FireEye CM

Ce document explique comment intégrer FireEye CM à Google Security Operations.

Cas d'utilisation

  1. Ingérez les alertes Trellix Central Management pour les utiliser afin de créer des alertes Google Security Operations. Ensuite, dans Google SecOps, les alertes peuvent être utilisées pour effectuer des orchestrations avec des playbooks ou une analyse manuelle.
  2. Effectuer des actions actives : télécharger des artefacts d'alerte à l'aide de l'agent Trellix Central Management depuis Google SecOps, créer une règle, des flux d'IOC

Configurer l'intégration de FireEye CM dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom de l'instance Chaîne N/A Non Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description Chaîne N/A Non Description de l'instance.
Racine de l'API Chaîne https://
:
 Oui Racine de l'API du serveur Trellix Central Management.
Nom d'utilisateur Chaîne N/A Oui Nom d'utilisateur du compte Trellix Central Management.
Mot de passe Mot de passe N/A Oui Mot de passe du compte Trellix Central Management.
Vérifier le protocole SSL Case à cocher Cochée Oui Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur Trellix Central Management est valide.
Exécuter à distance Case à cocher Décochée Non Cochez le champ pour exécuter l'intégration configurée à distance. Une fois cette option cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Ping

Description

Testez la connectivité à Trellix Central Management avec les paramètres fournis sur la page de configuration de l'intégration dans la page du hub de contenus Google SecOps.

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite :
Affichez "Successfully connected to the Trellix Central Management server with the provided connection parameters!"

L'action doit échouer et arrêter l'exécution d'un playbook :

Si l'opération échoue :

Affichez "Échec de la connexion au serveur Trellix Central Management ! Error is {0}".format(exception.stacktrace)

 Général

Ajouter un flux d'IOC

Description

Ajoutez un flux d'IOC dans Trellix Central Management en fonction des entités. Seuls les hachages MD5 et SHA256 sont acceptés.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Action LDD

Alerte

Valeur possible

Alerte

Bloquer

 Oui Spécifiez l'action à effectuer pour le nouveau flux d'actualités.
Commentaire Chaîne N/A Non Ajoutez des commentaires supplémentaires pour le flux.
Extraire le domaine Case à cocher N/A Oui Si cette option est activée, l'action extrait la partie domaine de l'URL et l'utilise pour créer un flux d'IOC.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • URL
  • HASH (MD5/SHA256)

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si le code d'état est 200 pour au moins un type d'entité(is_success = true) :
Afficher "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

if some of the entity types were not used properly (is_success =true) :
Print "Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n).format(entity.identifier)

Si aucune des entités n'a été utilisée pour créer un flux (is_success=false)
Affichez "No IOC feeds were created in Trellix Central Management!" (Aucun flux d'IOC n'a été créé dans Trellix Central Management).

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to server, other:

Affichez "Erreur lors de l'exécution de l'action "Ajouter un flux d'IOC". Reason: {0}''.format(error.Stacktrace)

 Général

Supprimer le flux d'IOC

Description

Supprimez le flux d'IOC dans Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
Nom du flux Chaîne N/A Oui Spécifiez le nom du flux à supprimer.

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 et que feedName n'a pas été trouvé dans la liste (is_success = true) : "Successfully deleted feed '{0}' in Trellix Central Management !".

si le code d'état est 200 et que feedName a été trouvé dans la liste de la dernière requête (is_success = false) : "L'action n'a pas pu supprimer le flux '{0}' dans Trellix Central Management.

Si le nom du flux n'existe pas initialement : "Action wasn't able to delete IOC feed in Trellix Central Management" (L'action n'a pas pu supprimer le flux d'IOC dans Trellix Central Management). Motif : Le flux "{feed_name}" est introuvable.

L'action doit échouer et arrêter l'exécution d'un playbook
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Delete IOC Feed". Reason: {0}''.format(error.Stacktrace)

 Général

Lister les e-mails mis en quarantaine

Description

Lister les e-mails mis en quarantaine. Nécessite FireEye EX connecté à Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
Heure de début Chaîne N/A Non Si cette option est spécifiée, seuls les e-mails créés après l'heure de début seront renvoyés. Si l'heure de début et l'heure de fin ne sont pas spécifiées, l'action renvoie les e-mails mis en quarantaine au cours des dernières 24 heures. Format : AAAA-MM-JJ'T'HH:MM:SS.SSS-HHMM
Heure de fin Chaîne N/A Non Si cette option est spécifiée, seuls les e-mails créés avant l'heure de fin seront renvoyés. Si l'heure de début et l'heure de fin ne sont pas spécifiées, l'action renvoie les e-mails mis en quarantaine au cours des dernières 24 heures. Format : AAAA-MM-JJ'T'HH:MM:SS.SSS-HHMM
Filtre d'expéditeur Chaîne N/A Non Si ce paramètre est spécifié, seuls les e-mails mis en quarantaine provenant de cet expéditeur sont renvoyés.
Filtre de sujet Chaîne N/A Non Si ce paramètre est spécifié, seuls les e-mails mis en quarantaine avec cet objet sont renvoyés.
Nombre maximal d'e-mails à renvoyer Chaîne 50 Non Spécifiez le nombre d'e-mails à renvoyer. La limite est de 10 000. Il s'agit d'une limitation de Trellix Central Management.
Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Mur des cas
Type de résultat Valeur/Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si des données sont disponibles (is_success = true) : "Successfully listed Trellix Central Management quarantined emails!"

Si aucune donnée n'est disponible (is_success = true) : "No quarantined emails were found in Trellix Central Management!"

L'action doit échouer et arrêter l'exécution d'un playbook
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "List Quarantined Emails". Reason: {0}''.format(error.Stacktrace)

 Général
Tableau du mur des cas

Nom : E-mails mis en quarantaine

Colonnes :

  • Expéditeur
  • Objet
  • Terminé le
  • UUID de l'e-mail
  • ID du message
  • ID de la file d'attente

Libérer un e-mail mis en quarantaine

Description

Libère les e-mails mis en quarantaine. Nécessite FireEye EX connecté à Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
ID de la file d'attente Chaîne N/A Oui Spécifiez l'ID de file d'attente de l'e-mail à libérer.
Nom du capteur Chaîne N/A Non Spécifiez le nom du capteur où vous souhaitez libérer un e-mail mis en quarantaine. Si rien n'est spécifié ici, l'action tentera de trouver le capteur automatiquement.

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 et que la réponse est vide (is_success = true) : "Successfully released Trellix Central Management quarantined email with queue id {0}!".

Si le code d'état est 200 et que la réponse n'est pas vide (is_success = false) : "L'e-mail avec l'ID de file d'attente {0} n'a pas été libéré. Motif : {1}".

L'action doit échouer et arrêter l'exécution d'un playbook
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Release Quarantined Email". Reason: {0}''.format(error.Stacktrace)

Si le capteur n'est pas détecté automatiquement : "Erreur lors de l'exécution de l'action "Libérer l'e-mail mis en quarantaine". Motif : le capteur de l'appareil FireEye EX est introuvable. Please provide it manually in the 'Sensor Name' parameter.''.format(error.Stacktrace)

Si un capteur non valide est fourni : "Error executing action "Release Quarantined Email". Motif : Le capteur nommé {0} pour l'appareil FireEye EX est introuvable. Veuillez vérifier l'orthographe.".format(error.Stacktrace)

 Général

Télécharger l'e-mail mis en quarantaine

Description

Télécharger l'e-mail mis en quarantaine. Nécessite FireEye EX connecté à Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
ID de la file d'attente Chaîne N/A Oui Spécifiez l'ID de file d'attente de l'e-mail à télécharger.
Chemin d'accès au dossier de téléchargement Chaîne N/A Oui Spécifiez le chemin absolu du dossier dans lequel l'action doit enregistrer les fichiers.
Écraser Case à cocher Oui Oui Si cette option est activée, l'action écrasera le fichier existant portant le même chemin d'accès.
Nom du capteur Chaîne N/A Non Spécifiez le nom du capteur où vous souhaitez télécharger un e-mail mis en quarantaine. Si rien n'est spécifié ici, l'action tentera de trouver le capteur automatiquement.

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
file_path = {absolute file path to the file}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 et qu'il n'y a pas de fichier XML (is_success = true) : "Successfully downloaded Trellix Central Management quarantined email with queue id {0}!".

si le code d'état est 200 et que la réponse contient du code XML (is_success = false) : "Email with queue id {0} was not downloaded. Motif : {1}".

L'action doit échouer et arrêter l'exécution d'un playbook
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Download Quarantined Email". Reason: {0}''.format(error.Stacktrace)

Si le capteur n'est pas détecté automatiquement : "Erreur lors de l'exécution de l'action "Télécharger l'e-mail mis en quarantaine". Motif : le capteur de l'appareil FireEye EX est introuvable. Please provide it manually in the 'Sensor Name' parameter.''.format(error.Stacktrace)

Si un capteur non valide est fourni : "Error executing action "Download Quarantined Email". Motif : Le capteur nommé {0} pour l'appareil FireEye EX est introuvable. Veuillez vérifier l'orthographe.".format(error.Stacktrace)

 Général

Supprimer l'e-mail mis en quarantaine

Description

Supprimer un e-mail mis en quarantaine. Nécessite FireEye EX connecté à Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
ID de la file d'attente Chaîne N/A Oui Spécifiez l'ID de file d'attente de l'e-mail à supprimer.
Nom du capteur Chaîne N/A Non Spécifiez le nom du capteur dans lequel vous souhaitez supprimer un e-mail mis en quarantaine. Si rien n'est spécifié ici, l'action tentera de trouver le capteur automatiquement.

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 et que la réponse est vide (is_success = true) : "Successfully deleted Trellix Central Management quarantined email with queue id {0}!".

L'action doit échouer et arrêter l'exécution d'un playbook :

if status code 200 and response is not empty: "Email with queue id {0} was not deleted. Motif : {1}".

En cas d'erreur fatale (identifiants incorrects, absence de connexion au serveur, etc.) : "Erreur lors de l'exécution de l'action "Supprimer l'e-mail mis en quarantaine". Reason: {0}''.format(error.Stacktrace)

Si le capteur n'est pas détecté automatiquement : "Erreur lors de l'exécution de l'action "Supprimer l'e-mail mis en quarantaine". Motif : le capteur de l'appareil FireEye EX est introuvable. Please provide it manually in the 'Sensor Name' parameter.''.format(error.Stacktrace)

Si un capteur non valide est fourni : "Error executing action "Delete Quarantined Email". Motif : Le capteur nommé {0} pour l'appareil FireEye EX est introuvable. Veuillez vérifier l'orthographe.".format(error.Stacktrace)

 Général

Télécharger les artefacts d'alerte

Description

Téléchargez les artefacts d'alerte depuis Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
UUID de l'alerte Chaîne N/A Oui Spécifiez l'UUID de l'alerte à partir duquel nous devons télécharger les artefacts.
Chemin d'accès au dossier de téléchargement Chaîne N/A Oui Spécifiez le chemin absolu du dossier dans lequel l'action doit enregistrer les fichiers.
Écraser Case à cocher Cochée Oui Si cette option est activée, l'action écrasera le fichier existant portant le même chemin d'accès.

Exécuter sur

L'action n'est pas exécutée sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
file_path = {absolute file path to the file}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 (is_success = true) : "Successfully downloaded Trellix Central Management alert artifacts with alert id {0}!".

Si un fichier portant ce chemin d'accès existe déjà (is_success = false) : "L'action n'a pas pu télécharger les artefacts d'alerte Trellix Central Management avec l'ID d'alerte {0}. Motif : Un fichier portant ce chemin d'accès existe déjà."

Si le code d'état est 404 (is_success = false) : "Les artefacts de l'alerte avec l'UUID {0} sont introuvables. ".

L'action doit échouer et arrêter l'exécution d'un playbook
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Download Alert Artifacts". Reason: {0}''.format(error.Stacktrace)

 Général

Lister les flux d'IoC

Description

Répertoriez les flux d'IOC disponibles dans Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
Nombre maximal de flux d'IOC à renvoyer Chaîne 50 Non Spécifiez le nombre de flux d'IOC à renvoyer. La valeur par défaut est 50.

Exécuter sur

L'action n'est pas exécutée sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Mur des cas
Type de résultat Valeur/Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 (is_success = true) : "Successfully listed available IOC feeds in Trellix Central Management!".

Si aucune entrée n'a été trouvée : "Aucun flux d'IOC n'a été trouvé dans Trellix Central Management"

L'action doit échouer et arrêter l'exécution d'un playbook :
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "List IOC Feeds". Reason: {0}''.format(error.Stacktrace)

 Général
Tableau du mur des cas

Nom du tableau : Flux d'IOC disponibles

Colonnes du tableau :

Nom

Status

Type

Action

Commentaire

Nombre d'adresses IP

Nombre d'URL

Nombre de domaines

Nombre de hachages

Date d'importation

Général

Ajouter une règle au fichier de règles personnalisées

Description

Ajoutez une règle au fichier de règles personnalisées dans Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
Règle Chaîne N/A Oui Spécifiez la règle à ajouter au fichier de règles personnalisées.
Nom du capteur Chaîne N/A Non Spécifiez le nom du capteur auquel vous souhaitez ajouter une règle. Si rien n'est spécifié ici, l'action tentera de trouver le capteur automatiquement.

Exécuter sur

L'action n'est pas exécutée sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 et que le fichier a été mis à jour (is_success = true) : "Successfully added rule to custom rules file in '{0}' appliance in Trellix Central Management !".

si le code d'état est 500 (is_success = false) : "Action wasn't able to add a rule to the custom rules file in Trellix Central Management. Motif : {0}).

L'action doit échouer et arrêter l'exécution d'un playbook
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Add Rule To Custom Rules". Reason: {0}''.format(error.Stacktrace)

Si le capteur n'est pas détecté automatiquement : "Error executing action "Add Rule To Custom Rules File". Motif : Le capteur de l'appareil FireEye NX est introuvable. Please provide it manually in the 'Sensor Name' parameter.''.format(error.Stacktrace)

Si un capteur non valide est fourni : "Error executing action "Add Rule To Custom Rules File". Motif : Le capteur nommé {0} pour l'appareil FireEye NX est introuvable. Veuillez vérifier l'orthographe.''.format(error.Stacktrace)

 Général

Confirmer l'alerte

Description

Confirmez l'alerte dans Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
UUID de l'alerte Chaîne N/A Oui Spécifiez l'UUID de l'alerte qui doit être confirmée.
Annotation Chaîne N/A Oui Spécifiez l'annotation qui explique la raison de l'accusé de réception.

Exécuter sur

L'action n'est pas exécutée sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 (is_success = true) : "Successfully acknowledged Trellix Central Management alert with ID {0}!".

Si le code d'état est 404 (is_success = false) : "Action wasn't able to acknowledge Trellix Central Management alert with ID {0}. Motif : L'alerte avec l'ID {0} est introuvable. ".

Si le code d'état est 400 (is_success = false) : "L'action n'a pas pu accuser réception de l'alerte Trellix Central Management avec l'ID {0}. Motif : {1} ".

L'action doit échouer et arrêter l'exécution d'un playbook :
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Acknowledge Alert". Reason: {0}''.format(error.Stacktrace)

 Général

Télécharger le fichier de règles personnalisées

Description

Téléchargez le fichier de règles personnalisées depuis Trellix Central Management.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
Nom du capteur Chaîne N/A Non Spécifiez le nom du capteur auquel vous souhaitez ajouter une règle. Si rien n'est spécifié ici, l'action tentera de trouver le capteur automatiquement.
Chemin d'accès au dossier de téléchargement Chaîne N/A Oui Spécifiez le chemin absolu au dossier dans lequel le fichier doit être téléchargé.
Écraser Case à cocher Cochée Oui Si cette option est activée, l'action écrasera le fichier existant portant le même chemin d'accès.

Exécuter sur

L'action n'est pas exécutée sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
File Path = "absolute path to the file"
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 (is_success = true) : "Successfully downloaded custom rules file from appliance '{0}' in Trellix Central Management !".

Si le code d'état est 500 ou 400 (is_success = false) : "L'action n'a pas pu télécharger le fichier de règles personnalisées depuis l'appareil '{0}' dans Trellix Central Management. Reason: {1}".

L'action doit échouer et arrêter l'exécution d'un playbook :
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Download Custom Rules File". Reason: {0}''.format(error.Stacktrace)

Si le capteur n'est pas détecté automatiquement : "Error executing action "Download Custom Rules File". Motif : Le capteur de l'appareil FireEye NX est introuvable. Please provide it manually in the 'Sensor Name' parameter.''.format(error.Stacktrace)

Si un capteur non valide est fourni : "Error executing action "Download Custom Rules File". Motif : Le capteur nommé {0} pour l'appareil FireEye NX est introuvable. Veuillez vérifier l'orthographe.".format(error.Stacktrace)

 Général

Connecteurs

FireEye CM – Connecteur d'alertes

Description

Le connecteur ingère les alertes Trellix Central Management dans Google SecOps. Cela inclut les alertes générées par les appliances FireEye NX et EX.

Configurer le connecteur FireEye CM - Alerts dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom du champ de produit Chaîne capteur Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne eventType Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.

Nom du champ d'environnement

 Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.

Modèle d'expression régulière de l'environnement

 Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
Délai avant expiration du script (en secondes) Entier 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne https://x.x.x.x:x Oui Racine de l'API du serveur Trellix Central Management.
Nom d'utilisateur Chaîne N/A Oui Nom d'utilisateur du compte Trellix Central Management.
Mot de passe Mot de passe N/A Oui Mot de passe du compte Trellix Central Management.
Récupérer le nombre maximal d'heures en arrière Integer 1 Non Nombre d'heures dans le passé à partir desquelles récupérer les alertes.
Vérifier le protocole SSL Case à cocher Cochée Oui Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur Trellix Central Management est valide.
Utiliser la liste d'autorisation comme liste de blocage Case à cocher Décochée Oui Si cette option est activée, la liste d'autorisation sera utilisée comme liste de blocage.
Adresse du serveur proxy Chaîne N/A Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne N/A Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe N/A Non Mot de passe du proxy pour l'authentification.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec les proxys.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.