkan, tindakan akan memaksa Trellix Malware Analysis untuk memindai ulang file yang dikirimkan.
Jenis Analisis	DDL	Aktif Nilai yang Mungkin Muncul: Aktif Sandbox	Tidak	Tentukan jenis analisis. Jika "Live" dipilih, Trellix Malware Analysis akan menganalisis file yang dicurigai secara langsung dalam mesin analisis Malware Analysis Multi-Vector Virtual Execution (MVX). Jika "Sandbox" dipilih, Trellix Malware Analysis akan menganalisis file yang dicurigai di lingkungan yang tertutup dan terlindungi.
Create Insight	Kotak centang		Ya	Jika diaktifkan, tindakan akan membuat insight yang berisi informasi tentang file yang dikirimkan.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Hasil JSON

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Analisis Entity

Contoh insight entitas:

Berbahaya: Benar

Tingkat Keparahan: MAJR Jumlah Layanan C&C: 15 Jumlah Proses yang Dieksekusi: 0 Jumlah Perubahan Registry: 13 Jumlah File yang Diekstrak: 10

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika selesai untuk satu jalur file (is_success = true): "Successfully retrieved details for the following files in Trellix Malware Analysis: {submitted files}.". Pesan Asinkron: Menunggu file berikut diproses: {pending files} Tindakan akan gagal dan menghentikan eksekusi playbook: jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Submit File". Reason: {0}''.format(error.Stacktrace) Jika waktu tunggu habis: "Error saat menjalankan tindakan "Kirim File". Alasan: tindakan mengalami waktu tunggu habis. File berikut masih diproses: {pending files}. Tingkatkan waktu tunggu di IDE. Catatan: menambahkan file yang sama akan membuat tugas analisis terpisah di Trellix Malware Analysis. Jika setidaknya satu file tidak ditemukan: "Error executing action "Attach File To Case". Alasan: file berikut tidak ditemukan atau tindakan tidak memiliki izin yang memadai untuk mengaksesnya: {not available files}'	Umum

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
Jika selesai untuk satu jalur file (is_success = true): "Successfully retrieved details for the following files in Trellix Malware Analysis: {submitted files}.".

Pesan Asinkron: Menunggu file berikut diproses: {pending files}

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Submit File". Reason: {0}''.format(error.Stacktrace)

Jika waktu tunggu habis: "Error saat menjalankan tindakan "Kirim File". Alasan: tindakan mengalami waktu tunggu habis. File berikut masih diproses: {pending files}. Tingkatkan waktu tunggu di IDE. Catatan: menambahkan file yang sama akan membuat tugas analisis terpisah di Trellix Malware Analysis.

Jika setidaknya satu file tidak ditemukan: "Error executing action "Attach File To Case". Alasan: file berikut tidak ditemukan atau tindakan tidak memiliki izin yang memadai untuk mengaksesnya: {not available files}'

Umum

Mendapatkan Detail Peralatan

Deskripsi

Mengambil informasi tentang perangkat Trellix Malware Analysis.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Hasil JSON

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika selesai untuk satu jalur file (is_success = true): "Successfully retrieved details about Trellix Malware Analysis.". Tindakan akan gagal dan menghentikan eksekusi playbook: jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Get Appliance Details". Reason: {0}''.format(error.Stacktrace)	Umum

Jenis hasil

Nilai/Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
Jika selesai untuk satu jalur file (is_success = true): "Successfully retrieved details about Trellix Malware Analysis.".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Get Appliance Details". Reason: {0}''.format(error.Stacktrace)

Umum

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.