FireEye CM

Dokumen ini menjelaskan cara mengintegrasikan FireEye CM dengan Google Security Operations.

Kasus Penggunaan

  1. Menyerap pemberitahuan Trellix Central Management untuk digunakan dalam membuat pemberitahuan Google Security Operations. Selanjutnya, di Google SecOps, pemberitahuan dapat digunakan untuk melakukan orkestrasi dengan playbook atau analisis manual.
  2. Melakukan tindakan aktif - mendownload artefak pemberitahuan menggunakan agen Trellix Central Management dari Google SecOps, membuat aturan, feed IOC

Mengonfigurasi integrasi FireEye CM di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Nama Instance String T/A Tidak Nama Instance yang ingin Anda konfigurasi integrasinya.
Deskripsi String T/A Tidak Deskripsi Instance.
Root API String https://
:
 Ya Root API server Trellix Central Management.
Nama pengguna String T/A Ya Nama pengguna akun Trellix Central Management.
Sandi Sandi T/A Ya Sandi akun Trellix Central Management.
Verifikasi SSL Kotak centang Dicentang Ya Jika diaktifkan, verifikasi bahwa sertifikat SSL untuk koneksi ke server Trellix Central Management valid.
Menjalankan dari Jarak Jauh Kotak centang Tidak dicentang Tidak Centang kolom untuk menjalankan integrasi yang dikonfigurasi dari jarak jauh. Setelah dicentang, opsi akan muncul untuk memilih pengguna jarak jauh (agen).

Tindakan

Ping

Deskripsi

Uji konektivitas ke Trellix Central Management dengan parameter yang disediakan di halaman konfigurasi integrasi di halaman Google SecOps Content Hub.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

jika berhasil:
Cetak "Successfully connected to the Trellix Central Management server with the provided connection parameters!"

Tindakan akan gagal dan menghentikan eksekusi playbook:

jika tidak berhasil:

Cetak "Failed to connect to the Trellix Central Management server! Error is {0}".format(exception.stacktrace)

 Umum

Menambahkan Feed IOC

Deskripsi

Menambahkan feed IOC di Trellix Central Management berdasarkan entity. Hanya hash MD5 dan SHA256 yang didukung.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Tindakan DDL

Pemberitahuan

Nilai yang Diperbolehkan

Pemberitahuan

Blokir

 Ya Tentukan tindakan yang harus dilakukan untuk feed baru.
Komentar String T/A Tidak Tentukan komentar tambahan untuk feed.
Ekstrak Domain Kotak centang T/A Ya Jika diaktifkan, tindakan akan mengekstrak bagian domain dari URL dan menggunakannya untuk membuat feed IOC.

Dijalankan Pada

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • URL
  • HASH (MD5/SHA256)

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

if status code 200 for at least one entity type(is_success = true):
Print "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

if some of the entity types were not used properly (is_success =true) :
Print "Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n).format(entity.identifier)

iJika tidak ada entitas yang berhasil digunakan untuk pembuatan feed: (is_success=false)
Cetak "No IOC feeds were created in Trellix Central Management!"

Tindakan akan gagal dan menghentikan eksekusi playbook:

jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya:

Cetak "Error executing action "Add IOC Feed". Reason: {0}''.format(error.Stacktrace)

 Umum

Menghapus Feed IOC

Deskripsi

Hapus feed IOC di Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
Nama Feed String T/A Ya Tentukan nama feed yang perlu dihapus.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 dan feedName tidak ditemukan dalam daftar (is_success = true): "Successfully deleted feed '{0}' in Trellix Central Management !".

if status code 200 and feedName was found in the list for last request (is_success = false): "Action wasn't able to delete feed '{0}' in Trellix Central Management.

Jika awalnya nama feed tidak ada "Action wasn't able to delete IOC feed in Trellix Central Management". Alasan: Feed "{feed_name}" tidak ditemukan.

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Delete IOC Feed". Reason: {0}''.format(error.Stacktrace)

 Umum

Mencantumkan Email yang Dikarantina

Deskripsi

Mencantumkan email yang dikarantina. Memerlukan FireEye EX yang terhubung ke Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
Waktu Mulai String T/A Tidak Jika ditentukan, hanya email yang dibuat setelah waktu mulai yang akan ditampilkan. Jika Waktu Mulai dan Waktu Berakhir tidak ditentukan, tindakan akan menampilkan email yang dikarantina dari 24 jam terakhir. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Waktu Berakhir String T/A Tidak Jika ditentukan, hanya email yang dibuat sebelum waktu berakhir yang akan ditampilkan. Jika Waktu Mulai dan Waktu Berakhir tidak ditentukan, tindakan akan menampilkan email yang dikarantina dari 24 jam terakhir. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Filter Pengirim String T/A Tidak Jika ditentukan, akan menampilkan semua email yang dikarantina hanya dari pengirim ini.
Filter Subjek String T/A Tidak Jika ditentukan, hanya akan menampilkan semua email yang dikarantina dengan subjek ini.
Jumlah Email Maksimum yang Akan Ditampilkan String 50 Tidak Tentukan jumlah email yang akan ditampilkan. Batasnya adalah 10.000. Ini adalah batasan Trellix Central Management.
Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Hasil JSON
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Repositori Kasus
Jenis hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data tersedia (is_success = true): "Successfully listed Trellix Central Management quarantined emails!"

jika tidak ada data yang tersedia (is_success = true): "No quarantined emails were found in Trellix Central Management!"

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "List Quarantined Emails". Reason: {0}''.format(error.Stacktrace)

 Umum
Tabel repositori kasus

Nama: Email yang Dikarantina

Kolom:

  • Pengirim
  • Subjek
  • Selesai Pada
  • UUID Email
  • ID Pesan
  • ID Antrean

Melepaskan Email yang Dikarantina

Deskripsi

Merilis email yang dikarantina. Memerlukan FireEye EX yang terhubung ke Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
ID Antrean String T/A Ya Tentukan ID antrean email yang perlu dirilis.
Nama Sensor String T/A Tidak Tentukan nama sensor, tempat Anda ingin merilis email yang dikarantina. Jika tidak ada yang ditentukan di sini, tindakan akan mencoba menemukan sensor secara otomatis.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 dan respons kosong (is_success = true): "Successfully released Trellix Central Management quarantined email with queue id {0}!".

if kode status 200 and response is not empty (is_success = false): "Email dengan ID antrean {0} tidak dirilis. Alasan: {1}".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Release Quarantined Email". Reason: {0}''.format(error.Stacktrace)

Jika Sensor tidak ditemukan secara otomatis: "Error saat menjalankan tindakan "Rilis Email yang Dikarantina". Alasan: Sensor untuk perangkat FireEye EX tidak ditemukan. Berikan secara manual di parameter 'Sensor Name'.''.format(error.Stacktrace)

Jika sensor tidak valid diberikan: "Error executing action "Release Quarantined Email". Alasan: Sensor dengan nama {0} untuk peralatan FireEye EX tidak ditemukan. Periksa ejaannya.''.format(error.Stacktrace)

 Umum

Mendownload Email yang Dikarantina

Deskripsi

Mendownload email yang dikarantina. Memerlukan FireEye EX yang terhubung ke Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
ID Antrean String T/A Ya Tentukan ID antrean email yang perlu didownload.
Jalur Folder Download String T/A Ya Tentukan jalur absolut ke folder tempat tindakan harus menyimpan file.
Timpa Kotak centang Ya Ya Jika diaktifkan, tindakan akan menimpa file yang ada dengan jalur yang sama.
Nama Sensor String T/A Tidak Tentukan nama sensor, tempat Anda ingin mendownload email yang dikarantina. Jika tidak ada yang ditentukan di sini, tindakan akan mencoba menemukan sensor secara otomatis.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Hasil JSON
file_path = {absolute file path to the file}
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 dan tidak ada xml (is_success = true): "Successfully downloaded Trellix Central Management quarantined email with queue id {0}!".

if kode status 200 and xml in the response (is_success = false): "Email dengan ID antrean {0} tidak didownload. Alasan: {1}".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Download Quarantined Email". Reason: {0}''.format(error.Stacktrace)

Jika Sensor tidak ditemukan secara otomatis: "Error saat menjalankan tindakan "Download Email yang Dikarantina". Alasan: Sensor untuk perangkat FireEye EX tidak ditemukan. Berikan secara manual di parameter 'Sensor Name'.''.format(error.Stacktrace)

Jika sensor tidak valid diberikan: "Error executing action "Download Quarantined Email". Alasan: Sensor dengan nama {0} untuk peralatan FireEye EX tidak ditemukan. Periksa ejaannya.''.format(error.Stacktrace)

 Umum

Menghapus Email yang Dikarantina

Deskripsi

Menghapus email yang dikarantina. Memerlukan FireEye EX yang terhubung ke Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
ID Antrean String T/A Ya Tentukan ID antrean email yang perlu dihapus.
Nama Sensor String T/A Tidak Tentukan nama sensor, tempat Anda ingin menghapus email yang dikarantina. Jika tidak ada yang ditentukan di sini, tindakan akan mencoba menemukan sensor secara otomatis.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 dan respons kosong (is_success = true): "Successfully deleted Trellix Central Management quarantined email with queue id {0}!".

Tindakan akan gagal dan menghentikan eksekusi playbook:

jika kode status 200 dan respons tidak kosong: "Email dengan ID antrean {0} tidak dihapus. Alasan: {1}".

jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Delete Quarantined Email". Reason: {0}''.format(error.Stacktrace)

Jika Sensor tidak ditemukan secara otomatis: "Error saat menjalankan tindakan "Hapus Email yang Dikarantina". Alasan: Sensor untuk peralatan FireEye EX tidak ditemukan. Berikan secara manual di parameter 'Sensor Name'.''.format(error.Stacktrace)

Jika sensor yang tidak valid diberikan: "Error executing action "Delete Quarantined Email". Alasan: Sensor dengan nama {0} untuk peralatan FireEye EX tidak ditemukan. Periksa ejaannya.''.format(error.Stacktrace)

 Umum

Mendownload Artefak Pemberitahuan

Deskripsi

Download artefak pemberitahuan dari Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
UUID pemberitahuan String T/A Ya Tentukan uuid pemberitahuan tempat kita perlu mendownload artefak.
Jalur Folder Download String T/A Ya Tentukan jalur absolut ke folder tempat tindakan harus menyimpan file.
Timpa Kotak centang Dicentang Ya Jika diaktifkan, tindakan akan menimpa file yang ada dengan jalur yang sama.

Dijalankan Pada

Tindakan ini tidak berjalan pada entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Hasil JSON
file_path = {absolute file path to the file}
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 (is_success = true): "Successfully downloaded Trellix Central Management alert artifacts with alert id {0}!".

Jika file dengan jalur tersebut sudah ada (is_success = false): "Action wasn't able to download Trellix Central Management alert artifacts with alert id {0}. Alasan: File dengan jalur tersebut sudah ada."

jika kode status 404 (is_success = false): "Artifacts for alert with uuid {0} were not found. ".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Download Alert Artifacts". Reason: {0}''.format(error.Stacktrace)

 Umum

Menampilkan Daftar Feed IOC

Deskripsi

Mencantumkan feed IOC yang tersedia di Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
Jumlah Maksimum Feed IOC yang Akan Ditampilkan String 50 Tidak Tentukan jumlah feed IOC yang akan ditampilkan. Default-nya adalah 50.

Dijalankan Pada

Tindakan ini tidak berjalan pada entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Hasil JSON
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Repositori Kasus
Jenis hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 (is_success = true): "Successfully listed available IOC feeds in Trellix Central Management!".

Jika tidak ada entri yang ditemukan: "No IOC feeds were found in Trellix Central Management"

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "List IOC Feeds". Reason: {0}''.format(error.Stacktrace)

 Umum
Tabel Repositori Kasus

Nama Tabel: Feed IOC yang Tersedia

Kolom Tabel:

Nama

Status

Jenis

Tindakan

Komentar

Jumlah IP

Jumlah URL

Jumlah Domain

Jumlah Hash

Diupload Pada

Umum

Menambahkan Aturan ke File Aturan Kustom

Deskripsi

Tambahkan aturan baru ke file aturan kustom di Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
Aturan String T/A Ya Tentukan aturan yang perlu ditambahkan ke file aturan kustom.
Nama Sensor String T/A Tidak Tentukan nama sensor tempat Anda ingin menambahkan aturan baru. Jika tidak ada yang ditentukan di sini, tindakan akan mencoba menemukan sensor secara otomatis.

Dijalankan Pada

Tindakan ini tidak berjalan pada entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 dan file diperbarui (is_success = true): "Berhasil menambahkan aturan ke file aturan kustom di peralatan '{0}' di Trellix Central Management !".

jika kode status 500 (is_success = false): "Tindakan tidak dapat menambahkan aturan ke file aturan kustom di Trellix Central Management. Alasan: {0}).

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Add Rule To Custom Rules". Reason: {0}''.format(error.Stacktrace)

Jika Sensor tidak ditemukan secara otomatis: "Error executing action "Add Rule To Custom Rules File". Alasan: Sensor untuk perangkat FireEye NX tidak ditemukan. Berikan secara manual di parameter 'Sensor Name'.''.format(error.Stacktrace)

Jika Sensor tidak valid diberikan: "Error executing action "Add Rule To Custom Rules File". Alasan: Sensor dengan nama {0} untuk perangkat FireEye NX tidak ditemukan. Please check the spelling.''.format(error.Stacktrace)

 Umum

Konfirmasi Pemberitahuan

Deskripsi

Konfirmasi pemberitahuan di Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
UUID pemberitahuan String T/A Ya Tentukan uuid pemberitahuan, yang perlu dikonfirmasi.
Anotasi String T/A Ya Tentukan anotasi yang menjelaskan alasan konfirmasi.

Dijalankan Pada

Tindakan ini tidak berjalan pada entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 (is_success = true): "Successfully acknowledged Trellix Central Management alert with ID {0}!".

if status code 404 (is_success = false): "Action wasn't able to acknowledge Trellix Central Management alert with ID {0}. Alasan: Pemberitahuan dengan ID {0} tidak ditemukan. ".

Jika kode status 400 (is_success = false): "Tindakan tidak dapat mengonfirmasi pemberitahuan Trellix Central Management dengan ID {0}. Alasan: {1} ".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Acknowledge Alert". Reason: {0}''.format(error.Stacktrace)

 Umum

Mendownload File Aturan Kustom

Deskripsi

Download file aturan kustom dari Trellix Central Management.

Parameter

Parameter Display Name Jenis Nilai Default Is Mandatory Deskripsi
Nama Sensor String T/A Tidak Tentukan nama sensor tempat Anda ingin menambahkan aturan baru. Jika tidak ada yang ditentukan di sini, tindakan akan mencoba menemukan sensor secara otomatis.
Jalur Folder Download String T/A Ya Tentukan jalur absolut ke folder tempat file akan didownload.
Timpa Kotak centang Dicentang Ya Jika diaktifkan, tindakan akan menimpa file yang ada dengan jalur yang sama.

Dijalankan Pada

Tindakan ini tidak berjalan pada entity.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai
is_success is_success=False
is_success is_success=True
Hasil JSON
File Path = "absolute path to the file"
Repositori Kasus
Jenis Hasil Nilai / Deskripsi Jenis
Pesan output*

Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook:
jika kode status 200 (is_success = true): "Successfully downloaded custom rules file from appliance '{0}' in Trellix Central Management !".

Jika kode status 500 atau 400 (is_success = false): "Action wasn't able to download custom rules file from appliance '{0}' in Trellix Central Management. Reason: {1}".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Download Custom Rules File". Reason: {0}''.format(error.Stacktrace)

Jika Sensor tidak ditemukan secara otomatis: "Error executing action "Download Custom Rules File". Alasan: Sensor untuk peralatan FireEye NX tidak ditemukan. Berikan secara manual di parameter 'Sensor Name'.''.format(error.Stacktrace)

Jika sensor yang diberikan tidak valid: "Error executing action "Download Custom Rules File". Alasan: Sensor dengan nama {0} untuk perangkat FireEye NX tidak ditemukan. Periksa ejaannya.''.format(error.Stacktrace)

 Umum

Konektor

FireEye CM - Alerts Connector

Deskripsi

Konektor menyerap pemberitahuan Trellix Central Management ke Google SecOps. Hal ini mencakup notifikasi yang dihasilkan oleh perangkat FireEye NX dan EX.

Mengonfigurasi FireEye CM - Alerts Connector di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi konektor di Google SecOps, lihat Mengonfigurasi konektor.

Parameter konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Nama Kolom Produk String sensor Ya Masukkan nama kolom sumber untuk mengambil nama Kolom Produk.
Nama Kolom Peristiwa String eventType Ya Masukkan nama kolom sumber untuk mengambil nama Kolom Peristiwa.

Nama Kolom Lingkungan

 String "" Tidak

Menjelaskan nama kolom tempat nama lingkungan disimpan.

Jika kolom lingkungan tidak ditemukan, lingkungan tersebut adalah lingkungan default.

Pola Regex Lingkungan

 String .* Tidak

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom "Nama Kolom Lingkungan".

Defaultnya adalah .* untuk menangkap semua dan menampilkan nilai yang tidak berubah.

Digunakan untuk mengizinkan pengguna memanipulasi kolom lingkungan melalui logika ekspresi reguler.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik) Bilangan bulat 180 Ya Batas waktu tunggu untuk proses python yang menjalankan skrip saat ini.
Root API String https://x.x.x.x:x Ya Root API server Trellix Central Management.
Nama pengguna String T/A Ya Nama pengguna akun Trellix Central Management.
Sandi Sandi T/A Ya Sandi akun Trellix Central Management.
Ambil Jam Maksimum Mundur Bilangan bulat 1 Tidak Jumlah jam untuk mengambil pemberitahuan.
Verifikasi SSL Kotak centang Dicentang Ya Jika diaktifkan, verifikasi bahwa sertifikat SSL untuk koneksi ke server Trellix Central Management valid.
Menggunakan daftar yang diizinkan sebagai daftar yang tidak diizinkan Kotak centang Tidak dicentang Ya Jika diaktifkan, daftar yang diizinkan akan digunakan sebagai daftar yang tidak diizinkan.
Alamat Server Proxy String T/A Tidak Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy String T/A Tidak Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy Sandi T/A Tidak Sandi proxy untuk autentikasi.

Aturan Konektor

Dukungan proxy

Konektor mendukung proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.