FireEye EX

Wichtig: FireEye und McAfee Enterprise haben sich zu Trellix zusammengeschlossen. FireEye EX wurde in Trellix Email Security – Server Edition umbenannt.

In diesem Dokument wird beschrieben, wie Sie FireEye EX in Google Security Operations einbinden.

Anwendungsfälle für Produkte

1. Sie können Trellix Email Security – Server Edition-Benachrichtigungen aufnehmen, um damit Google Security Operations-Benachrichtigungen zu erstellen. Als Nächstes können in Google SecOps Benachrichtigungen verwendet werden, um Orchestrierungen mit Playbooks oder manuellen Analysen durchzuführen.
2. Anreicherungsaktionen ausführen – Daten aus Trellix Email Security – Server Edition abrufen, um Daten in Google SecOps-Benachrichtigungen anzureichern.
3. Aktive Aktionen ausführen – E‑Mails mit dem Trellix Email Security – Server Edition-Agenten aus Google SecOps freigeben/löschen.

FireEye EX-Integration in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Instanzname	String	–	Nein	Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung	String	–	Nein	Beschreibung der Instanz.
API-Stamm	String	https://<address>:\<port>	Ja	API-Stamm des Trellix Email Security – Server Edition-Servers.
Nutzername	String	–	Ja	Nutzername des Trellix Email Security – Server Edition-Kontos.
Passwort	Passwort	–	Ja	Das Passwort des Trellix Email Security – Server Edition-Kontos.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Trellix Email Security – Server Edition-Server gültig ist.
Remote ausführen	Kästchen	Deaktiviert	Nein	Klicken Sie das Feld an, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Hinweis: Sie können später bei Bedarf Änderungen vornehmen. Nach der Konfiguration können die Instanzen in Playbooks verwendet werden. Ausführliche Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Trellix Email Security – Server Edition mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

E‑Mails in Quarantäne auflisten

Beschreibung

E‑Mails in Quarantäne auflisten

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Beginn	String	–	Nein	Wenn angegeben, werden nur E‑Mails zurückgegeben, die nach dem Startzeitpunkt erstellt wurden. Wenn „Beginn“ und „Ende“ nicht angegeben sind, werden die in den letzten 24 Stunden in Quarantäne verschobenen E‑Mails zurückgegeben. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Ende	String	–	Nein	Wenn angegeben, werden nur E‑Mails zurückgegeben, die vor dem Endzeitpunkt erstellt wurden. Wenn „Beginn“ und „Ende“ nicht angegeben sind, werden die in den letzten 24 Stunden in Quarantäne verschobenen E‑Mails zurückgegeben. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Absenderfilter	String	–	Nein	Wenn angegeben, werden alle in Quarantäne befindlichen E-Mails nur von diesem Absender zurückgegeben.
Betreff-Filter	String	–	Nein	Wenn angegeben, werden alle E‑Mails in Quarantäne nur mit diesem Betreff zurückgegeben.
Maximale Anzahl zurückzugebender E‑Mails	String	–	Nein	Geben Sie an, wie viele E-Mails zurückgegeben werden sollen. Das Limit beträgt 10.000. Dies ist eine Einschränkung von Trellix Email Security – Server Edition.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "9de3a94f-5ef6-46c7-b6d3-7d4f8c964925",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "[e-mail]",
        "from": "[e-mail]",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "[e-mail]",
        "from": "[e-mail]",
        "queue_id": "49h34G5TVczxNgg"
    }
]

E‑Mail aus der Quarantäne freigeben

Beschreibung

Gibt E‑Mails aus der Quarantäne frei.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Warteschlangen-ID	String	–	Ja	Geben Sie die Warteschlangen-ID der E‑Mail an, die freigegeben werden soll.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

E‑Mails in Quarantäne löschen

Beschreibung

Löschen Sie die unter Quarantäne gestellte E‑Mail.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Warteschlangen-ID	String	–	Ja	Geben Sie die Warteschlangen-ID der E‑Mail an, die gelöscht werden soll.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

E‑Mail in Quarantäne herunterladen

Beschreibung

E‑Mails in Quarantäne herunterladen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Warteschlangen-ID	String	–	Ja	Geben Sie die Warteschlangen-ID der E‑Mail an, die heruntergeladen werden soll.
Downloadpfad	String	–	Nein	Geben Sie an, wo die Dateien gespeichert werden sollen. Wenn nichts angegeben ist, wird die Datei nicht auf dem Laufwerk gespeichert.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Benachrichtigungsartefakte herunterladen

Beschreibung

Artefakte für Benachrichtigungen herunterladen

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
UUID der Benachrichtigung	String	–	Ja	Geben Sie die UUID der Benachrichtigung an, von der Artefakte heruntergeladen werden sollen.
Downloadpfad	String	–	Nein	Geben Sie an, wo die Dateien gespeichert werden sollen. Wenn nichts angegeben ist, wird die Datei nicht auf dem Laufwerk gespeichert.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Connectors

FireEye EX – Alerts Connector

FireEye EX – Alerts-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	Produktname	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds	String	eventType	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	.*	Nein	Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden)	Ganzzahl	180	Ja	Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm	String	https://x.x.x.x:x	Ja	API-Stamm des Trellix Email Security – Server Edition-Servers.
Nutzername	String	–	Ja	Nutzername des Trellix Email Security – Server Edition-Kontos.
Passwort	Passwort		Ja	Passwort des Trellix Email Security – Server Edition-Kontos.
Maximale Anzahl von Stunden rückwärts abrufen	Ganzzahl	1	Nein	Anzahl der Stunden, für die Meldungen abgerufen werden sollen. Der maximal unterstützte Wert ist 48. Dies ist die Einschränkung von Trellix Email Security – Server Edition.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum SonicWall-Server gültig ist.
Proxyserveradresse	String		Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String		Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort		Nein	Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten