FireEye CM

In diesem Dokument wird beschrieben, wie Sie FireEye CM in Google Security Operations einbinden.

Anwendungsbereiche

  1. Sie können Trellix Central Management-Benachrichtigungen aufnehmen, um damit Google Security Operations-Benachrichtigungen zu erstellen. Als Nächstes können in Google SecOps Benachrichtigungen verwendet werden, um Orchestrierungen mit Playbooks oder manuellen Analysen durchzuführen.
  2. Aktive Aktionen ausführen – Benachrichtigungsartefakte mit dem Trellix Central Management-Agenten aus Google SecOps herunterladen, eine Regel erstellen, IOC-Feeds

FireEye CM-Integration in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Instanzname String – Nein Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung String – Nein Beschreibung der Instanz.
API-Stamm String https://
:
 Ja API-Stamm des Trellix Central Management-Servers.
Nutzername String – Ja Nutzername des Trellix Central Management-Kontos.
Passwort Passwort – Ja Das Passwort des Trellix Central Management-Kontos.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Trellix Central Management-Server gültig ist.
Remote ausführen Kästchen Deaktiviert Nein Klicken Sie das Feld an, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Trellix Central Management mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

if successful:
Print "Successfully connected to the Trellix Central Management server with the provided connection parameters!"

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn nicht erfolgreich:

Geben Sie „Failed to connect to the Trellix Central Management server! Error is {0}".format(exception.stacktrace)

 Allgemein

IOC-Feed hinzufügen

Beschreibung

Fügen Sie in Trellix Central Management einen IOC-Feed basierend auf Entitäten hinzu. Es werden nur MD5- und SHA256-Hashes unterstützt.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Aktion DDL

Benachrichtigung

Möglicher Wert

Benachrichtigung

Blockieren

 Ja Geben Sie an, welche Aktion für den neuen Feed ausgeführt werden soll.
Kommentar String – Nein Geben Sie zusätzliche Kommentare zum Feed an.
Domain extrahieren Kästchen – Ja Wenn diese Option aktiviert ist, extrahiert die Aktion den Domainteil aus der URL und verwendet ihn, um einen IOC-Feed zu erstellen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • IP-Adresse
  • URL
  • HASH (MD5/SHA256)

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

if status code 200 for at least one entity type(is_success = true):
Print "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

Wenn einige der Entitätstypen nicht richtig verwendet wurden (is_success =true) :
Print "Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n).format(entity.identifier)

Wenn keine der Entitäten erfolgreich für die Feederstellung verwendet wurde: (is_success=false)
Geben Sie „No IOC feeds were created in Trellix Central Management!“ aus.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegenden Fehlern, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Problemen:

Geben Sie „Fehler beim Ausführen der Aktion ‚IOC-Feed hinzufügen‘“ aus. Reason: {0}''.format(error.Stacktrace)

 Allgemein

IOC-Feed löschen

Beschreibung

Löschen Sie den IOC-Feed in Trellix Central Management.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Feedname String – Ja Geben Sie den Namen des Feeds an, der gelöscht werden soll.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn der Statuscode 200 ist und der feedName nicht in der Liste gefunden wurde (is_success = true): „Feed ‚{0}‘ wurde erfolgreich in Trellix Central Management gelöscht!“

if Statuscode 200 and feedName was found in the list for last request (is_success = false): „Action wasn't able to delete feed '{0}' in Trellix Central Management.

Wenn der Feedname anfangs nicht vorhanden ist: „Aktion konnte den IOC-Feed in Trellix Central Management nicht löschen“. Grund: Der Feed „{feed_name}“ wurde nicht gefunden.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, keiner Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚IOC-Feed löschen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

E‑Mails in Quarantäne auflisten

Beschreibung

E‑Mails in Quarantäne auflisten Erfordert FireEye EX, das mit Trellix Central Management verbunden ist.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Beginn String – Nein Wenn angegeben, werden nur E‑Mails zurückgegeben, die nach dem Startzeitpunkt erstellt wurden. Wenn „Beginn“ und „Ende“ nicht angegeben sind, werden die in den letzten 24 Stunden in Quarantäne verschobenen E‑Mails zurückgegeben. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Ende String – Nein Wenn angegeben, werden nur E‑Mails zurückgegeben, die vor dem Endzeitpunkt erstellt wurden. Wenn „Beginn“ und „Ende“ nicht angegeben sind, werden die in den letzten 24 Stunden in Quarantäne verschobenen E‑Mails zurückgegeben. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Absenderfilter String – Nein Wenn angegeben, werden alle in Quarantäne befindlichen E-Mails nur von diesem Absender zurückgegeben.
Betreff-Filter String – Nein Wenn angegeben, werden alle E‑Mails in Quarantäne nur mit diesem Betreff zurückgegeben.
Maximale Anzahl zurückzugebender E‑Mails String 50 Nein Geben Sie an, wie viele E-Mails zurückgegeben werden sollen. Das Limit beträgt 10.000. Dies ist eine Einschränkung von Trellix Central Management.
Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn Daten verfügbar sind (is_success = true): „Successfully listed Trellix Central Management quarantined emails!“

Wenn keine Daten verfügbar sind (is_success = true): „In Trellix Central Management wurden keine E‑Mails in Quarantäne gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚In Quarantäne befindliche E‑Mails auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle im Fall-Repository

Name: Quarantined Emails

Spalten:

  • Absender
  • Betreff
  • Abgeschlossen um
  • E‑Mail-UUID
  • Nachrichten-ID
  • Warteschlangen-ID

E‑Mail aus der Quarantäne freigeben

Beschreibung

Gibt E‑Mails aus der Quarantäne frei. Erfordert FireEye EX, das mit Trellix Central Management verbunden ist.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Warteschlangen-ID String – Ja Geben Sie die Warteschlangen-ID der E‑Mail an, die freigegeben werden soll.
Sensorname String – Nein Geben Sie den Namen des Sensors an, in dem Sie eine E‑Mail aus der Quarantäne freigeben möchten. Wenn hier nichts angegeben ist, versucht die Aktion, den Sensor automatisch zu finden.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn der Statuscode 200 ist und die Antwort leer ist (is_success = true): „Die in Trellix Central Management unter Quarantäne gestellte E-Mail mit der Warteschlangen-ID {0} wurde erfolgreich freigegeben.“

if Statuscode 200 and response is not empty (is_success = false): „Email with queue id {0} was not released. Grund: {1}“.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚In Quarantäne befindliche E‑Mail freigeben‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Sensor nicht automatisch gefunden wird: „Fehler beim Ausführen der Aktion ‚E-Mail aus Quarantäne freigeben‘. Grund: Sensor für FireEye EX-Appliance wurde nicht gefunden. Geben Sie ihn manuell im Parameter „Sensor Name“ an.''.format(error.Stacktrace)

Wenn ein ungültiger Sensor angegeben wird: „Fehler beim Ausführen der Aktion ‚E‑Mail aus Quarantäne freigeben‘. Grund: Sensor mit dem Namen {0} für die FireEye EX-Appliance wurde nicht gefunden. Bitte überprüfen Sie die Schreibweise.''.format(error.Stacktrace)

 Allgemein

E‑Mail in Quarantäne herunterladen

Beschreibung

E‑Mails in Quarantäne herunterladen. Erfordert FireEye EX, das mit Trellix Central Management verbunden ist.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Warteschlangen-ID String – Ja Geben Sie die Warteschlangen-ID der E‑Mail an, die heruntergeladen werden soll.
Pfad des Downloadordners String – Ja Geben Sie den absoluten Pfad zu dem Ordner an, in dem die Aktion die Dateien speichern soll.
Überschreiben Kästchen Ja Ja Wenn diese Option aktiviert ist, wird die vorhandene Datei mit demselben Pfad überschrieben.
Sensorname String – Nein Geben Sie den Namen des Sensors an, von dem Sie eine E-Mail in Quarantäne herunterladen möchten. Wenn hier nichts angegeben ist, versucht die Aktion, den Sensor automatisch zu finden.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
file_path = {absolute file path to the file}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht stoppen:
Wenn der Statuscode 200 ist und kein XML vorhanden ist (is_success = true): „Die in Quarantäne befindliche E-Mail von Trellix Central Management mit der Warteschlangen-ID {0} wurde erfolgreich heruntergeladen.“

if Statuscode 200 and xml in the response (is_success = false): „Email with queue id {0} was not downloaded. Grund: {1}“.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚In Quarantäne befindliche E‑Mail herunterladen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Sensor nicht automatisch gefunden wird: „Fehler beim Ausführen der Aktion ‚In Quarantäne befindliche E‑Mail herunterladen‘. Grund: Sensor für FireEye EX-Appliance wurde nicht gefunden. Geben Sie ihn manuell im Parameter „Sensor Name“ an.''.format(error.Stacktrace)

Wenn ein ungültiger Sensor angegeben wird: „Fehler beim Ausführen der Aktion ‚In Quarantäne befindliche E‑Mail herunterladen‘. Grund: Sensor mit dem Namen {0} für die FireEye EX-Appliance wurde nicht gefunden. Bitte überprüfen Sie die Schreibweise.''.format(error.Stacktrace)

 Allgemein

E‑Mails in Quarantäne löschen

Beschreibung

E‑Mails in Quarantäne löschen. Erfordert FireEye EX, das mit Trellix Central Management verbunden ist.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Warteschlangen-ID String – Ja Geben Sie die Warteschlangen-ID der E‑Mail an, die gelöscht werden soll.
Sensorname String – Nein Geben Sie den Namen des Sensors an, in dem Sie eine E-Mail in Quarantäne löschen möchten. Wenn hier nichts angegeben ist, versucht die Aktion, den Sensor automatisch zu finden.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:
Wenn der Statuscode 200 ist und die Antwort leer ist (is_success = true): „Die in Quarantäne befindliche E‑Mail von Trellix Central Management mit der Warteschlangen-ID {0} wurde erfolgreich gelöscht.“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

if Statuscode 200 and response is not empty: „Email with queue id {0} was not deleted. Grund: {1}“.

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚E‑Mail in Quarantäne löschen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Sensor nicht automatisch gefunden wird: „Fehler beim Ausführen der Aktion ‚E‑Mail in Quarantäne löschen‘. Grund: Sensor für FireEye EX-Appliance wurde nicht gefunden. Geben Sie ihn manuell im Parameter „Sensor Name“ an.''.format(error.Stacktrace)

Wenn ein ungültiger Sensor angegeben wird: „Fehler beim Ausführen der Aktion ‚In Quarantäne befindliche E‑Mail löschen‘. Grund: Sensor mit dem Namen {0} für die FireEye EX-Appliance wurde nicht gefunden. Bitte überprüfen Sie die Schreibweise.''.format(error.Stacktrace)

 Allgemein

Benachrichtigungsartefakte herunterladen

Beschreibung

Laden Sie Benachrichtigungsartefakte aus Trellix Central Management herunter.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
UUID der Benachrichtigung String – Ja Geben Sie die UUID der Benachrichtigung an, von der Artefakte heruntergeladen werden sollen.
Pfad des Downloadordners String – Ja Geben Sie den absoluten Pfad zu dem Ordner an, in dem die Aktion die Dateien speichern soll.
Überschreiben Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird die vorhandene Datei mit demselben Pfad überschrieben.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
file_path = {absolute file path to the file}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn Statuscode 200 (is_success = true): „Artefakte der Trellix Central Management-Meldung mit der Meldungs-ID {0} wurden heruntergeladen.“

Wenn eine Datei mit diesem Pfad bereits vorhanden ist (is_success = false): „Die Aktion konnte keine Trellix Central Management-Benachrichtigungsartefakte mit der Benachrichtigungs-ID {0} herunterladen. Grund: Eine Datei mit diesem Pfad ist bereits vorhanden.

if Statuscode 404 (is_success = false): „Artifacts for alert with uuid {0} were not found. ".

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, andere: „Fehler beim Ausführen der Aktion ‚Download Alert Artifacts‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

IOC-Feeds auflisten

Beschreibung

Verfügbare IOC-Feeds in Trellix Central Management auflisten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Maximale Anzahl zurückzugebender IOC-Feeds String 50 Nein Geben Sie an, wie viele IOC-Feeds zurückgegeben werden sollen. Der Standardwert ist 50.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn der Statuscode 200 ist (is_success = true): „Die verfügbaren IOC-Feeds in Trellix Central Management wurden erfolgreich aufgelistet.“

Wenn keine Einträge gefunden wurden: „In Trellix Central Management wurden keine IOC-Feeds gefunden“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Problemen: „Fehler beim Ausführen der Aktion ‚IOC-Feeds auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle „Fall-Repository“

Tabellenname: Verfügbare IOC-Feeds

Tabellenspalten:

Name

Status

Typ

Aktion

Kommentar

IP-Anzahl

Anzahl der URLs

Anzahl der Domains

Hash-Anzahl

Hochgeladen am

Allgemein

Regel zur Datei mit benutzerdefinierten Regeln hinzufügen

Beschreibung

Fügen Sie der Datei mit benutzerdefinierten Regeln in Trellix Central Management eine neue Regel hinzu.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Regel String – Ja Geben Sie die Regel an, die der Datei mit benutzerdefinierten Regeln hinzugefügt werden soll.
Sensorname String – Nein Geben Sie den Namen des Sensors an, dem Sie eine neue Regel hinzufügen möchten. Wenn hier nichts angegeben ist, versucht die Aktion, den Sensor automatisch zu finden.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Wenn der Statuscode 200 lautet und die Datei aktualisiert wurde (is_success = true): „Die Regel wurde der Datei mit benutzerdefinierten Regeln in der Appliance ‚{0}‘ in Trellix Central Management hinzugefügt.“

Wenn der Statuscode 500 lautet (is_success = false): „Die Aktion konnte der Datei mit benutzerdefinierten Regeln in Trellix Central Management keine Regel hinzufügen. Grund: {0}).

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Regel zu benutzerdefinierten Regeln hinzufügen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Sensor nicht automatisch gefunden wird: „Fehler beim Ausführen der Aktion ‚Regel zur Datei mit benutzerdefinierten Regeln hinzufügen‘. Grund: Sensor für FireEye NX-Appliance wurde nicht gefunden. Geben Sie ihn manuell im Parameter „Sensor Name“ an.''.format(error.Stacktrace)

Wenn ein ungültiger Sensor angegeben wird: „Fehler beim Ausführen der Aktion ‚Regel zur Datei mit benutzerdefinierten Regeln hinzufügen‘. Grund: Sensor mit dem Namen {0} für die FireEye NX-Appliance wurde nicht gefunden. Bitte überprüfen Sie die Schreibweise.''.format(error.Stacktrace)

 Allgemein

Benachrichtigung bestätigen

Beschreibung

Bestätigen Sie die Benachrichtigung in Trellix Central Management.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
UUID der Benachrichtigung String – Ja Geben Sie die UUID der Benachrichtigung an, die bestätigt werden muss.
Anmerkung String – Ja Geben Sie die Annotation an, die den Grund für die Bestätigung erläutert.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn der Statuscode 200 ist (is_success = true): „Trellix Central Management-Benachrichtigung mit der ID {0} wurde erfolgreich bestätigt.“

if Statuscode 404 (is_success = false): „Action wasn't able to acknowledge Trellix Central Management alert with ID {0}. Grund: Die Benachrichtigung mit der ID {0} wurde nicht gefunden. ".

Bei Statuscode 400 (is_success = false): „Die Aktion konnte die Trellix Central Management-Benachrichtigung mit der ID {0} nicht bestätigen. Grund: {1} „.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Benachrichtigung bestätigen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Datei mit benutzerdefinierten Regeln herunterladen

Beschreibung

Laden Sie die Datei mit den benutzerdefinierten Regeln aus Trellix Central Management herunter.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Sensorname String – Nein Geben Sie den Namen des Sensors an, dem Sie eine neue Regel hinzufügen möchten. Wenn hier nichts angegeben ist, versucht die Aktion, den Sensor automatisch zu finden.
Pfad des Downloadordners String – Ja Geben Sie den absoluten Pfad zum Ordner an, in den die Datei heruntergeladen werden soll.
Überschreiben Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird die vorhandene Datei mit demselben Pfad überschrieben.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
File Path = "absolute path to the file"
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn Statuscode 200 (is_success = true): „Die Datei mit den benutzerdefinierten Regeln wurde erfolgreich von der Appliance ‚{0}‘ in Trellix Central Management heruntergeladen.“

Wenn der Statuscode 500 oder 400 ist (is_success = false): „Die Aktion konnte die Datei mit benutzerdefinierten Regeln nicht von der Appliance ‚{0}‘ in Trellix Central Management herunterladen. Reason: {1}".

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, andere: „Error executing action „Download Custom Rules File“. Reason: {0}''.format(error.Stacktrace)

Wenn der Sensor nicht automatisch gefunden wird: „Fehler beim Ausführen der Aktion ‚Datei mit benutzerdefinierten Regeln herunterladen‘. Grund: Sensor für FireEye NX-Appliance wurde nicht gefunden. Geben Sie ihn manuell im Parameter „Sensor Name“ an.''.format(error.Stacktrace)

Wenn ein ungültiger Sensor angegeben wird: „Fehler beim Ausführen der Aktion ‚Datei mit benutzerdefinierten Regeln herunterladen‘. Grund: Sensor mit dem Namen {0} für die FireEye NX-Appliance wurde nicht gefunden. Bitte überprüfen Sie die Schreibweise.''.format(error.Stacktrace)

 Allgemein

Connectors

FireEye CM – Alerts Connector

Beschreibung

Der Connector nimmt Trellix Central Management-Benachrichtigungen in Google SecOps auf. Dazu gehören auch Warnungen, die von FireEye NX- und EX-Appliances generiert werden.

FireEye CM – Alerts-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Sensor Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String eventType Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.

Name des Umgebungsfelds

 String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.

Regex-Muster für Umgebung

 String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 180 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String https://x.x.x.x:x Ja API-Stamm des Trellix Central Management-Servers.
Nutzername String – Ja Nutzername des Trellix Central Management-Kontos.
Passwort Passwort – Ja Passwort des Trellix Central Management-Kontos.
Maximale Anzahl von Stunden rückwärts abrufen Ganzzahl 1 Nein Anzahl der Stunden, für die Meldungen abgerufen werden sollen.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Trellix Central Management-Server gültig ist.
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten