FireEye CM

Questo documento descrive come integrare FireEye CM con Google Security Operations.

Casi d'uso

  1. Importa gli avvisi di Trellix Central Management per utilizzarli per creare avvisi di Google Security Operations. In Google SecOps, gli avvisi possono essere utilizzati per eseguire orchestrazioni con playbook o analisi manuali.
  2. Esegui azioni attive: scarica gli artefatti degli avvisi utilizzando l'agente Trellix Central Management da Google SecOps, crea una regola, feed IOC

Configura l'integrazione di FireEye CM in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome istanza Stringa N/D No Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione Stringa N/D No Descrizione dell'istanza.
Root API Stringa https://
:
 Sì Radice dell'API del server Trellix Central Management.
Nome utente Stringa N/D Sì Nome utente dell'account Trellix Central Management.
Password Password N/D Sì La password dell'account Trellix Central Management.
Verifica SSL Casella di controllo Selezionata Sì Se abilitata, verifica che il certificato SSL per la connessione al server Trellix Central Management sia valido.
Esegui da remoto Casella di controllo Deselezionata No Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Azioni

Dindin

Descrizione

Testa la connettività a Trellix Central Management con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve causare errori o interrompere l'esecuzione di un playbook:

if successful:
Print "Successfully connected to the Trellix Central Management server with the provided connection parameters!"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

In caso contrario:

Stampa "Failed to connect to the Trellix Central Management server! Error is {0}".format(exception.stacktrace)

 Generale

Aggiungi feed IOC

Descrizione

Aggiungi il feed IOC in Trellix Central Management in base alle entità. Sono supportati solo gli hash MD5 e SHA256.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Azione DDL

Avviso

Valore possibile

Avviso

Blocca

 Sì Specifica l'azione per il nuovo feed di notizie.
Commento Stringa N/D No Specifica ulteriori commenti per il feed.
Estrai dominio Casella di controllo N/D Sì Se abilitata, l'azione estrarrà la parte del dominio dall'URL e la utilizzerà per creare il feed IOC.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Indirizzo IP
  • URL
  • HASH (MD5/SHA256)

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve causare errori o interrompere l'esecuzione di un playbook:

if status code 200 for at least one entity type(is_success = true):
Print "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

if some of the entity types were not used properly (is_success =true) :
Print "Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n).format(entity.identifier)

iIf none of the entities were successfully used for feed creation: (is_success=false)
Print "No IOC feeds were created in Trellix Central Management!"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if fatal error, like wrong credentials, no connection to server, other:

Stampa "Errore durante l'esecuzione dell'azione "Aggiungi feed IOC". Reason: {0}''.format(error.Stacktrace)

 Generale

Elimina feed IOC

Descrizione

Elimina il feed IOC in Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome feed Stringa N/D Sì Specifica il nome del feed da eliminare.

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 e feedName non è stato trovato nell'elenco (is_success = true): "Feed '{0}' eliminato correttamente in Trellix Central Management.".

if status code 200 and feedName was found in the list for last request (is_success = false): "Action wasn't able to delete feed '{0}' in Trellix Central Management.

Se inizialmente il nome del feed non esiste "L'azione non è riuscita a eliminare il feed IOC in Trellix Central Management". Motivo: il feed "{feed_name}" non è stato trovato.

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, come credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Elimina feed IOC". Reason: {0}''.format(error.Stacktrace)

 Generale

Elenca email in quarantena

Descrizione

Elencare le email in quarantena. Richiede FireEye EX connesso a Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Ora di inizio Stringa N/D No Se specificato, verranno restituite solo le email create dopo l'ora di inizio. Se non vengono specificate l'ora di inizio e l'ora di fine, l'azione restituisce le email in quarantena delle ultime 24 ore. Formato: AAAA-MM-GG'T'HH:MM:SS.SSS-HHMM
Ora di fine Stringa N/D No Se specificato, verranno restituite solo le email create prima dell'ora di fine. Se non vengono specificate l'ora di inizio e l'ora di fine, l'azione restituisce le email in quarantena delle ultime 24 ore. Formato: AAAA-MM-GG'T'HH:MM:SS.SSS-HHMM
Filtro mittente Stringa N/D No Se specificato, restituisce tutte le email in quarantena solo di questo mittente.
Filtro per oggetto Stringa N/D No Se specificato, restituisce tutte le email in quarantena solo con questo oggetto.
Numero massimo di email da restituire Stringa 50 No Specifica il numero di email da restituire. Il limite è 10.000. Si tratta di una limitazione di Trellix Central Management.
Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
se i dati sono disponibili (is_success = true): "Successfully listed Trellix Central Management quarantined emails!"

Se non sono disponibili dati (is_success = true): "No quarantined emails were found in Trellix Central Management!"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Elenca email in quarantena". Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella della bacheca casi

Nome: Email in quarantena

Colonne:

  • Mittente
  • Oggetto
  • Data/ora di completamento
  • UUID email
  • ID messaggio
  • ID coda

Rilascia email in quarantena

Descrizione

Rilascia le email in quarantena. Richiede FireEye EX connesso a Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID coda Stringa N/D Sì Specifica l'ID coda dell'email che deve essere rilasciata.
Nome del sensore Stringa N/D No Specifica il nome del sensore in cui vuoi rilasciare un'email in quarantena. Se non viene specificato nulla, l'azione tenterà di trovare automaticamente il sensore.

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 e la risposta è vuota (is_success = true): "L'email in quarantena di Trellix Central Management con ID coda {0} è stata rilasciata correttamente".

if status code 200 and response is not empty (is_success = false): "Email with queue id {0} was not released. Motivo: {1}".

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Rilascia email in quarantena". Reason: {0}''.format(error.Stacktrace)

Se il sensore non viene trovato automaticamente: "Errore durante l'esecuzione dell'azione "Rilascia email in quarantena". Motivo: il sensore per l'appliance FireEye EX non è stato trovato. Forniscilo manualmente nel parametro "Sensor Name".''.format(error.Stacktrace)

Se viene fornito un sensore non valido: "Errore durante l'esecuzione dell'azione "Rilascia email in quarantena". Motivo: il sensore con nome {0} per l'appliance FireEye EX non è stato trovato. Controlla l'ortografia.''.format(error.Stacktrace)

 Generale

Scarica email in quarantena

Descrizione

Scarica l'email in quarantena. Richiede FireEye EX connesso a Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID coda Stringa N/D Sì Specifica l'ID coda dell'email da scaricare.
Percorso della cartella di download Stringa N/D Sì Specifica il percorso assoluto della cartella in cui l'azione deve salvare i file.
Sovrascrivi Casella di controllo Sì Sì Se abilitata, l'azione sovrascriverà il file esistente con lo stesso percorso.
Nome del sensore Stringa N/D No Specifica il nome del sensore in cui vuoi scaricare un'email in quarantena. Se non viene specificato nulla, l'azione tenterà di trovare automaticamente il sensore.

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
file_path = {absolute file path to the file}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 e non è presente alcun xml (is_success = true): "Email in quarantena di Trellix Central Management scaricata correttamente con ID coda {0}!".

if status code 200 and xml in the response (is_success = false): "Email with queue id {0} was not downloaded. Motivo: {1}".

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Scarica email in quarantena". Reason: {0}''.format(error.Stacktrace)

Se il sensore non viene trovato automaticamente: "Errore durante l'esecuzione dell'azione "Scarica email in quarantena". Motivo: il sensore per l'appliance FireEye EX non è stato trovato. Forniscilo manualmente nel parametro "Sensor Name".''.format(error.Stacktrace)

Se viene fornito un sensore non valido: "Errore durante l'esecuzione dell'azione "Scarica email in quarantena". Motivo: il sensore con nome {0} per l'appliance FireEye EX non è stato trovato. Controlla l'ortografia.''.format(error.Stacktrace)

 Generale

Elimina email in quarantena

Descrizione

Elimina l'email in quarantena. Richiede FireEye EX connesso a Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID coda Stringa N/D Sì Specifica l'ID coda dell'email da eliminare.
Nome del sensore Stringa N/D No Specifica il nome del sensore in cui vuoi eliminare un'email in quarantena. Se non viene specificato nulla, l'azione tenterà di trovare automaticamente il sensore.

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 e la risposta è vuota (is_success = true): "Successfully deleted Trellix Central Management quarantined email with queue id {0}!".

L'azione deve avere esito negativo e interrompere l'esecuzione di un playbook:

if status code 200 and response is not empty: "Email with queue id {0} was not deleted. Motivo: {1}".

if fatal error, like wrong credentials, no connection to server, other: "Error executing action "Delete Quarantined Email". Reason: {0}''.format(error.Stacktrace)

Se il sensore non viene trovato automaticamente: "Errore durante l'esecuzione dell'azione "Elimina email in quarantena". Motivo: il sensore per l'appliance FireEye EX non è stato trovato. Forniscilo manualmente nel parametro "Sensor Name".''.format(error.Stacktrace)

Se viene fornito un sensore non valido: "Errore durante l'esecuzione dell'azione "Elimina email in quarantena". Motivo: il sensore con nome {0} per l'appliance FireEye EX non è stato trovato. Controlla l'ortografia.''.format(error.Stacktrace)

 Generale

Scarica gli artefatti degli avvisi

Descrizione

Scarica gli artefatti degli avvisi da Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
UUID avviso Stringa N/D Sì Specifica l'UUID dell'avviso da cui dobbiamo scaricare gli artefatti.
Percorso della cartella di download Stringa N/D Sì Specifica il percorso assoluto della cartella in cui l'azione deve salvare i file.
Sovrascrivi Casella di controllo Selezionata Sì Se abilitata, l'azione sovrascriverà il file esistente con lo stesso percorso.

Esegui il

L'azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
file_path = {absolute file path to the file}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 (is_success = true): "Download degli artefatti degli avvisi di Trellix Central Management con ID avviso {0} riuscito".

Se il file con questo percorso esiste già (is_success = false): "L'azione non è riuscita a scaricare gli artefatti degli avvisi di Trellix Central Management con ID avviso {0}. Motivo: esiste già un file con questo percorso."

if status code 404 (is_success = false): "Artifacts for alert with uuid {0} were not found. ".

L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Scarica artefatti degli avvisi". Reason: {0}''.format(error.Stacktrace)

 Generale

Elenca i feed IOC

Descrizione

Elenca i feed IOC disponibili in Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Numero massimo di feed IOC da restituire Stringa 50 No Specifica il numero di feed di IoC da restituire. Il valore predefinito è 50.

Esegui il

L'azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

The action should not fail nor stop a playbook execution:
if status code 200 (is_success = true): "Successfully listed available IOC feeds in Trellix Central Management!".

Se non vengono trovate voci: "Nessun feed IOC trovato in Trellix Central Management"

L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Elenca feed IOC". Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella della bacheca casi

Nome della tabella: Feed IOC disponibili

Colonne della tabella:

Nome

Stato

Tipo

Azione

Commento

Numero di IP

Conteggio URL

Numero di domini

Numero di hash

Data/ora di caricamento

Generale

Aggiungi regola al file delle regole personalizzate

Descrizione

Aggiungi una nuova regola al file delle regole personalizzate in Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Regola Stringa N/D Sì Specifica la regola da aggiungere al file delle regole personalizzate.
Nome del sensore Stringa N/D No Specifica il nome del sensore a cui vuoi aggiungere una nuova regola. Se non viene specificato nulla, l'azione tenterà di trovare automaticamente il sensore.

Esegui il

L'azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 e il file è stato aggiornato (is_success = true): "Regola aggiunta correttamente al file delle regole personalizzate nell'appliance "{0}" in Trellix Central Management.".

se il codice di stato è 500 (is_success = false): "L'azione non è riuscita ad aggiungere una regola al file delle regole personalizzate in Trellix Central Management. Motivo: {0}).

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Aggiungi regola alle regole personalizzate". Reason: {0}''.format(error.Stacktrace)

Se il sensore non viene trovato automaticamente: "Errore durante l'esecuzione dell'azione "Aggiungi regola al file delle regole personalizzate". Motivo: il sensore per l'appliance FireEye NX non è stato trovato. Forniscilo manualmente nel parametro "Sensor Name".''.format(error.Stacktrace)

Se viene fornito un sensore non valido: "Errore durante l'esecuzione dell'azione "Aggiungi regola al file delle regole personalizzate". Motivo: il sensore con nome {0} per l'appliance FireEye NX non è stato trovato. Please check the spelling.''.format(error.Stacktrace)

 Generale

Conferma avviso

Descrizione

Conferma l'avviso in Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
UUID avviso Stringa N/D Sì Specifica l'UUID dell'avviso, che deve essere confermato.
Annotazione Stringa N/D Sì Specifica l'annotazione che spiega il motivo della conferma.

Esegui il

L'azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 (is_success = true): "Successfully acknowledged Trellix Central Management alert with ID {0}!".

if status code 404 (is_success = false): "Action wasn't able to acknowledge Trellix Central Management alert with ID {0}. Motivo: l'avviso con ID {0} non è stato trovato. ".

Se il codice di stato è 400 (is_success = false): "L'azione non è riuscita a confermare l'avviso di Trellix Central Management con ID {0}. Motivo: {1} ".

L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Conferma avviso". Reason: {0}''.format(error.Stacktrace)

 Generale

Scarica il file delle regole personalizzate

Descrizione

Scarica il file delle regole personalizzate da Trellix Central Management.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome del sensore Stringa N/D No Specifica il nome del sensore a cui vuoi aggiungere una nuova regola. Se non viene specificato nulla, l'azione tenterà di trovare automaticamente il sensore.
Percorso della cartella di download Stringa N/D Sì Specifica il percorso assoluto della cartella in cui deve essere scaricato il file.
Sovrascrivi Casella di controllo Selezionata Sì Se abilitata, l'azione sovrascriverà il file esistente con lo stesso percorso.

Esegui il

L'azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
File Path = "absolute path to the file"
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se il codice di stato è 200 (is_success = true): "Download del file delle regole personalizzate dall'appliance '{0}' in Trellix Central Management riuscito.".

Se il codice di stato è 500 o 400 (is_success = false): "L'azione non è riuscita a scaricare il file delle regole personalizzate dall'appliance '{0}' in Trellix Central Management. Reason: {1}".

The action should fail and stop a playbook execution:
if fatal error, like wrong credentials, no connection to server, other: "Error executing action "Download Custom Rules File". Reason: {0}''.format(error.Stacktrace)

Se il sensore non viene trovato automaticamente: "Errore durante l'esecuzione dell'azione "Scarica file di regole personalizzate". Motivo: il sensore per l'appliance FireEye NX non è stato trovato. Forniscilo manualmente nel parametro "Sensor Name".''.format(error.Stacktrace)

Se viene fornito un sensore non valido: "Errore durante l'esecuzione dell'azione "Scarica file di regole personalizzate". Motivo: il sensore con nome {0} per l'appliance FireEye NX non è stato trovato. Controlla l'ortografia.''.format(error.Stacktrace)

 Generale

Connettori

FireEye CM - Connettore avvisi

Descrizione

Il connettore importa gli avvisi di Trellix Central Management in Google SecOps. Sono inclusi gli avvisi generati dalle appliance FireEye NX ed EX.

Configura il connettore FireEye CM - Alerts in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa sensore Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa eventType Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.

Nome campo ambiente

 Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.

Pattern regex dell'ambiente

 Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Root API Stringa https://x.x.x.x:x Sì Radice API del server Trellix Central Management.
Nome utente Stringa N/D Sì Nome utente dell'account Trellix Central Management.
Password Password N/D Sì Password dell'account Trellix Central Management.
Numero massimo di ore di recupero indietro Numero intero 1 No Numero di ore da cui recuperare gli avvisi.
Verifica SSL Casella di controllo Selezionata Sì Se abilitata, verifica che il certificato SSL per la connessione al server Trellix Central Management sia valido.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se questa opzione è attiva, la lista consentita verrà utilizzata come lista bloccata.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.