FireEye CM

Versão da integração: 9.0

Casos de uso

  1. Ingira alertas do Trellix Central Management para usá-los na criação de alertas do Google Security Operations. Em seguida, no Google SecOps, os alertas podem ser usados para realizar orquestrações com playbooks ou análises manuais.
  2. Realizar ações ativas: fazer o download de artefatos de alerta usando o agente de gerenciamento central do Trellix no Google SecOps, criar uma regra, feeds de IOC

Configurar a integração do FireEye CM no Google SecOps

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome da instância String N/A Não Nome da instância em que você pretende configurar a integração.
Descrição String N/A Não Descrição da instância.
Raiz da API String https://
:
 Sim Raiz da API do servidor de gerenciamento central da Trellix.
Nome de usuário String N/A Sim Nome de usuário da conta do Trellix Central Management.
Senha Senha N/A Sim A senha da conta do Trellix Central Management.
Verificar SSL Caixa de seleção Selecionado Sim Se ativado, verifique se o certificado SSL da conexão com o servidor do Trellix Central Management é válido.
Executar remotamente Caixa de seleção Desmarcado Não Marque a caixa para executar a integração configurada remotamente. Depois de marcada, a opção aparece para selecionar o usuário remoto (agente).

Ações

Ping

Descrição

Teste a conectividade com o Trellix Central Management usando os parâmetros fornecidos na página de configuração da integração, na guia "Marketplace" do Google Security Operations.

Executar em

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/Falso is_success:False
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se a conexão for bem-sucedida:
imprima "Conexão bem-sucedida com o servidor do Trellix Central Management usando os parâmetros de conexão fornecidos!"

A ação precisa falhar e interromper a execução de um playbook:

if not successful:

Imprima "Não foi possível se conectar ao servidor do Trellix Central Management! O erro é {0}".format(exception.stacktrace)

 Geral

Adicionar feed de IOC

Descrição

Adicione um feed de IOC no Trellix Central Management com base em entidades. Somente hashes MD5 e SHA256 são compatíveis.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Ação DDL

Alerta

Valor possível

Alerta

Bloquear

 Sim Especifique a ação para o novo feed.
Comentário String N/A Não Especifique comentários adicionais para o feed.
Extrair domínio Caixa de seleção N/A Sim Se ativada, a ação vai extrair a parte do domínio do URL e usá-la para criar um feed de IOC.

Executar em

Essa ação é executada nas seguintes entidades:

  • Endereço IP
  • URL
  • HASH (MD5/SHA256)

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/Falso is_success:False
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

if status code 200 for at least one entity type(is_success = true):
Print "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

se alguns dos tipos de entidade não foram usados corretamente (is_success =true):
Print "Não foi possível criar novos feeds de IOC no Trellix Central Management com base nas seguintes entidades:\n).format(entity.identifier)

Se nenhuma das entidades foi usada para a criação de feeds: (is_success=false)
Imprima "Nenhum feed de IOC foi criado no Trellix Central Management!"

A ação precisa falhar e interromper a execução de um playbook:

se erro fatal, como credenciais incorretas, sem conexão com o servidor, outro:

Imprima "Erro ao executar a ação "Adicionar feed de IOC". Motivo: {0}''.format(error.Stacktrace)

 Geral

Excluir feed de IOC

Descrição

Exclua o feed de IOC na Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do feed String N/A Sim Especifique o nome do feed que precisa ser excluído.

Executar em

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 e o feedName não for encontrado na lista (is_success = true): "O feed '{0}' foi excluído com sucesso no Trellix Central Management!".

if status code 200 and feedName was found in the list for last request (is_success = false): "Action wasn't able to delete feed '{0}' in Trellix Central Management.

Se inicialmente o nome do feed não existir "Não foi possível excluir o feed de IOC na Trellix Central Management". Motivo: o feed "{feed_name}" não foi encontrado.

A ação precisa falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Excluir feed de IOC". Motivo: {0}''.format(error.Stacktrace)

 Geral

Listar e-mails em quarentena

Descrição

Listar e-mails em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Horário de início String N/A Não Se especificado, somente os e-mails criados após o horário de início serão retornados. Se os horários de início e término não forem especificados, a ação vai retornar os e-mails em quarentena das últimas 24 horas. Formato: AAAA-MM-DD'T'HH:MM:SS.SSS-HHMM
Horário de término String N/A Não Se especificado, somente os e-mails criados antes do horário de término serão retornados. Se os horários de início e término não forem especificados, a ação vai retornar os e-mails em quarentena das últimas 24 horas. Formato: AAAA-MM-DD'T'HH:MM:SS.SSS-HHMM
Filtro de remetente String N/A Não Se especificado, retorna todos os e-mails em quarentena apenas deste remetente.
Filtro de assunto String N/A Não Se especificado, retorna todos os e-mails em quarentena apenas com esse assunto.
Número máximo de e-mails a serem retornados String 50 Não Especifique quantos e-mails serão retornados. O limite é 10.000. Essa é uma limitação do Trellix Central Management.
Executar em

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "x-x-x-x-x",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxx2@xxxx-xxx.xxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]
Painel de casos
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se os dados estiverem disponíveis (is_success = true): "Successfully listed Trellix Central Management quarantined emails!"

Se não houver dados disponíveis (is_success = true): "Nenhum e-mail em quarentena foi encontrado no Trellix Central Management!"

A ação vai falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Listar e-mails em quarentena". Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela do painel de casos

Nome:e-mails em quarentena

Colunas:

  • Remetente
  • Assunto
  • Concluído em
  • UUID do e-mail
  • ID da mensagem
  • ID da fila

Liberar e-mail em quarentena

Descrição

Libera o e-mail em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da fila String N/A Sim Especifique o ID da fila do e-mail que precisa ser liberado.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer liberar um e-mail em quarentena. Se nada for especificado aqui, a ação tentará encontrar o sensor automaticamente.

Executar em

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 e a resposta estiver vazia (is_success = true): "O e-mail em quarentena do Trellix Central Management foi liberado com sucesso com o ID da fila {0}!".

if status code 200 and response is not empty (is_success = false): "Email with queue id {0} was not released. Motivo: {1}".

A ação vai falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Liberar e-mail em quarentena". Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação "Liberar e-mail em quarentena". Motivo: o sensor do appliance FireEye EX não foi encontrado. Forneça manualmente no parâmetro "Nome do sensor".''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação "Liberar e-mail em quarentena". Motivo: não foi encontrado o sensor com o nome {0} para o appliance FireEye EX. Verifique a ortografia.''.format(error.Stacktrace)

 Geral

Baixar e-mail em quarentena

Descrição

Baixe o e-mail em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da fila String N/A Sim Especifique o ID da fila do e-mail que precisa ser baixado.
Caminho da pasta de download String N/A Sim Especifique o caminho absoluto para a pasta em que a ação deve salvar os arquivos.
Substituir Caixa de seleção Sim Sim Se ativada, a ação vai substituir o arquivo existente com o mesmo caminho.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer baixar um e-mail em quarentena. Se nada for especificado aqui, a ação tentará encontrar o sensor automaticamente.

Executar em

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
file_path = {absolute file path to the file}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 e não houver XML (is_success = true): "O e-mail em quarentena do Trellix Central Management foi baixado com sucesso com o ID da fila {0}!".

if status code 200 and xml in the response (is_success = false): "Email with queue id {0} was not downloaded. Motivo: {1}".

A ação vai falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, entre outros: "Erro ao executar a ação "Fazer o download do e-mail em quarentena". Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação "Fazer o download do e-mail em quarentena". Motivo: o sensor do appliance FireEye EX não foi encontrado. Forneça manualmente no parâmetro "Nome do sensor".''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação "Fazer o download do e-mail em quarentena". Motivo: não foi encontrado o sensor com o nome {0} para o appliance FireEye EX. Verifique a ortografia.''.format(error.Stacktrace)

 Geral

Excluir e-mail em quarentena

Descrição

Excluir e-mail em quarentena. Requer o FireEye EX conectado ao Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da fila String N/A Sim Especifique o ID da fila do e-mail que precisa ser excluído.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer excluir um e-mail em quarentena. Se nada for especificado aqui, a ação tentará encontrar o sensor automaticamente.

Executar em

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um manual:
se o código de status for 200 e a resposta estiver vazia (is_success = true): "O e-mail em quarentena do Trellix Central Management foi excluído com sucesso com o ID da fila {0}!".

A ação precisa falhar e interromper a execução de um manual:

if status code 200 and response is not empty: "O e-mail com o ID da fila {0} não foi excluído. Motivo: {1}".

Se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Excluir e-mail em quarentena". Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação "Excluir e-mail em quarentena". Motivo: o sensor do appliance FireEye EX não foi encontrado. Forneça manualmente no parâmetro "Nome do sensor".''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação "Excluir e-mail em quarentena". Motivo: não foi encontrado o sensor com o nome {0} para o appliance FireEye EX. Verifique a ortografia.''.format(error.Stacktrace)

 Geral

Baixar artefatos de alerta

Descrição

Faça o download dos artefatos de alerta do Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
UUID do alerta String N/A Sim Especifique o UUID do alerta de onde precisamos baixar os artefatos.
Caminho da pasta de download String N/A Sim Especifique o caminho absoluto para a pasta em que a ação deve salvar os arquivos.
Substituir Caixa de seleção Selecionado Sim Se ativada, a ação vai substituir o arquivo existente com o mesmo caminho.

Executar em

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
file_path = {absolute file path to the file}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status 200 (is_success = true): "Os artefatos de alerta do Trellix Central Management foram baixados com sucesso com o ID de alerta {0}!".

Se o arquivo com esse caminho já existir (is_success = false): "Não foi possível fazer o download dos artefatos de alerta do Trellix Central Management com o ID de alerta {0}. Motivo: já existe um arquivo com esse caminho."

if status code 404 (is_success = false): "Artifacts for alert with uuid {0} were not found. ".

A ação precisa falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Fazer o download de artefatos de alerta". Motivo: {0}''.format(error.Stacktrace)

 Geral

Listar feeds de IOC

Descrição

Liste os feeds de IOC disponíveis no Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Máximo de feeds de IOC a serem retornados String 50 Não Especifique quantos feeds de IOCs retornar. O padrão é 50.

Executar em

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "customFeedInfo": [
        {
            "feedName": "ad",
            "status": "Feed processed",
            "feedType": "url",
            "uploadDate": "2020/10/13 10:32:28",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 3
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "adasdasdas",
            "status": "Feed processed",
            "feedType": "domain",
            "uploadDate": "2020/10/13 10:34:29",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 0
                },
                {
                    "contentType": "domain",
                    "feedCount": 3
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        },
        {
            "feedName": "qweqwe",
            "status": "Feed processed",
            "feedType": "ip",
            "uploadDate": "2020/10/13 10:16:31",
            "feedAction": "alert",
            "feedSource": "",
            "contentMeta": [
                {
                    "contentType": "ip",
                    "feedCount": 3
                },
                {
                    "contentType": "domain",
                    "feedCount": 0
                },
                {
                    "contentType": "url",
                    "feedCount": 0
                },
                {
                    "contentType": "hash",
                    "feedCount": 0
                }
            ]
        }
    ]
}
Painel de casos
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status 200 (is_success = true): "A listagem dos feeds de IOCs disponíveis no Trellix Central Management foi concluída com sucesso!".

Se nenhuma entrada for encontrada: "Nenhum feed de IOC foi encontrado no Trellix Central Management"

A ação precisa falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "List IOC Feeds". Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela do Painel de casos

Nome da tabela:feeds de IOC disponíveis

Colunas da tabela:

Nome

Status

Tipo

Ação

Comentário

Contagem de IPs

Contagem de URLs

Contagem de domínios

Contagem de hash

Data do upload

Geral

Adicionar regra ao arquivo de regras personalizadas

Descrição

Adicione uma nova regra ao arquivo de regras personalizadas no Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Regra String N/A Sim Especifique a regra que precisa ser adicionada ao arquivo de regras personalizadas.
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer adicionar uma nova regra. Se nada for especificado aqui, a ação tentará encontrar o sensor automaticamente.

Executar em

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status for 200 e o arquivo tiver sido atualizado (is_success = true): "A regra foi adicionada ao arquivo de regras personalizadas no dispositivo '{0}' no Trellix Central Management!".

se o código de status for 500 (is_success = false): "Não foi possível adicionar uma regra ao arquivo de regras personalizadas no Trellix Central Management. Motivo: {0}).

A ação precisa falhar e interromper a execução de um playbook
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Adicionar regra a regras personalizadas". Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação "Adicionar regra ao arquivo de regras personalizadas". Motivo: o sensor do appliance FireEye NX não foi encontrado. Forneça manualmente no parâmetro "Nome do sensor".''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação "Adicionar regra ao arquivo de regras personalizadas". Motivo: o sensor com o nome {0} para o appliance FireEye NX não foi encontrado. Verifique a ortografia.''.format(error.Stacktrace)

 Geral

Confirmar alerta

Descrição

Confirme o alerta no gerenciamento central da Trellix.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
UUID do alerta String N/A Sim Especifique o UUID do alerta que precisa ser confirmado.
Nota String N/A Sim Especifique a anotação que explica o motivo do reconhecimento.

Executar em

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se o código de status 200 (is_success = true): "Alerta do Trellix Central Management com ID {0} confirmado com sucesso!".

if status code 404 (is_success = false): "Não foi possível confirmar o alerta do Trellix Central Management com o ID {0}. Motivo: o alerta com o ID {0} não foi encontrado. ".

Se o código de status for 400 (is_success = false): "Não foi possível confirmar o alerta do Trellix Central Management com o ID {0}. Motivo: {1} ".

A ação precisa falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Confirmar alerta". Motivo: {0}''.format(error.Stacktrace)

 Geral

Baixar arquivo de regras personalizadas

Descrição

Faça o download do arquivo de regras personalizadas do Trellix Central Management.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do sensor String N/A Não Especifique o nome do sensor em que você quer adicionar uma nova regra. Se nada for especificado aqui, a ação tentará encontrar o sensor automaticamente.
Caminho da pasta de download String N/A Sim Especifique o caminho absoluto para a pasta em que o arquivo será baixado.
Substituir Caixa de seleção Selecionado Sim Se ativada, a ação vai substituir o arquivo existente com o mesmo caminho.

Executar em

A ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
File Path = "absolute path to the file"
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
if status code 200 (is_success = true): "Successfully downloaded custom rules file from appliance '{0}' in Trellix Central Management !".

Se o código de status for 500 ou 400 (is_success = false): "Não foi possível fazer o download do arquivo de regras personalizadas do appliance '{0}' no Trellix Central Management. Motivo: {1}".

A ação precisa falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Fazer o download do arquivo de regras personalizadas". Motivo: {0}''.format(error.Stacktrace)

Se o sensor não for encontrado automaticamente: "Erro ao executar a ação "Fazer o download do arquivo de regras personalizadas". Motivo: o sensor do appliance FireEye NX não foi encontrado. Forneça manualmente no parâmetro "Nome do sensor".''.format(error.Stacktrace)

Se um sensor inválido for fornecido: "Erro ao executar a ação "Fazer o download do arquivo de regras personalizadas". Motivo: o sensor com o nome {0} para o appliance FireEye NX não foi encontrado. Verifique a ortografia.''.format(error.Stacktrace)

 Geral

Conectores

Conector de alertas da FireEye CM

Descrição

O conector ingere alertas do Trellix Central Management no Google SecOps. Isso inclui alertas gerados pelos appliances FireEye NX e EX.

Configurar o conector de alertas do FireEye CM no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String sensor Sim Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento String eventType Sim Insira o nome do campo de origem para recuperar o nome do campo de evento.

Nome do campo de ambiente

 String "" Não

Descreve o nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.

Padrão de regex do ambiente

 String .* Não

Um padrão de regex a ser executado no valor encontrado no campo "Nome do campo de ambiente".

O padrão é ".*" para capturar tudo e retornar o valor sem alterações.

Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex.

Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite do script (segundos) Número inteiro 180 Sim Limite de tempo limite para o processo Python que executa o script atual.
Raiz da API String https://x.x.x.x:x Sim Raiz da API do servidor de gerenciamento central da Trellix.
Nome de usuário String N/A Sim Nome de usuário da conta do Trellix Central Management.
Senha Senha N/A Sim Senha da conta do Trellix Central Management.
Voltar o tempo máximo Número inteiro 1 Não Número de horas de onde buscar alertas.
Verificar SSL Caixa de seleção Selecionado Sim Se ativado, verifique se o certificado SSL da conexão com o servidor do Trellix Central Management é válido.
Usar a lista de permissões como uma lista de proibições Caixa de seleção Desmarcado Sim Se ativada, a lista de permissões será usada como uma lista de bloqueios.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String N/A Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha N/A Não A senha do proxy para autenticação.

Regras de conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.