Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

FireEye CM

このドキュメントでは、FireEye CM を Google Security Operations と統合する方法について説明します。

ユースケース

Trellix Central Management のアラートを取り込み、それらを使用して Google Security Operations のアラートを作成します。次に、Google SecOps でアラートを使用して、ハンドブックまたは手動分析でオーケストレーションを実行できます。
アクティブなアクションを実行する - Google SecOps から Trellix Central Management エージェントを使用してアラートアーティファクトをダウンロードし、ルール、IOC フィードを作成します。

Google SecOps で FireEye CM 統合を構成する

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名	種類	デフォルト値	必須	説明
インスタンス名	文字列	なし	いいえ	統合を構成するインスタンスの名前。
説明	文字列	なし	いいえ	インスタンスの説明。
API ルート	文字列	https:// :	○	Trellix Central Management サーバーの API ルート。
ユーザー名	文字列	なし	○	Trellix Central Management アカウントのユーザー名。
パスワード	パスワード	なし	○	Trellix Central Management アカウントのパスワード。
SSL を確認する	チェックボックス	オン	○	有効になっている場合は、Trellix Central Management サーバーへの接続用の SSL 証明書が有効であることを確認します。
リモートで実行	チェックボックス	オフ	いいえ	構成した統合をリモートで実行するには、フィールドのチェックボックスをオンにします。オンにすると、リモートユーザー（エージェント）を選択するオプションが表示されます。

アクション

Ping

説明

Google SecOps Content Hub ページの統合構成ページで提供されたパラメータを使用して、Trellix Central Management への接続性をテストします。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	True/False	is_success:False

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。成功した場合: 「指定された接続パラメータを使用して Trellix Central Management サーバーに正常に接続されました。」と出力します。アクションが失敗し、ハンドブックの実行が停止します。不成功の場合: 「Trellix Central Management サーバーへの接続に失敗しました」と出力します。エラーは {0}」.format(exception.stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

成功した場合:
「指定された接続パラメータを使用して Trellix Central Management サーバーに正常に接続されました。」と出力します。

アクションが失敗し、ハンドブックの実行が停止します。

不成功の場合:

「Trellix Central Management サーバーへの接続に失敗しました」と出力します。エラーは {0}」.format(exception.stacktrace)

全般

IOC フィードを追加

説明

エンティティに基づいて Trellix Central Management に IOC フィードを追加します。MD5 ハッシュと SHA256 ハッシュのみがサポートされています。

パラメータ

パラメータの表示名	種類	デフォルト値	必須	説明
アクション	DDL	アラート有効な値アラートブロック	○	新しいフィードのアクションを指定します。
コメント	文字列	なし	いいえ	フィードに関する追加のコメントを指定します。
ドメインを抽出	チェックボックス	なし	○	有効にすると、アクションは URL からドメイン部分を抽出し、それを使用して IOC フィードを作成します。

パラメータの表示名

種類

デフォルト値

必須

説明

アクション

DDL

アラート

有効な値

アラート

ブロック

○

新しいフィードのアクションを指定します。

文字列

なし

いいえ

フィードに関する追加のコメントを指定します。

ドメインを抽出

チェックボックス

なし

○

有効にすると、アクションは URL からドメイン部分を抽出し、それを使用して IOC フィードを作成します。

実行

このアクションは次のエンティティに対して実行されます。

IP アドレス
URL
ハッシュ（MD5/SHA256）

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	True/False	is_success:False

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。少なくとも 1 つのエンティティタイプのステータスコードが 200 の場合（is_success = true）: 「次のエンティティに基づいて Trellix Central Management に新しい IOC フィードが正常に追加されました: \n」と出力します。format(entity.identifier) 一部のエンティティタイプが適切に使用されなかった場合（is_success =true）: 「Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n」と出力します。format(entity.identifier) フィードの作成に成功したエンティティがない場合:（is_success=false）「Trellix Central Management で IOC フィードが作成されませんでした」と出力します。アクションが失敗し、ハンドブックの実行が停止します。認証情報が誤っている、サーバーへの接続がないなど、致命的なエラーの場合、その他: 「アクション「IOC フィードを追加」の実行中にエラーが発生しました」と出力します。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

少なくとも 1 つのエンティティタイプのステータスコードが 200 の場合（is_success = true）:
「次のエンティティに基づいて Trellix Central Management に新しい IOC フィードが正常に追加されました: \n」と出力します。format(entity.identifier)

一部のエンティティタイプが適切に使用されなかった場合（is_success =true）:
「Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n」と出力します。format(entity.identifier)

フィードの作成に成功したエンティティがない場合:（is_success=false）
「Trellix Central Management で IOC フィードが作成されませんでした」と出力します。

アクションが失敗し、ハンドブックの実行が停止します。

認証情報が誤っている、サーバーへの接続がないなど、致命的なエラーの場合、その他:

「アクション「IOC フィードを追加」の実行中にエラーが発生しました」と出力します。理由: {0}」.format(error.Stacktrace)

全般

IOC フィードを削除する

説明

Trellix Central Management で IOC フィードを削除します。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
フィード名	文字列	なし	○	削除するフィードの名前を指定します。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200 で、feedName がリストにない場合（is_success = true）: 「Trellix Central Management でフィード「{0}」が正常に削除されました。」ステータスコード 200 で、最後のリクエストのリストに feedName が見つかった場合（is_success = false）: 「アクションは Trellix Central Management でフィード「{0}」を削除できませんでした。最初にフィード名が存在しない場合: 「Action wasn't able to delete IOC feed in Trellix Central Management」。理由: フィード「{feed_name}」が見つかりませんでした。アクションが失敗し、ハンドブックの実行が停止します: 認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"IOC フィードの削除" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200 で、feedName がリストにない場合（is_success = true）: 「Trellix Central Management でフィード「{0}」が正常に削除されました。」

ステータスコード 200 で、最後のリクエストのリストに feedName が見つかった場合（is_success = false）: 「アクションは Trellix Central Management でフィード「{0}」を削除できませんでした。

最初にフィード名が存在しない場合: 「Action wasn't able to delete IOC feed in Trellix Central Management」。理由: フィード「{feed_name}」が見つかりませんでした。

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"IOC フィードの削除" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)

全般

検疫されたメールを一覧表示する

説明

検疫されたメールを一覧表示します。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
開始時刻	文字列	なし	いいえ	指定すると、開始時刻より後に作成されたメールのみが返されます。開始時間と終了時間が指定されていない場合、アクションは過去 24 時間に隔離されたメールを返します。形式: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
終了時刻	文字列	なし	いいえ	指定すると、終了時刻より前に作成されたメールのみが返されます。開始時間と終了時間が指定されていない場合、アクションは過去 24 時間に隔離されたメールを返します。形式: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
送信者フィルタ	文字列	なし	いいえ	指定すると、この送信者からのみ検疫されたすべてのメールが返されます。
件名フィルタ	文字列	なし	いいえ	指定すると、この件名の隔離されたメールのみがすべて返されます。
返されるメールの最大数	文字列	50	いいえ	返されるメールの数を指定します。上限は 10,000 これは Trellix Central Management の制限です。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

JSON の結果

[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]

Case Wall

結果のタイプ	値 / 説明	タイプ
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。データが利用可能である場合（is_success = true）:「Trellix Central Management の隔離されたメールが正常に一覧表示されました。」データが利用できない場合（is_success = true）: 「Trellix Central Management で隔離されたメールが見つかりませんでした。」アクションが失敗し、ハンドブックの実行が停止します: 認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「隔離されたメールの一覧表示」の実行エラー。理由: {0}」.format(error.Stacktrace)	全般
ケースウォールテーブル	名前: 検疫されたメール列: 送信者 Subject 完了日時メール UUID メッセージ ID キュー ID

結果のタイプ

値 / 説明

タイプ

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
データが利用可能である場合（is_success = true）:「Trellix Central Management の隔離されたメールが正常に一覧表示されました。」

データが利用できない場合（is_success = true）: 「Trellix Central Management で隔離されたメールが見つかりませんでした。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「隔離されたメールの一覧表示」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

ケースウォールテーブル

名前: 検疫されたメール

列:

送信者
Subject
完了日時
メール UUID
メッセージ ID
キュー ID

検疫されたメールを解放する

説明

隔離されたメールをリリースします。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
キュー ID	文字列	なし	○	解放する必要があるメールのキュー ID を指定します。
センサー名	文字列	なし	いいえ	検疫されたメールを解放するセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検出しようとします。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200 で、レスポンスが空の場合（is_success = true）: 「キュー ID {0} の Trellix Central Management の隔離されたメールが正常にリリースされました。」ステータスコード 200 でレスポンスが空でない場合（is_success = false）: 「キュー ID {0} のメールはリリースされませんでした。理由: {1}」アクションが失敗し、ハンドブックの実行が停止します: 認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「隔離されたメールのリリース」の実行エラー。Reason: {0}''.format(error.Stacktrace) センサーが自動的に見つからない場合: 「"隔離されたメールをリリース"という操作の実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace) 無効なセンサーが指定された場合: 「アクション「隔離されたメールのリリース」の実行エラー。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200 で、レスポンスが空の場合（is_success = true）: 「キュー ID {0} の Trellix Central Management の隔離されたメールが正常にリリースされました。」

ステータスコード 200 でレスポンスが空でない場合（is_success = false）: 「キュー ID {0} のメールはリリースされませんでした。理由: {1}」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「隔離されたメールのリリース」の実行エラー。Reason: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"隔離されたメールをリリース"という操作の実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「隔離されたメールのリリース」の実行エラー。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

全般

検疫されたメールをダウンロードする

説明

検疫されたメールをダウンロードします。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
キュー ID	文字列	なし	○	ダウンロードする必要があるメールのキュー ID を指定します。
ダウンロードフォルダパス	文字列	なし	○	アクションでファイルを保存するフォルダの絶対パスを指定します。
上書き	チェックボックス	○	○	有効の場合、アクションは同じパスの既存のファイルを上書きします。
センサー名	文字列	なし	いいえ	検疫されたメールをダウンロードするセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検出しようとします。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

JSON の結果

file_path = {absolute file path to the file}

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200 で、xml がない場合（is_success = true）: 「キュー ID {0} の Trellix Central Management 隔離メールが正常にダウンロードされました。」ステータスコード 200 で、レスポンスに xml がある場合（is_success = false）:「キュー ID {0} のメールはダウンロードされませんでした。理由: {1}」アクションが失敗し、ハンドブックの実行が停止します: 認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"隔離されたメールをダウンロード" アクションの実行中にエラーが発生しました。Reason: {0}''.format(error.Stacktrace) センサーが自動的に見つからない場合: 「"隔離されたメールをダウンロード" アクションの実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace) 無効なセンサーが指定された場合: 「アクション「隔離されたメールのダウンロード」の実行エラー。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200 で、xml がない場合（is_success = true）: 「キュー ID {0} の Trellix Central Management 隔離メールが正常にダウンロードされました。」

ステータスコード 200 で、レスポンスに xml がある場合（is_success = false）:「キュー ID {0} のメールはダウンロードされませんでした。理由: {1}」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"隔離されたメールをダウンロード" アクションの実行中にエラーが発生しました。Reason: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"隔離されたメールをダウンロード" アクションの実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「隔離されたメールのダウンロード」の実行エラー。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

全般

隔離されたメールを削除する

説明

検疫されたメールを削除します。Trellix Central Management に接続された FireEye EX が必要です。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
キュー ID	文字列	なし	○	削除する必要があるメールのキュー ID を指定します。
センサー名	文字列	なし	いいえ	検疫されたメールを削除するセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検出しようとします。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200 で、レスポンスが空の場合（is_success = true）: 「キュー ID {0} の Trellix Central Management の隔離されたメールが正常に削除されました。」アクションが失敗し、ハンドブックの実行が停止するようにする必要があります。ステータスコードが 200 で、レスポンスが空でない場合: 「キュー ID {0} のメールは削除されませんでした。理由: {1}」認証情報が誤っている、サーバーへの接続がないなどの致命的なエラーの場合、その他: 「アクション「隔離されたメールの削除」の実行エラー。理由: {0}」.format(error.Stacktrace) センサーが自動的に見つからない場合: 「"隔離されたメールの削除"という操作の実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace) 無効なセンサーが指定された場合: 「アクション「隔離されたメールの削除」の実行エラー。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200 で、レスポンスが空の場合（is_success = true）: 「キュー ID {0} の Trellix Central Management の隔離されたメールが正常に削除されました。」

アクションが失敗し、ハンドブックの実行が停止するようにする必要があります。

ステータスコードが 200 で、レスポンスが空でない場合: 「キュー ID {0} のメールは削除されませんでした。理由: {1}」

認証情報が誤っている、サーバーへの接続がないなどの致命的なエラーの場合、その他: 「アクション「隔離されたメールの削除」の実行エラー。理由: {0}」.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"隔離されたメールの削除"という操作の実行中にエラーが発生しました。理由: FireEye EX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「隔離されたメールの削除」の実行エラー。理由: FireEye EX アプライアンスのセンサー（名前: {0}）が見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

全般

アラートアーティファクトをダウンロードします

説明

Trellix Central Management からアラートアーティファクトをダウンロードします。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
アラート UUID	文字列	なし	○	アーティファクトをダウンロードする必要があるアラートの UUID を指定します。
ダウンロードフォルダパス	文字列	なし	○	アクションでファイルを保存するフォルダの絶対パスを指定します。
上書き	チェックボックス	オン	○	有効の場合、アクションは同じパスの既存のファイルを上書きします。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

JSON の結果

file_path = {absolute file path to the file}

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200（is_success = true）の場合: 「アラート ID {0} の Trellix Central Management アラートアーティファクトが正常にダウンロードされました。」そのパスのファイルがすでに存在する場合（is_success = false）: 「アクションはアラート ID {0} を持つ Trellix Central Management アラートアーティファクトをダウンロードできませんでした。理由: そのパスのファイルはすでに存在します。」ステータスコード 404（is_success = false）の場合:「UUID {0} のアラートのアーティファクトが見つかりませんでした。」アクションが失敗し、ハンドブックの実行が停止します: 認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"アラートアーティファクトのダウンロード" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200（is_success = true）の場合: 「アラート ID {0} の Trellix Central Management アラートアーティファクトが正常にダウンロードされました。」

そのパスのファイルがすでに存在する場合（is_success = false）: 「アクションはアラート ID {0} を持つ Trellix Central Management アラートアーティファクトをダウンロードできませんでした。理由: そのパスのファイルはすでに存在します。」

ステータスコード 404（is_success = false）の場合:「UUID {0} のアラートのアーティファクトが見つかりませんでした。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"アラートアーティファクトのダウンロード" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)

全般

IOC フィードを一覧表示する

説明

Trellix Central Management で利用可能な IOC フィードを一覧表示します。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
返される IOC フィードの最大数	文字列	50	いいえ	返される IOC フィードの数を指定します。デフォルトは 50 です。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

JSON の結果

{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}

Case Wall

結果のタイプ	値 / 説明	タイプ
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200（is_success = true）の場合: 「Trellix Central Management で利用可能な IOC フィードが正常に一覧表示されました。」エントリが見つからなかった場合: 「Trellix Central Management で IOC フィードが見つかりませんでした」アクションが失敗し、ハンドブックの実行が停止します: 認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"IOC フィードの一覧表示" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)	全般
ケースウォールテーブル	テーブル名: 利用可能な IOC フィードテーブル列: Name ステータス型アクションコメント IP 数 URL 数ドメイン数ハッシュ数アップロード日時	全般

結果のタイプ

値 / 説明

タイプ

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200（is_success = true）の場合: 「Trellix Central Management で利用可能な IOC フィードが正常に一覧表示されました。」

エントリが見つからなかった場合: 「Trellix Central Management で IOC フィードが見つかりませんでした」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が誤っているなどの致命的なエラーで、サーバーへの接続がない場合、その他: 「"IOC フィードの一覧表示" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)

全般

ケースウォールテーブル

テーブル名: 利用可能な IOC フィード

テーブル列:

Name

ステータス

型

アクション

IP 数

URL 数

ドメイン数

ハッシュ数

アップロード日時

全般

カスタムルールファイルにルールを追加する

説明

Trellix Central Management のカスタムルールファイルに新しいルールを追加します。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
ルール	文字列	なし	○	カスタムルールファイルに追加する必要があるルールを指定します。
センサー名	文字列	なし	いいえ	新しいルールを追加するセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検出しようとします。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200 で、ファイルが更新された場合（is_success = true）: 「Trellix Central Management の「{0}」アプライアンスのカスタムルールファイルにルールが正常に追加されました。」ステータスコードが 500 の場合（is_success = false）: 「アクションは Trellix Central Management のカスタムルールファイルにルールを追加できませんでした。理由: {0}）。アクションが失敗し、ハンドブックの実行が停止します: 認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「カスタムルールにルールを追加」の実行エラー。Reason: {0}''.format(error.Stacktrace) センサーが自動的に見つからない場合: 「"カスタムルールファイルにルールを追加" アクションの実行中にエラーが発生しました。理由: FireEye NX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace) 無効なセンサーが指定された場合:「アクション「カスタムルールファイルにルールを追加」の実行エラー。理由: FireEye NX アプライアンスの {0} という名前のセンサーが見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200 で、ファイルが更新された場合（is_success = true）: 「Trellix Central Management の「{0}」アプライアンスのカスタムルールファイルにルールが正常に追加されました。」

ステータスコードが 500 の場合（is_success = false）: 「アクションは Trellix Central Management のカスタムルールファイルにルールを追加できませんでした。理由: {0}）。

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「カスタムルールにルールを追加」の実行エラー。Reason: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"カスタムルールファイルにルールを追加" アクションの実行中にエラーが発生しました。理由: FireEye NX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合:「アクション「カスタムルールファイルにルールを追加」の実行エラー。理由: FireEye NX アプライアンスの {0} という名前のセンサーが見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

全般

アラートを確認

説明

Trellix Central Management でアラートを確認します。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
アラート UUID	文字列	なし	○	確認が必要なアラート UUID を指定します。
アノテーション	文字列	なし	○	確認の理由を説明するアノテーションを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200（is_success = true）の場合: 「ID {0} の Trellix Central Management アラートが正常に確認されました。」ステータスコード 404（is_success = false）の場合:「アクションは ID {0} の Trellix Central Management アラートを承認できませんでした。Reason: Alert with ID {0} wasn't found. 」ステータスコード 400（is_success = false）の場合:「アクションは ID {0} の Trellix Central Management アラートを確認できませんでした。理由: {1}」アクションが失敗し、ハンドブックの実行が停止します: 認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「アラートの確認」の実行エラー。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200（is_success = true）の場合: 「ID {0} の Trellix Central Management アラートが正常に確認されました。」

ステータスコード 404（is_success = false）の場合:「アクションは ID {0} の Trellix Central Management アラートを承認できませんでした。Reason: Alert with ID {0} wasn't found. 」

ステータスコード 400（is_success = false）の場合:「アクションは ID {0} の Trellix Central Management アラートを確認できませんでした。理由: {1}」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「アラートの確認」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

カスタムルールファイルをダウンロードする

説明

Trellix Central Management からカスタムルールファイルをダウンロードします。

パラメータ

パラメータの表示名	タイプ	デフォルト値	必須	説明
センサー名	文字列	なし	いいえ	新しいルールを追加するセンサーの名前を指定します。ここで何も指定しない場合、アクションはセンサーを自動的に検出しようとします。
ダウンロードフォルダパス	文字列	なし	○	ファイルのダウンロード先となるフォルダの絶対パスを指定します。
上書き	チェックボックス	オン	○	有効の場合、アクションは同じパスの既存のファイルを上書きします。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション
is_success	is_success=False
is_success	is_success=True

JSON の結果

File Path = "absolute path to the file"

ケースウォール

結果のタイプ	値 / 説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。ステータスコードが 200（is_success = true）の場合: 「Trellix Central Management のアプライアンス「{0}」からカスタムルールファイルが正常にダウンロードされました。」ステータスコードが 500 または 400 の場合（is_success = false）:「アクションは、Trellix Central Management のアプライアンス「{0}」からカスタムルールファイルをダウンロードできませんでした。理由: {1}」アクションが失敗し、ハンドブックの実行が停止します: 認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「カスタムルールファイルのダウンロード」の実行エラー。Reason: {0}''.format(error.Stacktrace) センサーが自動的に見つからない場合: 「"カスタムルールファイルをダウンロード" アクションの実行中にエラーが発生しました。理由: FireEye NX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace) 無効なセンサーが指定された場合: 「アクション「カスタムルールファイルのダウンロード」の実行中にエラーが発生しました。理由: FireEye NX アプライアンスの {0} という名前のセンサーが見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)	全般

結果のタイプ

値 / 説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりしないようにする必要があります。
ステータスコードが 200（is_success = true）の場合: 「Trellix Central Management のアプライアンス「{0}」からカスタムルールファイルが正常にダウンロードされました。」

ステータスコードが 500 または 400 の場合（is_success = false）:「アクションは、Trellix Central Management のアプライアンス「{0}」からカスタムルールファイルをダウンロードできませんでした。理由: {1}」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「カスタムルールファイルのダウンロード」の実行エラー。Reason: {0}''.format(error.Stacktrace)

センサーが自動的に見つからない場合: 「"カスタムルールファイルをダウンロード" アクションの実行中にエラーが発生しました。理由: FireEye NX アプライアンスのセンサーが見つかりませんでした。「Sensor Name」パラメータで手動で指定してください。''.format(error.Stacktrace)

無効なセンサーが指定された場合: 「アクション「カスタムルールファイルのダウンロード」の実行中にエラーが発生しました。理由: FireEye NX アプライアンスの {0} という名前のセンサーが見つかりませんでした。スペルを確認してください。''.format(error.Stacktrace)

全般

コネクタ

FireEye CM - Alerts Connector

説明

コネクタは、Trellix Central Management のアラートを Google SecOps に取り込みます。これには、FireEye NX アプライアンスと EX アプライアンスによって生成されたアラートが含まれます。

Google SecOps で FireEye CM - Alerts コネクタを構成する

Google SecOps でコネクタを構成する方法の詳細については、コネクタの構成をご覧ください。

コネクタパラメータ

次のパラメータを使用してコネクタを構成します。

パラメータの表示名	種類	デフォルト値	必須	説明
プロダクトフィールド名	文字列	センサー	○	ソースフィールド名を入力してプロダクトフィールド名を取得します。
イベントフィールド名	文字列	eventType	○	ソースフィールド名を入力してイベントフィールド名を取得します。
環境フィールド名	文字列	""	いいえ	環境名が保存されるフィールドの名前を記述します。環境フィールドがない場合、その環境がデフォルトの環境です。
環境の正規表現パターン	文字列	.*	いいえ	[環境フィールド名] フィールドで見つかった値に対して実行する正規表現パターン。デフォルトは、すべてキャッチして値を変更せずに返す .* です。ユーザーが正規表現ロジックで環境フィールドを操作できるようにするために使用されます。正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
スクリプトのタイムアウト（秒）	整数	180	はい	現在のスクリプトを実行している Python プロセスのタイムアウト上限。
API ルート	文字列	https://x.x.x.x:x	○	Trellix Central Management サーバーの API ルート。
ユーザー名	文字列	なし	○	Trellix Central Management アカウントのユーザー名。
パスワード	パスワード	なし	○	Trellix Central Management アカウントのパスワード。
遡る取得の最大時間数	整数	1	いいえ	どの時点からアラートを取得するかの時間数。
SSL を確認	チェックボックス	オン	○	有効になっている場合は、Trellix Central Management サーバーへの接続用の SSL 証明書が有効であることを確認します。
許可リストを拒否リストとして使用	チェックボックス	オフ	○	有効にすると、許可リストが拒否リストとして使用されます。
プロキシサーバーのアドレス	文字列	なし	いいえ	使用するプロキシサーバーのアドレス。
プロキシのユーザー名	文字列	なし	いいえ	認証に使用するプロキシのユーザー名。
プロキシパスワード	パスワード	なし	いいえ	認証に使用するプロキシパスワード。

コネクタルール

プロキシのサポート

コネクタでプロキシがサポートされます。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。

FireEye CM

ユースケース

Google SecOps で FireEye CM 統合を構成する

統合のパラメータ

アクション

Ping

説明

実行

アクションの結果

スクリプトの結果

ケースウォール

IOC フィードを追加

説明

パラメータ

実行

アクションの結果

スクリプトの結果

ケースウォール

IOC フィードを削除する

説明

パラメータ

実行

アクションの結果

スクリプトの結果

ケースウォール

検疫されたメールを一覧表示する

説明

パラメータ

実行

アクションの結果

スクリプトの結果

JSON の結果

Case Wall

検疫されたメールを解放する

説明

パラメータ

実行

アクションの結果

スクリプトの結果

ケースウォール

検疫されたメールをダウンロードする

説明

パラメータ

実行

アクションの結果

スクリプトの結果

JSON の結果

ケースウォール

隔離されたメールを削除する

説明

パラメータ

実行

アクションの結果

スクリプトの結果

ケースウォール

アラート アーティファクトをダウンロードします

説明

パラメータ

実行

アクションの結果

スクリプトの結果

JSON の結果

ケースウォール

IOC フィードを一覧表示する

説明

パラメータ

実行

アクションの結果

スクリプトの結果

JSON の結果

Case Wall

カスタムルール ファイルにルールを追加する

説明

パラメータ

実行

アクションの結果

スクリプトの結果

ケースウォール

アラートを確認

説明

アラートアーティファクトをダウンロードします

カスタムルールファイルにルールを追加する

カスタムルールファイルをダウンロードする

コネクタパラメータ

コネクタルール