FireEye ETP

Ce document explique comment intégrer FireEye ETP à Google Security Operations.

Cas d'utilisation

Ingérez les alertes Trellix Email Security – Cloud Edition et utilisez-les pour créer des alertes Google Security Operations. Ensuite, dans Google SecOps, les alertes peuvent être utilisées pour effectuer des orchestrations avec des playbooks ou une analyse manuelle.

Configurer l'intégration de FireEye ETP pour qu'elle fonctionne avec Google SecOps

Où trouver la clé API

  1. Accédez aux paramètres du compte.
  2. Sélectionnez la section "Clés API".
  3. Appuyez sur le bouton "Créer une clé API".
  4. Remplissez les champs obligatoires. Comme produit, choisissez "Email Threat Prevention".
  5. Appuyez sur le bouton "Suivant".
  6. Appuyez sur le bouton "Tout accorder".
  7. Appuyez sur le bouton "Créer une clé API".
  8. Copiez la clé API et collez-la dans le paramètre de configuration de l'intégration "Clé API".

Configurer l'intégration de FireEye ETP dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Racine de l'API Chaîne https://us.etp.trellix.com Oui Racine de l'API de l'instance FireEye ETP.
Clé API Chaîne N/A Non Clé API du compte FireEye ETP.
ID client Chaîne N/A Non ID client pour l'authentification OAuth Trellix IAM.
Code secret du client Mot de passe N/A Non Code secret du client pour l'authentification OAuth Trellix IAM.
Vérifier le protocole SSL Case à cocher Décochée Oui Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur FireEye ETP est valide.

Actions

Ping

Description

Testez la connectivité à Trellix Email Security – Cloud Edition avec les paramètres fournis sur la page de configuration de l'intégration dans la page Hub de contenus Google SecOps.

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
N/A

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True

Mur des cas

Type de résultat Valeur/Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
En cas de réussite : "Successfully connected to the Trellix Email Security - Cloud Edition server with the provided connection parameters!"

L'action doit échouer et arrêter l'exécution d'un playbook :
if not successful: "Failed to connect to the Trellix Email Security - Cloud Edition server! Error is {0}".format(exception.stacktrace)

 Général

Connecteur

Connecteur FireEye ETP – Alertes par e-mail

Description

Extraire les alertes de Trellix Email Security – Cloud Edition. Les alertes de Trellix Email Security - Cloud Edition sont regroupées en fonction de l'ID de l'e-mail dans une seule alerte Google SecOps.

Configurer le connecteur FireEye ETP - Alertes par e-mail dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom du champ de produit Chaîne Nom du produit Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne alertType Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ d'environnement Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.
Modèle d'expression régulière de l'environnement Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
Délai avant expiration du script (en secondes) Entier 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne https://us.etp.trellix.com Oui Racine de l'API de l'instance FireEye ETP.
Clé API Chaîne N/A Non Clé API du compte FireEye ETP.
ID client Chaîne N/A Non ID client pour l'authentification OAuth Trellix IAM.
Code secret du client Mot de passe N/A Non Code secret du client pour l'authentification OAuth Trellix IAM.
Récupérer le nombre maximal d'heures en arrière Integer 1 Non Nombre d'heures avant la première itération du connecteur pour récupérer les alertes.
Fuseau horaire Chaîne Non Fuseau horaire de l'instance. Par défaut : UTC.
Utiliser la liste d'autorisation comme liste de blocage Case à cocher Décochée Oui Si cette option est activée, la liste d'autorisation sera utilisée comme liste de blocage.
Vérifier le protocole SSL Case à cocher Décochée Oui Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur FireEye ETP est valide.
Adresse du serveur proxy Chaîne N/A Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne N/A Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe N/A Non Mot de passe du proxy pour l'authentification.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.