Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

FireEye AX

Questo documento descrive come integrare FireEye AX con Google Security Operations.

Casi d'uso

Eseguire l'arricchimento delle entità.

Configura l'integrazione di FireEye AX in Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Root API	Stringa	https:/<<indirizzo IP>>	Sì	Radice API dell'istanza di Trellix Malware Analysis.
Nome utente	Stringa	N/D	Sì	Nome utente dell'account Trellix Malware Analysis.
Password	Password	N/D	Sì	Password dell'account Trellix Malware Analysis.
Verifica SSL	Casella di controllo	Selezionata	Sì	Se abilitata, verifica che il certificato SSL per la connessione al server Trellix Malware Analysis sia valido.

Azioni

Dindin

Descrizione

Testa la connettività a Trellix Malware Analysis con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni del valore
is_success	is_success=False
is_success	is_success=True

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: In caso di esito positivo: "Connessione al server Trellix Malware Analysis stabilita con i parametri di connessione forniti." L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook: if not successful: "Failed to connect to the Trellix Malware Analysis server! Error is {0}".format(exception.stacktrace)	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
In caso di esito positivo: "Connessione al server Trellix Malware Analysis stabilita con i parametri di connessione forniti."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:
if not successful: "Failed to connect to the Trellix Malware Analysis server! Error is {0}".format(exception.stacktrace)

Generale

Invia URL

Descrizione

Invia il file per l'analisi utilizzando l'URL in Trellix Malware Analysis. Entità supportate: URL.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Profilo VM	Stringa	N/D	Sì	Specifica il profilo della macchina virtuale da utilizzare durante l'analisi. I profili VM disponibili sono disponibili nell'azione "Recupera dettagli appliance"
ID applicazione	Stringa	N/D	No	Specifica l'ID dell'applicazione da utilizzare durante l'analisi del file. Per impostazione predefinita, Trellix Malware Analysis seleziona automaticamente l'applicazione necessaria. Per ottenere un elenco delle applicazioni disponibili nel profilo, esegui l'azione "Recupera dettagli appliance"
Priorità	DDL	Normale Valori possibili: Normale Urgente	No	Specifica la priorità per l'invio. "Normale" inserisce l'invio in fondo alla coda, mentre "Urgente" lo inserisce in cima alla coda.
Forza nuova scansione	Casella di controllo		No	Se abilitata, l'azione forzerà Trellix Malware Analysis a ripetere la scansione del file inviato.
Tipo di analisi	DDL	In diretta Valori possibili: In diretta Sandbox	No	Specifica il tipo di analisi. Se è selezionata l'opzione "Live", Trellix Malware Analysis analizzerà i file sospetti in tempo reale all'interno del motore di analisi MVX (Multi-Vector Virtual Execution) di Malware Analysis. Se è selezionata l'opzione "Sandbox", Trellix Malware Analysis analizzerà i file sospetti in un ambiente chiuso e protetto.
Crea insight	Casella di controllo		Sì	Se abilitata, l'azione creerà un insight contenente informazioni sul file inviato.

Esegui il

Questa azione viene eseguita sull'entità URL.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni del valore
is_success	is_success=False
is_success	is_success=True

Risultato JSON

 {
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Tabella di arricchimento

Nome del campo di arricchimento	Logica - Quando applicarle
dannose	Se disponibile in JSON
gravità	Se disponibile in JSON

Insight sulle entità

Esempio di insight sulle entità:

Malicious: True

Gravità: MINR Numero di servizi C&C: 0 Numero di processi eseguiti: 0 Numero di modifiche al registro: 0 Numero di file estratti: 0

Bacheca casi

Tipo di risultato	Valore/Descrizione	Tipo
Messaggio di output*	L'azione non deve fallire né interrompere l'esecuzione di un playbook: se i dati sono disponibili per un'entità(is_success = true): "Le seguenti entità sono state arricchite correttamente utilizzando le informazioni di Trellix Malware Analysis: {entity.identifier}". Se i dati non sono disponibili per un'entità (is_success=true): "L'azione non è riuscita ad arricchire le seguenti entità utilizzando le informazioni di Trellix Malware Analysis: {entity.identifier}" Se i dati non sono disponibili per tutte le entità (is_success=false): nessuna delle entità fornite è stata arricchita. Messaggio asincrono: In attesa dell'elaborazione dei seguenti file: {pending files} L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook: se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Reason: {0}''.format(error.Stacktrace) Se si verifica un timeout: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Motivo: l'azione ha raggiunto il timeout. I seguenti file sono ancora in fase di elaborazione: {pending urls}. Aumenta il timeout nell'IDE. Nota: l'aggiunta degli stessi file creerà un job di analisi separato in Trellix Malware Analysis.	Generale
Tabella della bacheca casi	Titolo: {entity.identifier}	Entità

Tipo di risultato

Valore/Descrizione

Tipo

Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se i dati sono disponibili per un'entità(is_success = true): "Le seguenti entità sono state arricchite correttamente utilizzando le informazioni di Trellix Malware Analysis: {entity.identifier}".

Se i dati non sono disponibili per un'entità (is_success=true): "L'azione non è riuscita ad arricchire le seguenti entità utilizzando le informazioni di Trellix Malware Analysis: {entity.identifier}"

Se i dati non sono disponibili per tutte le entità (is_success=false): nessuna delle entità fornite è stata arricchita.

Messaggio asincrono: In attesa dell'elaborazione dei seguenti file: {pending files}

L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Reason: {0}''.format(error.Stacktrace)

Se si verifica un timeout: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Motivo: l'azione ha raggiunto il timeout. I seguenti file sono ancora in fase di elaborazione: {pending urls}. Aumenta il timeout nell'IDE. Nota: l'aggiunta degli stessi file creerà un job di analisi separato in Trellix Malware Analysis.

Generale

Tabella della bacheca casi

Titolo: {entity.identifier}

Entità

Invia file

Descrizione

Invia il file per l'analisi in Trellix Malware Analysis.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Percorsi file	CSV	N/D	Sì	Specifica un elenco separato da virgole di percorsi file assoluti per l'invio.
Profilo VM	Stringa	N/D	Sì	Specifica il profilo della macchina virtuale da utilizzare durante l'analisi. I profili VM disponibili sono disponibili nell'azione "Recupera dettagli appliance"
ID applicazione	Stringa	N/D	No	Specifica l'ID dell'applicazione da utilizzare durante l'analisi del file. Per impostazione predefinita, Trellix Malware Analysis seleziona automaticamente l'applicazione necessaria. Per ottenere un elenco delle applicazioni disponibili nel profilo, esegui l'azione "Recupera dettagli appliance"
Priorità	DDL	Normale Valori possibili: Normale Urgente	No	Specifica la priorità per l'invio. "Normale" inserisce l'invio in fondo alla coda, mentre "Urgente" lo inserisce in cima alla coda.
Forza nuova scansione	Casella di controllo		No	Se abilitata, l'azione forzerà Trellix Malware Analysis a ripetere la scansione del file inviato.
Tipo di analisi	DDL	In diretta Valori possibili: In diretta Sandbox	No	Specifica il tipo di analisi. Se è selezionata l'opzione "Live", Trellix Malware Analysis analizzerà i file sospetti in tempo reale all'interno del motore di analisi MVX (Multi-Vector Virtual Execution) di Malware Analysis. Se è selezionata l'opzione "Sandbox", Trellix Malware Analysis analizzerà i file sospetti in un ambiente chiuso e protetto.
Crea insight	Casella di controllo		Sì	Se abilitata, l'azione creerà un insight contenente informazioni sul file inviato.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni del valore
is_success	is_success=False
is_success	is_success=True

Risultato JSON

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Insight sulle entità

Esempio di insight sulle entità:

Malicious: True

Gravità: MAJR Numero di servizi C&C: 15 Numero di processi eseguiti: 0 Numero di modifiche al registro: 13 Numero di file estratti: 10

Bacheca casi

Tipo di risultato	Valore/Descrizione	Tipo
Messaggio di output*	L'azione non deve fallire né interrompere l'esecuzione di un playbook: Se completata per un percorso file (is_success = true): "Dettagli recuperati correttamente per i seguenti file in Trellix Malware Analysis: {submitted files}.". Messaggio asincrono: In attesa dell'elaborazione dei seguenti file: {pending files} L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook: se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Invia file". Reason: {0}''.format(error.Stacktrace) Se si verifica un timeout: "Errore durante l'esecuzione dell'azione "Invia file". Motivo: l'azione ha raggiunto il timeout. I seguenti file sono ancora in fase di elaborazione: {pending files}. Aumenta il timeout nell'IDE. Nota: l'aggiunta degli stessi file creerà un job di analisi separato in Trellix Malware Analysis. Se almeno un file non viene trovato: "Errore durante l'esecuzione dell'azione "Allega file alla richiesta". Motivo: i seguenti file non sono stati trovati o l'azione non dispone di autorizzazioni sufficienti per accedervi: {not available files}'	Generale

Tipo di risultato

Valore/Descrizione

Tipo

Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
Se completata per un percorso file (is_success = true): "Dettagli recuperati correttamente per i seguenti file in Trellix Malware Analysis: {submitted files}.".

Messaggio asincrono: In attesa dell'elaborazione dei seguenti file: {pending files}

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Invia file". Reason: {0}''.format(error.Stacktrace)

Se si verifica un timeout: "Errore durante l'esecuzione dell'azione "Invia file". Motivo: l'azione ha raggiunto il timeout. I seguenti file sono ancora in fase di elaborazione: {pending files}. Aumenta il timeout nell'IDE. Nota: l'aggiunta degli stessi file creerà un job di analisi separato in Trellix Malware Analysis.

Se almeno un file non viene trovato: "Errore durante l'esecuzione dell'azione "Allega file alla richiesta". Motivo: i seguenti file non sono stati trovati o l'azione non dispone di autorizzazioni sufficienti per accedervi: {not available files}'

Generale

Visualizza i dettagli dell'appliance

Descrizione

Recupera informazioni sull'appliance Trellix Malware Analysis.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni del valore
is_success	is_success=False
is_success	is_success=True

Risultato JSON

{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}

Bacheca casi

Tipo di risultato	Valore/Descrizione	Tipo
Messaggio di output*	L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: Se completata per un percorso file (is_success = true): "Dettagli su Trellix Malware Analysis recuperati correttamente". L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook: In caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Get Appliance Details". Reason: {0}''.format(error.Stacktrace)	Generale

Tipo di risultato

Valore/Descrizione

Tipo

Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
Se completata per un percorso file (is_success = true): "Dettagli su Trellix Malware Analysis recuperati correttamente".

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
In caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Get Appliance Details". Reason: {0}''.format(error.Stacktrace)

Generale

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.