FireEye CM

Neste documento, descrevemos como integrar o FireEye CM ao Google Security Operations.

Casos de uso

  1. Ingira alertas do Trellix Central Management para usá-los na criação de alertas do Google Security Operations. Em seguida, no Google SecOps, os alertas podem ser usados para realizar orquestrações com playbooks ou análise manual.
  2. Realizar ações ativas: fazer o download de artefatos de alerta usando o agente do Trellix Central Management do Google SecOps, criar uma regra, feeds de IOCs

Configurar a integração do FireEye CM no Google SecOps

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome da instância String N/A Não Nome da instância em que você quer configurar a integração.
Descrição String N/A Não Descrição da instância.
Raiz da API String https://
:
 Sim Raiz da API do servidor do Trellix Central Management.
Nome de usuário String N/A Sim Nome de usuário da conta do Trellix Central Management.
Senha Senha N/A Sim A senha da conta do Trellix Central Management.
Verificar SSL Caixa de seleção Selecionado Sim Se ativada, verifique se o certificado SSL da conexão com o servidor do Trellix Central Management é válido.
Executar remotamente Caixa de seleção Desmarcado Não Marque o campo para executar a integração configurada remotamente. Depois de marcada, a opção de selecionar o usuário remoto (agente) aparece.

Ações

Ping

Descrição

Teste a conectividade com o Trellix Central Management usando os parâmetros fornecidos na página de configuração da integração na página do Google SecOps Content Hub.

Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success:False
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se a conexão for bem-sucedida:
Mostre "Conexão estabelecida com o servidor do Trellix Central Management usando os parâmetros fornecidos!"

A ação deve falhar e interromper a execução de um playbook:

Se não for concluída:

Imprima "Falha ao se conectar ao servidor do Trellix Central Management! O erro é {0}".format(exception.stacktrace)

 Geral

Adicionar feed de IOC

Descrição

Adicione o feed de IOC no Trellix Central Management com base em entidades. Somente hashes MD5 e SHA256 são compatíveis.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Ação DDL

Alerta

Valor possível

Alerta

Bloquear

 Sim Especifique qual deve ser a ação para o novo feed de notícias.
Comentário String N/A Não Especifique outros comentários para o feed.
Extrair domínio Caixa de seleção N/A Sim Se ativada, a ação vai extrair a parte do domínio do URL e usá-la para criar o feed de IOC.

Corrida

Essa ação é executada nas seguintes entidades:

  • Endereço IP
  • URL
  • HASH (MD5/SHA256)

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success:False
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

if status code 200 for at least one entity type(is_success = true):
Print "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

Se alguns dos tipos de entidade não foram usados corretamente (is_success =true):
Print "Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n).format(entity.identifier)

Se nenhuma das entidades tiver sido usada para criar o feed: (is_success=false)
Imprima "Nenhum feed de IOC foi criado no Trellix Central Management!"

A ação deve falhar e interromper a execução de um playbook:

Se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros:

Imprima "Erro ao executar a ação 'Adicionar feed de IOC'". Motivo: {0}''.format(error.Stacktrace)

 Geral

Excluir feed de IOC

Descrição

Exclua o feed de IOC no Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do feed String N/A Sim Especifique o nome do feed que precisa ser excluído.

Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não deve falhar nem interromper a execução de um playbook:
se o código de status for 200 e feedName não for encontrado na lista (is_success = true): "Successfully deleted feed '{0}' in Trellix Central Management !".

Se o código de status for 200 e o feedName tiver sido encontrado na lista da última solicitação (is_success = false): "A ação não conseguiu excluir o feed '{0}' no Trellix Central Management.

Se o nome do feed não existir inicialmente: "A ação não conseguiu excluir o feed de IOC no Trellix Central Management". Motivo: o feed "{feed_name}" não foi encontrado.

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Excluir feed de IOC'. Motivo: {0}''.format(error.Stacktrace)

 Geral

Listar e-mails em quarentena

Descrição

Listar e-mails em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Horário de início String N/A Não Se especificado, somente os e-mails criados após o horário de início serão retornados. Se o horário de início e de término não forem especificados, a ação vai retornar os e-mails em quarentena das últimas 24 horas. Formato: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Horário de término String N/A Não Se especificado, somente os e-mails criados antes do horário de término serão retornados. Se o horário de início e de término não forem especificados, a ação vai retornar os e-mails em quarentena das últimas 24 horas. Formato: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Filtro de remetente String N/A Não Se especificado, retorna todos os e-mails em quarentena apenas desse remetente.
Filtro de assunto String N/A Não Se especificado, retorna todos os e-mails em quarentena apenas com esse assunto.
Número máximo de e-mails a serem retornados String 50 Não Especifique quantos e-mails serão retornados. O limite é 10.000. Essa é uma limitação do Trellix Central Management.
Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Painel de casos
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se os dados estiverem disponíveis (is_success = true): "Successfully listed Trellix Central Management quarantined emails!"

Se não houver dados disponíveis (is_success = true): "No quarantined emails were found in Trellix Central Management!"

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Listar e-mails em quarentena'. Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela do painel de casos

Nome:e-mails em quarentena

Colunas:

  • Remetente
  • Assunto
  • Concluído em
  • UUID do e-mail
  • ID da mensagem
  • ID da fila

Liberar e-mail em quarentena

Descrição

Libera e-mails em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da fila String N/A Sim Especifique o ID da fila do e-mail que precisa ser liberado.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer liberar um e-mail em quarentena. Se nada for especificado aqui, a ação vai tentar encontrar o sensor automaticamente.

Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 e a resposta estiver vazia (is_success = true): "O e-mail em quarentena do Trellix Central Management com o ID de fila {0} foi liberado."

Se o código de status for 200 e a resposta não estiver vazia (is_success = false): "O e-mail com o ID de fila {0} não foi liberado. Motivo: {1}".

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Liberar e-mail em quarentena'. Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação 'Liberar e-mail em quarentena'". Motivo: o sensor do appliance FireEye EX não foi encontrado. Forneça-o manualmente no parâmetro 'Nome do sensor'.''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação 'Liberar e-mail em quarentena'. Motivo: o sensor com o nome {0} para o appliance FireEye EX não foi encontrado. Verifique a ortografia.".format(error.Stacktrace)

 Geral

Baixar e-mail em quarentena

Descrição

Baixar e-mails em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da fila String N/A Sim Especifique o ID da fila do e-mail que precisa ser baixado.
Caminho da pasta de download String N/A Sim Especifique o caminho absoluto para a pasta em que a ação deve salvar os arquivos.
Substituir Caixa de seleção Sim Sim Se ativada, a ação vai substituir o arquivo atual pelo mesmo caminho.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer baixar um e-mail em quarentena. Se nada for especificado aqui, a ação vai tentar encontrar o sensor automaticamente.

Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
file_path = {absolute file path to the file}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não deve falhar nem interromper a execução de um playbook:
se o código de status for 200 e não houver XML (is_success = true): "O e-mail em quarentena do Trellix Central Management com o ID de fila {0} foi baixado."

Se o código de status for 200 e houver XML na resposta (is_success = false): "O e-mail com o ID de fila {0} não foi baixado. Motivo: {1}".

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Fazer o download do e-mail em quarentena'. Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação 'Fazer o download do e-mail em quarentena'". Motivo: o sensor do appliance FireEye EX não foi encontrado. Forneça-o manualmente no parâmetro 'Nome do sensor'.''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação 'Fazer o download do e-mail em quarentena'. Motivo: o sensor com o nome {0} para o appliance FireEye EX não foi encontrado. Verifique a ortografia.".format(error.Stacktrace)

 Geral

Excluir e-mail em quarentena

Descrição

Excluir e-mails em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da fila String N/A Sim Especifique o ID da fila do e-mail que precisa ser excluído.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer excluir um e-mail em quarentena. Se nada for especificado aqui, a ação vai tentar encontrar o sensor automaticamente.

Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não deve falhar nem interromper a execução de um playbook:
se o código de status for 200 e a resposta estiver vazia (is_success = true): "O e-mail em quarentena do Trellix Central Management com o ID de fila {0} foi excluído."

A ação deve falhar e interromper a execução de um playbook:

if status code 200 and response is not empty: "Email with queue id {0} was not deleted. Motivo: {1}".

Se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Excluir e-mail em quarentena'. Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação 'Excluir e-mail em quarentena'. Motivo: o sensor do appliance FireEye EX não foi encontrado. Forneça-o manualmente no parâmetro 'Nome do sensor'.''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação 'Excluir e-mail em quarentena'. Motivo: o sensor com o nome {0} para o appliance FireEye EX não foi encontrado. Verifique a ortografia.".format(error.Stacktrace)

 Geral

Fazer o download de artefatos de alerta

Descrição

Faça o download de artefatos de alerta do Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
UUID do alerta String N/A Sim Especifique o UUID do alerta de onde os artefatos precisam ser baixados.
Caminho da pasta de download String N/A Sim Especifique o caminho absoluto para a pasta em que a ação deve salvar os arquivos.
Substituir Caixa de seleção Selecionado Sim Se ativada, a ação vai substituir o arquivo atual pelo mesmo caminho.

Corrida

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
file_path = {absolute file path to the file}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 (is_success = true): "Successfully downloaded Trellix Central Management alert artifacts with alert id {0}!".

Se o arquivo com esse caminho já existir (is_success = false): "A ação não conseguiu fazer o download dos artefatos de alerta do Trellix Central Management com o ID de alerta {0}. Motivo: já existe um arquivo com esse caminho."

Se o código de status for 404 (is_success = false): "Os artefatos do alerta com o UUID {0} não foram encontrados. ".

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Fazer download de artefatos de alerta'. Motivo: {0}''.format(error.Stacktrace)

 Geral

Listar feeds de IOC

Descrição

Liste os feeds de IOC disponíveis no Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Máximo de feeds de IOC a serem retornados String 50 Não Especifique quantos feeds de IOC devem ser retornados. O padrão é 50.

Corrida

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Painel de casos
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 (is_success = true): "Successfully listed available IOC feeds in Trellix Central Management!".

Se nenhuma entrada for encontrada: "Nenhum feed de IOC foi encontrado no Trellix Central Management"

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Listar feeds de IOC'. Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela do Painel de Casos

Nome da tabela:feeds de IOC disponíveis

Colunas da tabela:

Nome

Status

Tipo

Ação

Comentário

Contagem de IPs

Contagem de URLs

Contagem de domínios

Contagem de hash

Upload feito em

Geral

Adicionar regra ao arquivo de regras personalizadas

Descrição

Adicione uma nova regra ao arquivo de regras personalizadas no Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Regra String N/A Sim Especifique a regra que precisa ser adicionada ao arquivo de regras personalizadas.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer adicionar uma nova regra. Se nada for especificado aqui, a ação vai tentar encontrar o sensor automaticamente.

Corrida

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não deve falhar nem interromper a execução de um playbook:
se o código de status for 200 e o arquivo tiver sido atualizado (is_success = true): "A regra foi adicionada ao arquivo de regras personalizadas no dispositivo '{0}' no Trellix Central Management.".

se o código de status for 500 (is_success = false): "A ação não conseguiu adicionar uma regra ao arquivo de regras personalizadas no Trellix Central Management. Motivo: {0}).

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Adicionar regra às regras personalizadas'. Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação 'Adicionar regra ao arquivo de regras personalizadas'. Motivo: o sensor do appliance FireEye NX não foi encontrado. Forneça-o manualmente no parâmetro 'Nome do sensor'.''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação 'Adicionar regra ao arquivo de regras personalizadas'. Motivo: o sensor com o nome {0} para o appliance FireEye NX não foi encontrado. Verifique a ortografia.".format(error.Stacktrace)

 Geral

Confirmar alerta

Descrição

Confirme o alerta no Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
UUID do alerta String N/A Sim Especifique o UUID do alerta, que precisa ser confirmado.
Nota String N/A Sim Especifique a anotação que explica o motivo da confirmação.

Corrida

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não deve falhar nem interromper a execução de um playbook:
se o código de status for 200 (is_success = true): "Successfully acknowledged Trellix Central Management alert with ID {0}!".

Se o código de status for 404 (is_success = false): "A ação não conseguiu confirmar o alerta do Trellix Central Management com o ID {0}. Motivo: o alerta com o ID {0} não foi encontrado. ".

Se o código de status for 400 (is_success = false): "A ação não conseguiu confirmar o alerta do Trellix Central Management com o ID {0}. Motivo: {1} ".

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Confirmar alerta'. Motivo: {0}''.format(error.Stacktrace)

 Geral

Baixar arquivo de regras personalizadas

Descrição

Baixe o arquivo de regras personalizadas do Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer adicionar uma nova regra. Se nada for especificado aqui, a ação vai tentar encontrar o sensor automaticamente.
Caminho da pasta de download String N/A Sim Especifique o caminho absoluto para a pasta em que o arquivo será baixado.
Substituir Caixa de seleção Selecionado Sim Se ativada, a ação vai substituir o arquivo atual pelo mesmo caminho.

Corrida

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
File Path = "absolute path to the file"
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 (is_success = true): "Successfully downloaded custom rules file from appliance '{0}' in Trellix Central Management !".

Se o código de status for 500 ou 400 (is_success = false): "A ação não conseguiu fazer o download do arquivo de regras personalizadas do dispositivo '{0}' no Trellix Central Management. Motivo: {1}".

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Fazer download do arquivo de regras personalizadas'. Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação 'Fazer o download do arquivo de regras personalizadas'". Motivo: o sensor do appliance FireEye NX não foi encontrado. Forneça-o manualmente no parâmetro 'Nome do sensor'.''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação 'Fazer o download do arquivo de regras personalizadas'. Motivo: o sensor com o nome {0} para o appliance FireEye NX não foi encontrado. Verifique a ortografia.".format(error.Stacktrace)

 Geral

Conectores

FireEye CM: conector de alertas

Descrição

O conector ingere alertas do Trellix Central Management no Google SecOps. Isso inclui alertas gerados pelos appliances FireEye NX e EX.

Configurar o FireEye CM - Conector de alertas no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String sensor Sim Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento String eventType Sim Insira o nome do campo de origem para recuperar o nome do campo de evento.

Nome do campo do ambiente

 String "" Não

Descreve o nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.

Padrão Regex do ambiente

 String .* Não

Um padrão de regex para ser executado no valor encontrado no campo "Nome do campo de ambiente".

O padrão é .* para capturar tudo e retornar o valor inalterado.

Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex.

Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite de script (segundos) Inteiro 180 Sim Limite de tempo limite para o processo do Python que executa o script atual.
Raiz da API String https://x.x.x.x:x Sim Raiz da API do servidor do Trellix Central Management.
Nome de usuário String N/A Sim Nome de usuário da conta do Trellix Central Management.
Senha Senha N/A Sim Senha da conta do Trellix Central Management.
Buscar o máximo de horas anteriores Inteiro 1 Não Quantidade de horas de onde os alertas serão buscados.
Verificar SSL Caixa de seleção Selecionado Sim Se ativada, verifique se o certificado SSL da conexão com o servidor do Trellix Central Management é válido.
Usar a lista de permissões como uma lista de bloqueio Caixa de seleção Desmarcado Sim Se ativada, a lista de permissões será usada como uma lista de bloqueio.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String N/A Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha N/A Não A senha do proxy para autenticação.

Regras do conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.