FireEye CM

このドキュメントでは、FireEye CM を Google Security Operations と統合する方法について説明します。

ユースケース

  1. Trellix Central Management のアラートを取り込み、それらを使用して Google Security Operations のアラートを作成します。次に、Google SecOps でアラートを使用して、ハンドブックまたは手動分析でオーケストレーションを実行できます。
  2. アクティブなアクションを実行する - Google SecOps から Trellix Central Management エージェントを使用してアラート アーティファクトをダウンロードし、ルール、IOC フィードを作成します。

Google SecOps で FireEye CM インテグレーションを構成する

Google SecOps で統合を構成する手順の詳細については、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
インスタンス名 文字列 なし いいえ 統合を構成するインスタンスの名前。
説明 文字列 なし いいえ インスタンスの説明。
API ルート 文字列 https://
:
 ○ Trellix Central Management サーバーの API ルート。
ユーザー名 文字列 なし ○ Trellix Central Management アカウントのユーザー名。
パスワード パスワード なし ○ Trellix Central Management アカウントのパスワード。
SSL を確認する チェックボックス オン ○ 有効になっている場合は、Trellix Central Management サーバーへの接続用の SSL 証明書が有効であることを確認します。
リモートで実行 チェックボックス オフ いいえ 構成した統合をリモートで実行するには、フィールドのチェックボックスをオンにします。オンにすると、リモート ユーザー（エージェント）を選択するオプションが表示されます。

アクション

Ping

説明

[Google Security Operations Marketplace] タブの統合構成ページで提供されるパラメータを使用して、Trellix Central Management への接続をテストします。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

成功した場合:
「指定された接続パラメータを使用して Trellix Central Management サーバーに正常に接続されました。」と出力します。

アクションが失敗し、ハンドブックの実行が停止します。

不成功の場合:

「Trellix Central Management サーバーへの接続に失敗しました」と出力します。エラーは {0}」.format(exception.stacktrace)

 全般

IOC フィードを追加する

説明

エンティティに基づいて、Trellix Central Management に IOC フィードを追加します。MD5 と SHA256 のハッシュのみがサポートされています。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
アクション DDL

アラート

有効な値

アラート

ブロック

 ○ 新しいフィードのアクションを指定します。
コメント 文字列 なし × フィードの追加コメントを指定します。
ドメインを抽出 チェックボックス なし ○ 有効にすると、アクションは URL からドメイン部分を抽出し、それを使用して IOC フィードを作成します。

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • URL
  • HASH（MD5/SHA256）

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

少なくとも 1 つのエンティティ タイプのステータス コードが 200（is_success = true）の場合:
「Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n」と出力します。format(entity.identifier)

一部のエンティティ タイプが正しく使用されなかった場合（is_success =true）:
「アクションは、次のエンティティに基づいて Trellix Central Management で新しい IOC フィードを作成できませんでした:\n」と出力します。).format(entity.identifier)

エンティティがフィードの作成に成功しなかった場合（is_success=false）:
「Trellix Central Management で IOC フィードが作成されませんでした。」と出力します。

アクションが失敗し、ハンドブックの実行が停止します。

認証情報が誤っている、サーバーへの接続がないなど、致命的なエラーの場合、その他:

「エラー実行アクション「IOC フィードを追加」」を出力します。理由: {0}」.format(error.Stacktrace)

 全般

IOC フィードを削除する

説明

Trellix Central Management で IOC フィードを削除します。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
フィード名 文字列 なし ○ 削除する必要があるフィードの名前を指定します。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200 で、feedName がリストにない場合（is_success = true）: 「Trellix Central Management でフィード「{0}」が正常に削除されました。」

ステータス コードが 200 で、最後のリクエストのリストに feedName が見つかった場合（is_success = false）: 「アクションは Trellix Central Management でフィード「{0}」を削除できませんでした。

フィード名が最初に存在しない場合: 「Action wasn't able to delete IOC feed in Trellix Central Management」理由: フィード「{feed_name}」が見つかりませんでした。

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「IOC フィードの削除」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

検疫済みメールの一覧表示

説明

検疫されたメールを一覧表示します。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
開始時刻 文字列 なし × 指定した場合、開始時刻以降に作成されたメールのみが返されます。[Start Time] と [End Time] が指定されていない場合、アクションは過去 24 時間以内に隔離されたメールを返します。形式: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
終了時刻 文字列 なし × 指定した場合、終了時刻より前に作成されたメールのみが返されます。[Start Time] と [End Time] が指定されていない場合、アクションは過去 24 時間以内に隔離されたメールを返します。形式: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
送信者フィルタ 文字列 なし × 指定した場合、この送信者からの隔離されたメールのみがすべて返されます。
件名フィルタ 文字列 なし × 指定した場合、この件名のみの隔離されたメールがすべて返されます。
返されるメールの最大数 文字列 50 × 返されるメールの数を指定します。上限 は 10,000 これは Trellix Central Management の制限です。
実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Case Wall
結果のタイプ 値 / 説明 タイプ
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
データが利用可能な場合（is_success = true）: 「Trellix Central Management の隔離されたメールが正常に一覧表示されました。」

データが利用できない場合（is_success = true）:「Trellix Central Management で隔離されたメールが見つかりませんでした。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「隔離されたメールの一覧表示」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般
ケースウォール テーブル

名前: 検疫されたメール

列:

  • 送信者
  • 件名
  • 完了日時
  • メールの UUID
  • メッセージ ID
  • キュー ID

検疫済みのメールを解放する

説明

検疫済みのメールを解放します。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
キュー ID 文字列 なし ○ リリースする必要があるメールのキュー ID を指定します。
センサー名 文字列 なし × 検疫されたメールをリリースするセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検索します。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200 で、レスポンスが空の場合（is_success = true）: 「キュー ID {0} の Trellix Central Management で隔離されたメールが正常にリリースされました。」

ステータス コードが 200 で、レスポンスが空でない場合（is_success = false）: 「キュー ID {0} のメールはリリースされませんでした。理由: {1}」.

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「隔離されたメールをリリース」の実行エラー。理由: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"隔離されたメールをリリース"という操作の実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「センサー名」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「隔離されたメールを解放」の実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

 全般

Download Quarantined Email

説明

検疫されたメールをダウンロードします。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
キュー ID 文字列 なし ○ ダウンロードする必要があるメールのキュー ID を指定します。
ダウンロード フォルダ パス 文字列 なし ○ アクションでファイルを保存するフォルダの絶対パスを指定します。
上書き チェックボックス ○ ○ 有効の場合、アクションは同じパスの既存のファイルを上書きします。
センサー名 文字列 なし × 検疫されたメールをダウンロードするセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検索します。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
file_path = {absolute file path to the file}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200 で、XML がない場合（is_success = true）: 「キュー ID {0} の Trellix Central Management の隔離されたメールを正常にダウンロードしました。」

ステータス コード 200 で、レスポンスに XML が含まれている場合（is_success = false）: 「キュー ID {0} のメールはダウンロードされませんでした。理由: {1}」.

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「隔離されたメールをダウンロード」の実行エラー。理由: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"隔離されたメールをダウンロード" アクションの実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「センサー名」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「隔離されたメールをダウンロード」の実行エラー。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

 全般

検疫されたメールを削除する

説明

検疫されたメールを削除します。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
キュー ID 文字列 なし ○ 削除する必要があるメールのキュー ID を指定します。
センサー名 文字列 なし × 検疫されたメールを削除するセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検索します。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200 で、レスポンスが空の場合（is_success = true）: 「キュー ID {0} の Trellix Central Management の隔離されたメールが正常に削除されました。」

アクションが失敗し、ハンドブックの実行が停止します。

ステータス コードが 200 で、レスポンスが空でない場合: 「キュー ID {0} のメールは削除されませんでした。理由: {1}」.

認証情報が誤っている、サーバーへの接続がないなどの致命的なエラーの場合、その他: 「アクション「隔離されたメールの削除」の実行エラー。理由: {0}」.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「アクション「隔離されたメールを削除」の実行エラー。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「センサー名」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「隔離されたメールを削除」の実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

 全般

アラート アーティファクトをダウンロードします

説明

Trellix Central Management からアラート アーティファクトをダウンロードします。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
アラート UUID 文字列 なし ○ アーティファクトをダウンロードする必要があるアラートの UUID を指定します。
ダウンロード フォルダ パス 文字列 なし ○ アクションでファイルを保存するフォルダの絶対パスを指定します。
上書き チェックボックス オン ○ 有効の場合、アクションは同じパスの既存のファイルを上書きします。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
file_path = {absolute file path to the file}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200（is_success = true）の場合: 「アラート ID {0} の Trellix Central Management アラート アーティファクトのダウンロードに成功しました。」

そのパスのファイルがすでに存在する場合（is_success = false）: 「アクションはアラート ID {0} を持つ Trellix Central Management アラート アーティファクトをダウンロードできませんでした。理由: そのパスのファイルはすでに存在します。」

ステータス コード 404（is_success = false）の場合:「uuid {0} のアラートのアーティファクトが見つかりませんでした。".

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「アラート アーティファクトのダウンロード」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

IOC フィードを一覧表示する

説明

Trellix Central Management で利用可能な IOC フィードを一覧表示します。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
返される IOC フィードの最大数 文字列 50 × 返す IOC フィードの数を指定します。デフォルトは 50 です。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Case Wall
結果のタイプ 値 / 説明 タイプ
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200（is_success = true）の場合: 「Trellix Central Management で利用可能な IOC フィードが正常に一覧表示されました。」

エントリが見つからなかった場合: 「No IOC feeds were found in Trellix Central Management」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「IOC フィードの一覧表示」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般
ケースウォール テーブル

テーブル名: 使用可能な IOC フィード

テーブル列:

Name

ステータス

型

アクション

コメント

IP 数

URL 数

ドメイン数

ハッシュ数

アップロード日時

 全般

カスタムルール ファイルにルールを追加する

説明

Trellix Central Management のカスタム ルール ファイルに新しいルールを追加します。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
ルール 文字列 なし ○ カスタム ルール ファイルに追加する必要があるルールを指定します。
センサー名 文字列 なし × 新しいルールを追加するセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検索します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200 で、ファイルが更新された場合（is_success = true）: 「Trellix Central Management のアプライアンス「{0}」のカスタムルール ファイルにルールが正常に追加されました。」

ステータス コードが 500 の場合（is_success = false）: 「アクションは Trellix Central Management のカスタムルール ファイルにルールを追加できませんでした。理由: {0}）。

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「カスタムルールにルールを追加」の実行エラー。理由: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「アクション「カスタムルール ファイルにルールを追加」の実行中にエラーが発生しました。理由: FireEye NX アプライアンスのセンサーが見つかりませんでした。「センサー名」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「カスタムルール ファイルにルールを追加」の実行エラー。理由: FireEye NX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

 全般

アラートの確認応答

説明

Trellix Central Management でアラートを確認します。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
アラート UUID 文字列 なし ○ 確認が必要なアラートの UUID を指定します。
アノテーション 文字列 なし ○ 確認の理由を説明するアノテーションを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200（is_success = true）の場合: 「ID {0} の Trellix Central Management アラートが正常に確認されました。」

ステータス コード 404（is_success = false）の場合: 「アクションは ID {0} の Trellix Central Management アラートを確認できませんでした。理由: ID {0} のアラートが見つかりませんでした。".

ステータス コード 400（is_success = false）の場合: 「アクションは、ID {0} の Trellix Central Management アラートを確認できませんでした。理由: {1} ".

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「アラートの確認」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

カスタムルールファイルをダウンロードする

説明

Trellix Central Management からカスタム ルールファイルをダウンロードします。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
センサー名 文字列 なし × 新しいルールを追加するセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検索します。
ダウンロード フォルダ パス 文字列 なし ○ ファイルのダウンロード先のフォルダの絶対パスを指定します。
上書き チェックボックス オン ○ 有効の場合、アクションは同じパスの既存のファイルを上書きします。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
File Path = "absolute path to the file"
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータス コードが 200（is_success = true）の場合: 「Trellix Central Management のアプライアンス「{0}」からカスタムルール ファイルが正常にダウンロードされました。」

ステータス コード 500 または 400（is_success = false）の場合: 「アクションは、Trellix Central Management のアプライアンス「{0}」からカスタムルール ファイルをダウンロードできませんでした。理由: {1}"。

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「カスタムルール ファイルのダウンロード」の実行エラー。理由: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"カスタムルール ファイルをダウンロード" アクションの実行中にエラーが発生しました。理由: FireEye NX アプライアンスのセンサーが見つかりませんでした。「センサー名」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「カスタムルール ファイルをダウンロード」の実行中にエラーが発生しました。理由: FireEye NX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

 全般

コネクタ

FireEye CM - Alerts コネクタ

説明

コネクタは、Trellix Central Management アラートを Google SecOps に取り込みます。これには、FireEye NX アプライアンスと EX アプライアンスによって生成されたアラートが含まれます。

Google SecOps で FireEye CM - Alerts コネクタを構成する

Google SecOps でコネクタを構成する方法の詳細については、コネクタの構成をご覧ください。

コネクタ パラメータ

次のパラメータを使用してコネクタを構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
プロダクト フィールド名 文字列 センサー ○ ソース フィールド名を入力してプロダクト フィールド名を取得します。
イベント フィールド名 文字列 eventType ○ ソース フィールド名を入力してイベント フィールド名を取得します。

環境フィールド名

 文字列 "" いいえ

環境名が保存されるフィールドの名前を記述します。

環境フィールドがない場合、その環境がデフォルトの環境です。

環境の正規表現パターン

 文字列 .* いいえ

[環境フィールド名] フィールドで見つかった値に対して実行する正規表現パターン。

デフォルトは、すべてキャッチして値を変更せずに返す .* です。

ユーザーが正規表現ロジックで環境フィールドを操作できるようにするために使用されます。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
スクリプトのタイムアウト（秒） 整数 180 はい 現在のスクリプトを実行している Python プロセスのタイムアウト上限。
API ルート 文字列 https://x.x.x.x:x ○ Trellix Central Management サーバーの API ルート。
ユーザー名 文字列 なし ○ Trellix Central Management アカウントのユーザー名。
パスワード パスワード なし ○ Trellix Central Management アカウントのパスワード。
遡る取得の最大時間数 整数 1 いいえ どの時点からアラートを取得するかの時間数。
SSL を確認 チェックボックス オン ○ 有効になっている場合は、Trellix Central Management サーバーへの接続用の SSL 証明書が有効であることを確認します。
許可リストを拒否リストとして使用 チェックボックス オフ ○ 有効にすると、許可リストが拒否リストとして使用されます。
プロキシ サーバーのアドレス 文字列 なし いいえ 使用するプロキシ サーバーのアドレス。
プロキシのユーザー名 文字列 なし いいえ 認証に使用するプロキシのユーザー名。
プロキシ パスワード パスワード なし いいえ 認証に使用するプロキシ パスワード。

コネクタ ルール

プロキシのサポート

コネクタでプロキシがサポートされます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。