FireEye CM

במאמר הזה מוסבר איך לשלב את FireEye CM עם Google Security Operations.

תרחישים לדוגמה

  1. הטמעה של התראות מ-Trellix Central Management כדי ליצור התראות ב-Google Security Operations. בשלב הבא, ב-Google SecOps, אפשר להשתמש בהתראות כדי לבצע תזמור באמצעות ספרי הדרכה או ניתוח ידני.
  2. ביצוע פעולות אקטיביות – הורדת ארטיפקטים של התראות באמצעות סוכן Trellix Central Management מ-Google SecOps, יצירת כלל, פידים של IOC

הגדרה של שילוב FireEye CM ב-Google SecOps

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המופע שרוצים להגדיר עבורו שילוב.
תיאור String לא רלוונטי לא תיאור המופע.
ספריית הבסיס של ה-API String https://
:
 כן נתיב הבסיס של ה-API של שרת Trellix Central Management.
שם משתמש String לא רלוונטי כן שם המשתמש בחשבון Trellix Central Management.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון Trellix Central Management.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Trellix Central Management תקף.
הרצה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להריץ את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש (הסוכן) מרחוק.

פעולות

פינג

תיאור

בודקים את הקישוריות ל-Trellix Central Management באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Google Security Operations Marketplace.

ריצה

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:

אם הפעולה הצליחה:
הדפסת ההודעה 'החיבור לשרת הניהול המרכזי של Trellix בוצע בהצלחה עם פרמטרי החיבור שסופקו!'

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם התגובה נכשלה:

ההודעה 'החיבור לשרת הניהול המרכזי של Trellix נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

הוספת פיד IOC

תיאור

מוסיפים פיד של IOC ב-Trellix Central Management על סמך ישויות. יש תמיכה רק בגיבובים MD5 ו-SHA256.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
פעולה DDL

התראה

ערך אפשרי

התראה

חסימה

 כן מציינים איזו פעולה תתבצע בפיד החדש.
תגובה String לא רלוונטי לא מציינים תגובות נוספות לגבי הפיד.
חילוץ דומיין תיבת סימון לא רלוונטי כן אם האפשרות הזו מופעלת, הפעולה תחלץ את החלק של הדומיין מכתובת ה-URL ותשתמש בו כדי ליצור פיד של אינדיקטורים לפשרה (IOC).

ריצה

הפעולה הזו מופעלת בישויות הבאות:

  • כתובת IP
  • כתובת URL
  • גיבוב (hash)‏ (MD5/SHA256)

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:

‫if status code 200 for at least one entity type(is_success = true):
Print "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

if some of the entity types were not used properly (is_success =true) :
Print "Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n).format(entity.identifier)

אם לא נעשה שימוש באף אחת מהישויות ליצירת פיד: (is_success=false)
הדפסה של 'לא נוצרו פידים של IOC ב-Trellix Central Management!'

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

‫Print "Error executing action "Add IOC Feed". Reason: {0}''.format(error.Stacktrace)

 כללי

מחיקת פיד של IOC

תיאור

מוחקים את פיד ה-IOC ב-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם הפיד String לא רלוונטי כן מציינים את שם הפיד שרוצים למחוק.

ריצה

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההרצה של פלייבוק:
אם קוד הסטטוס הוא 200 והפיד feedName לא נמצא ברשימה (is_success = true): "Successfully deleted feed '{0}' in Trellix Central Management !".

if status code 200 and feedName was found in the list for last request (is_success = false): "Action wasn't able to delete feed '{0}' in Trellix Central Management.

אם השם של הפיד לא קיים בהתחלה: "לא הייתה אפשרות למחוק את פיד ה-IOC ב-Trellix Central Management". הסיבה: הפיד {feed_name} לא נמצא.

הפעולה תיכשל ותפסיק את ההפעלה של Playbook:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: 'שגיאה בהפעלת הפעולה Delete IOC Feed. הסיבה: {0}''.format(error.Stacktrace)

 כללי

רשימת אימיילים בהסגר

תיאור

רשימה של אימיילים שהועברו להסגר. נדרש חיבור של FireEye EX ל-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שעת ההתחלה String לא רלוונטי לא אם מציינים את השעה, יוחזרו רק אימיילים שנוצרו אחרי שעת ההתחלה. אם לא מציינים את שעת ההתחלה ואת שעת הסיום, הפעולה מחזירה אימיילים שהוכנסו להסגר ב-24 השעות האחרונות. הפורמט: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
שעת הסיום String לא רלוונטי לא אם מציינים את שעת הסיום, יוחזרו רק אימיילים שנוצרו לפני שעת הסיום. אם לא מציינים את שעת ההתחלה ואת שעת הסיום, הפעולה מחזירה אימיילים שהוכנסו להסגר ב-24 השעות האחרונות. הפורמט: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
מסנן שולח String לא רלוונטי לא אם מציינים שולח, הפונקציה מחזירה רק את כל האימיילים ששולחים ממנו שהוכנסו להסגר.
מסנן נושאים String לא רלוונטי לא אם מציינים נושא, הפונקציה מחזירה רק את כל האימיילים שהוכנסו להסגר עם הנושא הזה.
מספר האימיילים המקסימלי להחזרה String 50 לא מציינים כמה אימיילים להחזיר. המגבלה היא 10,000. זוהי הגבלה של Trellix Central Management.
ריצה

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של ספר ההפעלה:
אם הנתונים זמינים (is_success = true): "Successfully listed Trellix Central Management quarantined emails!"

אם אין נתונים זמינים (is_success = true): "No quarantined emails were found in Trellix Central Management!"

הפעולה צריכה להיכשל ולהפסיק את ההרצה של פלייבוק:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "Error executing action "List Quarantined Emails". Reason: {0}''.format(error.Stacktrace)

 כללי
טבלת קיר עם תושבת

שם: אימיילים בהסגר

עמודות:

  • השולח
  • נושא
  • הושלם בשעה
  • מזהה ייחודי אוניברסלי (UUID) של אימייל
  • מזהה הודעה
  • מזהה התור

הוצאת אימייל מההסגר

תיאור

שחרור אימייל שהוכנס להסגר. נדרש FireEye EX שמחובר ל-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה התור String לא רלוונטי כן מציינים את מזהה התור של האימייל שרוצים לשחרר.
שם החיישן String לא רלוונטי לא מציינים את שם החיישן שדרכו רוצים לשחרר אימייל שהוכנס להסגר. אם לא מציינים שם, המערכת תנסה למצוא את החיישן באופן אוטומטי.

ריצה

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק:
אם קוד הסטטוס הוא 200 והתגובה ריקה (is_success = true): "Successfully released Trellix Central Management quarantined email with queue id {0}!".

if status code 200 and response is not empty (is_success = false): "Email with queue id {0} was not released. הסיבה: {1}".

הפעולה צריכה להיכשל ולהפסיק את ההפעלה של תוכנית הפעולה:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Release Quarantined Email". הסיבה: {0}''.format(error.Stacktrace)

אם החיישן לא נמצא באופן אוטומטי: "שגיאה בהרצת הפעולה 'שחרור אימייל שהוכנס להסגר'. הסיבה: לא נמצא חיישן למכשיר FireEye EX. עליך לספק אותו באופן ידני בפרמטר 'שם החיישן'.''.format(error.Stacktrace)

אם סופק חיישן לא תקין: "Error executing action "Release Quarantined Email". הסיבה: לא נמצא חיישן בשם {0} עבור מכשיר FireEye EX. כדאי לבדוק את האיות.''.format(error.Stacktrace)

 כללי

הורדה של אימייל בהסגר

תיאור

הורדת אימייל בהסגר. נדרש חיבור של FireEye EX ל-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה התור String לא רלוונטי כן מציינים את מזהה התור של האימייל שרוצים להוריד.
נתיב תיקיית ההורדות String לא רלוונטי כן מציינים את הנתיב המוחלט לתיקייה שבה הפעולה תשמור את הקבצים.
החלפה תיבת סימון כן כן אם האפשרות הזו מופעלת, הפעולה תחליף את הקובץ הקיים באותו נתיב.
שם החיישן String לא רלוונטי לא מציינים את שם החיישן שדרכו רוצים להוריד אימייל שהוכנס להסגר. אם לא מציינים כאן כלום, הפעולה תנסה למצוא את החיישן באופן אוטומטי.

ריצה

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
file_path = {absolute file path to the file}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק:
אם קוד הסטטוס הוא 200 ואין XML (is_success = true): "Successfully downloaded Trellix Central Management quarantined email with queue id {0}!".

if status code 200 and xml in the response (is_success = false): "Email with queue id {0} was not downloaded. הסיבה: {1}".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של פלייבוק:אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "שגיאה בהרצת הפעולה 'הורדת אימייל בהסגר'.
הסיבה: {0}''.format(error.Stacktrace)

אם החיישן לא נמצא באופן אוטומטי: "שגיאה בהפעלת הפעולה 'הורדת אימייל בהסגר'. הסיבה: לא נמצא חיישן למכשיר FireEye EX. עליך לספק אותו באופן ידני בפרמטר 'שם החיישן'.''.format(error.Stacktrace)

אם סופק חיישן לא תקין: "Error executing action "Download Quarantined Email". הסיבה: לא נמצא חיישן בשם {0} עבור מכשיר FireEye EX. כדאי לבדוק את האיות.''.format(error.Stacktrace)

 כללי

מחיקה של אימייל בהסגר

תיאור

מחיקת אימייל בהסגר. נדרש חיבור של FireEye EX ל-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה התור String לא רלוונטי כן מציינים את מזהה התור של האימייל שצריך למחוק.
שם החיישן String לא רלוונטי לא מציינים את שם החיישן, שבו רוצים למחוק אימייל שהוכנס להסגר. אם לא מציינים כאן כלום, הפעולה תנסה למצוא את החיישן באופן אוטומטי.

ריצה

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של playbook:
אם קוד הסטטוס הוא 200 והתגובה ריקה (is_success = true): "Successfully deleted Trellix Central Management quarantined email with queue id {0}!".

הפעולה אמורה להיכשל ולהפסיק את ההפעלה של playbook:

if status code 200 and response is not empty: "Email with queue id {0} was not deleted. הסיבה: {1}".

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'מחיקת אימייל בהסגר'". הסיבה: {0}''.format(error.Stacktrace)

אם החיישן לא נמצא באופן אוטומטי: "שגיאה בהפעלת הפעולה 'מחיקת אימייל בהסגר'. הסיבה: לא נמצא חיישן למכשיר FireEye EX. עליך לספק אותו באופן ידני בפרמטר 'שם החיישן'.''.format(error.Stacktrace)

אם סופק חיישן לא תקין: "Error executing action "Delete Quarantined Email". הסיבה: לא נמצא חיישן בשם {0} עבור מכשיר FireEye EX. כדאי לבדוק את האיות.''.format(error.Stacktrace)

 כללי

הורדת ארטיפקטים של התראות

תיאור

הורדת ארטיפקטים של התראות מ-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ייחודי אוניברסלי (UUID) של התראה String לא רלוונטי כן צריך לציין את ה-UUID של ההתראה שממנה רוצים להוריד את הארטיפקטים.
נתיב תיקיית ההורדות String לא רלוונטי כן מציינים את הנתיב המוחלט לתיקייה שבה הפעולה תשמור את הקבצים.
החלפה תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, הפעולה תחליף את הקובץ הקיים באותו נתיב.

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
file_path = {absolute file path to the file}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההפעלה של פלייבוק:
אם קוד הסטטוס הוא 200 (is_success = true): "Successfully downloaded Trellix Central Management alert artifacts with alert id {0}!".

אם קובץ עם הנתיב הזה כבר קיים (is_success = false): "לא הייתה אפשרות להוריד את ארטיפקטים של התראות מ-Trellix Central Management עם מזהה ההתראה {0}. הסיבה: כבר קיים קובץ בנתיב הזה".

if status code 404 (is_success = false): "Artifacts for alert with uuid {0} were not found. ".

הפעולה אמורה להיכשל ולהפסיק את ההרצה של תוכנית הפעולה:אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "שגיאה בהרצת הפעולה 'הורדת פריטי מידע של התראה'".
הסיבה: {0}''.format(error.Stacktrace)

 כללי

הצגת רשימה של פידים של IOC

תיאור

רשימת פידים זמינים של IOC ב-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר הפידים המקסימלי של IOC שיוחזרו String 50 לא מציינים כמה פידים של IOC להחזיר. ברירת המחדל היא 50.

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של Playbook:
אם קוד הסטטוס הוא 200 (is_success = true): "Successfully listed available IOC feeds in Trellix Central Management!" (הוצגו בהצלחה פידים זמינים של IOC ב-Trellix Central Management).

אם לא נמצאו רשומות: "לא נמצאו פידים של IOC ב-Trellix Central Management"

הפעולה אמורה להיכשל ולהפסיק את ההרצה של ה-Playbook:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "List IOC Feeds". הסיבה: {0}''.format(error.Stacktrace)

 כללי
טבלת Case Wall

שם הטבלה: פידים זמינים של IOC

עמודות הטבלה:

שם

סטטוס

סוג

פעולה

תגובה

מספר כתובות ה-IP

מספר כתובות ה-URL

מספר הדומיינים

מספר הגיבובים (hash)

תאריך ההעלאה

כללי

הוספת כלל לקובץ של כללים בהתאמה אישית

תיאור

מוסיפים כלל חדש לקובץ הכללים בהתאמה אישית ב-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
כלל String לא רלוונטי כן מציינים את הכלל שרוצים להוסיף לקובץ הכללים בהתאמה אישית.
שם החיישן String לא רלוונטי לא מציינים את שם החיישן שבו רוצים להוסיף כלל חדש. אם לא מציינים כאן כלום, הפעולה תנסה למצוא את החיישן באופן אוטומטי.

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההפעלה של ספר ההדרכה:
אם קוד הסטטוס הוא 200 והקובץ עודכן (is_success = true): "Successfully added rule to custom rules file in '{0}' appliance in Trellix Central Management !".

אם קוד הסטטוס הוא 500 (is_success = false): "Action wasn't able to add a rule to the custom rules file in Trellix Central Management. Reason: {0}).

הפעולה תיכשל ותפסיק את ההרצה של Playbook:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Add Rule To Custom Rules". Reason: {0}''.format(error.Stacktrace)

אם לא נמצא חיישן באופן אוטומטי: 'שגיאה בהפעלת הפעולה 'הוספת כלל לקובץ כללים מותאמים אישית'. הסיבה: לא נמצא חיישן למכשיר FireEye NX. עליך לספק אותו באופן ידני בפרמטר 'שם החיישן'.''.format(error.Stacktrace)

אם סופק חיישן לא תקין: "שגיאה בהפעלת הפעולה 'הוספת כלל לקובץ כללים מותאמים אישית'. הסיבה: לא נמצא חיישן בשם {0} במכשיר FireEye NX. כדאי לבדוק את האיות.''.format(error.Stacktrace)

 כללי

אישור ההתראה

תיאור

מאשרים את ההתראה ב-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ייחודי אוניברסלי (UUID) של התראה String לא רלוונטי כן מציינים את ה-UUID של ההתראה שצריך לאשר.
הערה String לא רלוונטי כן מציינים את ההערה שמסבירה את הסיבה לאישור.

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של playbook:
אם קוד הסטטוס הוא 200 (is_success = true): "Successfully acknowledged Trellix Central Management alert with ID {0}!".

if status code 404 (is_success = false): "Action wasn't able to acknowledge Trellix Central Management alert with ID {0}. סיבה: לא נמצאה התראה עם המזהה {0}. ".

אם קוד הסטטוס הוא 400 (is_success = false): "לא הייתה אפשרות לאשר את ההתראה של Trellix Central Management עם המזהה {0}. הסיבה: {1} ".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של ה-Playbook:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Acknowledge Alert". Reason: {0}''.format(error.Stacktrace)

 כללי

הורדת קובץ של כללים מותאמים אישית

תיאור

מורידים את קובץ הכללים המותאמים אישית מ-Trellix Central Management.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם החיישן String לא רלוונטי לא מציינים את שם החיישן שבו רוצים להוסיף כלל חדש. אם לא מציינים כאן כלום, הפעולה תנסה למצוא את החיישן באופן אוטומטי.
נתיב תיקיית ההורדות String לא רלוונטי כן מציינים את הנתיב המוחלט לתיקייה שאליה רוצים להוריד את הקובץ.
החלפה תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, הפעולה תחליף את הקובץ הקיים באותו נתיב.

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
File Path = "absolute path to the file"
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההפעלה של playbook:
אם קוד הסטטוס הוא 200 (is_success = true): "Successfully downloaded custom rules file from appliance '{0}' in Trellix Central Management !".

אם קוד הסטטוס הוא 500 או 400 (is_success = false): "לא הייתה אפשרות להוריד את קובץ הכללים המותאמים אישית מהמכשיר '{0}' ב-Trellix Central Management. הסיבה: {1}".

הפעולה אמורה להיכשל ולהפסיק את ההרצה של פלייבוק:
אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בהרצת הפעולה 'הורדת קובץ כללים מותאמים אישית'. הסיבה: {0}''.format(error.Stacktrace)

אם החיישן לא נמצא באופן אוטומטי: "Error executing action "Download Custom Rules File". Reason: Sensor for FireEye NX appliance was not found. Please provide it manually in the 'Sensor Name' parameter.''.format(error.Stacktrace)

אם סופק חיישן לא תקין: "Error executing action "Download Custom Rules File". הסיבה: לא נמצא חיישן בשם {0} במכשיר FireEye NX. כדאי לבדוק את האיות.''.format(error.Stacktrace)

 כללי

מחברים

FireEye CM - Alerts Connector

תיאור

המחבר מעביר התראות מ-Trellix Central Management אל Google SecOps. זה כולל התראות שנוצרות על ידי מכשירי FireEye NX ו-EX.

הגדרה של מחבר ההתראות FireEye CM ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String חיישן כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String eventType כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.

שם השדה בסביבה

 String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.

תבנית ביטוי רגולרי של הסביבה

 String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
ספריית הבסיס של ה-API String https://x.x.x.x:x כן שורש ה-API של שרת Trellix Central Management.
שם משתמש String לא רלוונטי כן שם המשתמש בחשבון Trellix Central Management.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון Trellix Central Management.
מספר השעות המקסימלי לאחזור נתונים אחורה מספר שלם 1 לא מספר השעות שממנו יאוחזרו ההתראות.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Trellix Central Management תקף.
שימוש ברשימת ההיתרים כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, רשימת ההיתרים תשמש כרשימת חסימות.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של מחברים

תמיכה ב-Proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.