FireEye AX

このドキュメントでは、FireEye AX を Google Security Operations と統合する方法について説明します。

ユースケース

エンティティの拡充を実行します。

Google Security Operations で FireEye AX 統合を構成する

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
API ルート 文字列 https:/<<ip address>> ○ Trellix Malware Analysis インスタンスの API ルート。
ユーザー名 文字列 なし ○ Trellix Malware Analysis アカウントのユーザー名。
パスワード パスワード なし ○ Trellix マルウェア分析アカウントのパスワード。
SSL を確認する チェックボックス オン ○ 有効になっている場合は、Trellix Malware Analysis サーバーへの接続用の SSL 証明書が有効であることを確認します。

アクション

Ping

説明

Google SecOps Content Hub ページの統合構成ページで提供されたパラメータを使用して、Trellix マルウェア分析への接続性をテストします。

パラメータ

なし

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合: 「指定された接続パラメータを使用して Trellix Malware Analysis サーバーに正常に接続されました。」

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合:「Trellix マルウェア分析サーバーへの接続に失敗しました。エラーは {0}」.format(exception.stacktrace)

 全般

URL を送信

説明

Trellix Malware Analysis の URL を使用して、分析用にファイルを送信します。サポートされるエンティティ: URL。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
VM プロファイル 文字列 なし ○ 分析中に使用する仮想マシン プロファイルを指定します。利用可能な VM プロファイルは、アクション「アプライアンスの詳細を取得」で確認できます。
アプリケーション ID 文字列 なし いいえ ファイルの分析中に使用する必要があるアプリケーションの ID を指定します。デフォルトでは、Trellix Malware Analysis は必要なアプリケーションを自動的に選択します。プロファイルで使用可能なアプリケーションのリストを取得するには、「アプライアンスの詳細を取得」アクションを実行してください。
優先度 DDL

標準

有効な値:

標準

緊急

 いいえ 送信の優先度を指定します。[Normal] を選択すると、送信したコンテンツがキューの最後に追加されます。[Urgent] を選択すると、送信したコンテンツがキューの先頭に追加されます。
強制再スキャン チェックボックス いいえ 有効にすると、アクションにより Trellix Malware Analysis が送信されたファイルを強制的に再スキャンします。
Analysis Type DDL

ライブ

有効な値:

ライブ

サンドボックス

 いいえ 分析のタイプを指定してください。[Live] を選択すると、Trellix Malware Analysis は、Malware Analysis の Multi-Vector Virtual Execution（MVX）分析エンジン内で、疑わしいファイルをライブで分析します。[Sandbox] を選択すると、Trellix Malware Analysis は、疑わしいファイルを閉じた保護された環境で分析します。
インサイトの作成 チェックボックス ○ 有効にすると、アクションによって、送信されたファイルに関する情報を含む分析情報が作成されます。

実行

このアクションは URL エンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
 {
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}
拡充テーブル
拡充フィールド名 ロジック - 適用するタイミング
悪意のあるリクエスト JSON で利用可能な場合
重要度 JSON で利用可能な場合
エンティティのインサイト

エンティティ分析情報の例:

悪意がある: True

重大度: MINR C&C サービス数: 0 実行されたプロセス数: 0 レジストリ変更数: 0 抽出されたファイル数: 0

ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
データが利用可能である場合（is_success = true）:「Trellix Malware Analysis からの情報を使用して、次のエンティティを正常に拡充しました: {entity.identifier}。」

1 つのデータがない場合（is_success=true）:「Trellix Malware Analysis からの情報を使用して、次のエンティティを拡充できませんでした: {entity.identifier}。」

すべてのデータが利用できない場合（is_success=false）: 指定されたエンティティのいずれも拡充されませんでした。

非同期メッセージ: 次のファイルの処理を待機しています: {pending files}

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「エンティティの拡充」の実行エラー。理由: {0}」.format(error.Stacktrace)

タイムアウトの場合: 「アクション「エンティティの拡充」の実行エラー。理由: アクションがタイムアウトしました。次のファイルがまだ処理中です: {pending urls}。IDE でタイムアウトを長くしてください。注: 同じファイルを追加すると、Trellix Malware Analysis で別の分析ジョブが作成されます。

 全般
Case Wall テーブル タイトル: {entity.identifier} エンティティ

ファイルの送信

説明

Trellix Malware Analysis で分析用にファイルを送信します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
File Paths CSV なし ○ 送信する絶対ファイルパスのカンマ区切りのリストを指定します。
VM プロファイル 文字列 なし ○ 分析中に使用する仮想マシン プロファイルを指定します。利用可能な VM プロファイルは、アクション「アプライアンスの詳細を取得」で確認できます。
アプリケーション ID 文字列 なし いいえ ファイルの分析中に使用する必要があるアプリケーションの ID を指定します。デフォルトでは、Trellix Malware Analysis は必要なアプリケーションを自動的に選択します。プロファイルで使用可能なアプリケーションのリストを取得するには、「アプライアンスの詳細を取得」アクションを実行してください。
優先度 DDL

標準

有効な値:

標準

緊急

 いいえ 送信の優先度を指定します。[Normal] を選択すると、送信したコンテンツがキューの最後に追加されます。[Urgent] を選択すると、送信したコンテンツがキューの先頭に追加されます。
強制再スキャン チェックボックス いいえ 有効にすると、アクションにより Trellix Malware Analysis が送信されたファイルを強制的に再スキャンします。
Analysis Type DDL

ライブ

有効な値:

ライブ

サンドボックス

 いいえ 分析のタイプを指定してください。[Live] を選択すると、Trellix Malware Analysis は、Malware Analysis の Multi-Vector Virtual Execution（MVX）分析エンジン内で、疑わしいファイルをライブで分析します。[Sandbox] を選択すると、Trellix Malware Analysis は、疑わしいファイルを閉じた保護された環境で分析します。
インサイトの作成 チェックボックス ○ 有効にすると、アクションによって、送信されたファイルに関する情報を含む分析情報が作成されます。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}
エンティティのインサイト

エンティティ分析情報の例:

悪意がある: True

重大度: MAJR C&C サービス数: 15 実行されたプロセス数: 0 レジストリ変更数: 13 抽出されたファイル数: 10

ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
1 つのファイルパスで完了した場合（is_success = true）:「Trellix Malware Analysis で次のファイルの詳細が正常に取得されました: {submitted files}。」

非同期メッセージ: 次のファイルの処理を待機しています: {pending files}

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"ファイルの送信" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)

タイムアウトの場合: 「アクション「ファイルの送信」の実行エラー。理由: アクションがタイムアウトしました。次のファイルがまだ処理中です: {pending files}。IDE でタイムアウトを長くしてください。注: 同じファイルを追加すると、Trellix Malware Analysis で別の分析ジョブが作成されます。

1 つ以上のファイルが見つからない場合: アクション「ケースにファイルを添付」の実行エラー。理由: 次のファイルが見つからなかったか、アクションにファイルにアクセスするための十分な権限がありません: {利用できないファイル}」

 全般

アプライアンスの詳細を取得する

説明

Trellix Malware Analysis アプライアンスに関する情報を取得します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}
Case Wall
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
1 つのファイルパスが完了した場合（is_success = true）:「Trellix マルウェア分析に関する詳細を正常に取得しました。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「アプライアンスの詳細の取得」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。