FireEye EX

Dokumen ini menjelaskan cara mengintegrasikan FireEye EX dengan Google Security Operations.

Kasus Penggunaan Produk

  1. Menyerap pemberitahuan Trellix Email Security - Server Edition untuk digunakan dalam membuat pemberitahuan Google Security Operations. Selanjutnya, di Google SecOps, pemberitahuan dapat digunakan untuk melakukan orkestrasi dengan playbook atau analisis manual.
  2. Melakukan tindakan pengayaan - mendapatkan data dari Trellix Email Security - Server Edition untuk memperkaya data di Notifikasi Google SecOps.
  3. Melakukan tindakan aktif - merilis/menghapus email menggunakan agen Trellix Email Security - Server Edition dari Google SecOps.

Mengonfigurasi integrasi FireEye EX di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Nama Instance String T/A Tidak Nama Instance yang ingin Anda konfigurasi integrasinya.
Deskripsi String T/A Tidak Deskripsi Instance.
Root API String https://<address>:\<port> Ya Root API server Trellix Email Security - Server Edition.
Nama pengguna String T/A Ya Nama pengguna akun Trellix Email Security - Server Edition.
Sandi Sandi T/A Ya Sandi akun Trellix Email Security - Server Edition.
Verifikasi SSL Kotak centang Dicentang Ya Jika diaktifkan, setelan ini akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server Trellix Email Security - Server Edition valid.
Menjalankan dari Jarak Jauh Kotak centang Tidak dicentang Tidak Centang kolom untuk menjalankan integrasi yang dikonfigurasi dari jarak jauh. Setelah dicentang, opsi akan muncul untuk memilih pengguna jarak jauh (agen).

Tindakan

Ping

Deskripsi

Uji konektivitas ke Trellix Email Security - Server Edition dengan parameter yang disediakan di halaman konfigurasi integrasi di halaman Google SecOps Content Hub.

Parameter

T/A

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Mencantumkan Email yang Dikarantina

Deskripsi

Mencantumkan email yang dikarantina.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Waktu Mulai String T/A Tidak Jika ditentukan, hanya email yang dibuat setelah waktu mulai yang akan ditampilkan. Jika Waktu Mulai dan Waktu Berakhir tidak ditentukan, tindakan akan menampilkan email yang dikarantina dari 24 jam terakhir. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Waktu Berakhir String T/A Tidak

Jika ditentukan, hanya email yang dibuat sebelum waktu berakhir yang akan ditampilkan. Jika Waktu Mulai dan Waktu Berakhir tidak ditentukan, tindakan akan menampilkan email yang dikarantina dari 24 jam terakhir. Format: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
Filter Pengirim String T/A Tidak Jika ditentukan, akan menampilkan semua email yang dikarantina hanya dari pengirim ini.
Filter Subjek String T/A Tidak Jika ditentukan, hanya akan menampilkan semua email yang dikarantina dengan subjek ini.
Jumlah Email Maksimum yang Akan Ditampilkan String T/A Tidak Tentukan jumlah email yang akan ditampilkan. Batasnya adalah 10.000. Ini adalah batasan Trellix Email Security - Server Edition.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False
Hasil JSON
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "9de3a94f-5ef6-46c7-b6d3-7d4f8c964925",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]

Melepaskan Email yang Dikarantina

Deskripsi

Merilis email yang dikarantina.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
ID Antrean String T/A Ya Tentukan ID antrean email yang perlu dirilis.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Menghapus Email yang Dikarantina

Deskripsi

Hapus email yang dikarantina.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
ID Antrean String T/A Ya Tentukan ID antrean email yang perlu dihapus.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Mendownload Email yang Dikarantina

Deskripsi

Mendownload email yang dikarantina.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
ID Antrean String T/A Ya Tentukan ID antrean email yang perlu didownload.
Jalur Download String T/A Tidak Tentukan tempat tindakan harus menyimpan file. Jika tidak ada yang ditentukan, tindakan tidak akan menyimpan file di disk.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Mendownload Artefak Pemberitahuan

Deskripsi

Mendownload artefak pemberitahuan.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Deskripsi
UUID pemberitahuan String T/A Ya Tentukan UUID pemberitahuan tempat kita perlu mendownload artefak.
Jalur Download String T/A Tidak Tentukan tempat tindakan harus menyimpan file. Jika tidak ada yang ditentukan, tindakan tidak akan menyimpan file di disk.

Dijalankan Pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip
Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar/Salah is_success:False

Konektor

FireEye EX - Alerts Connector

Mengonfigurasi FireEye EX - Alerts Connector di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi konektor di Google SecOps, lihat Mengonfigurasi konektor.

Parameter konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Nama Kolom Produk String Nama Produk Ya Masukkan nama kolom sumber untuk mengambil nama Kolom Produk.
Nama Kolom Peristiwa String eventType Ya Masukkan nama kolom sumber untuk mengambil nama Kolom Peristiwa.
Nama Kolom Lingkungan String "" Tidak

Menjelaskan nama kolom tempat nama lingkungan disimpan.

Jika kolom lingkungan tidak ditemukan, lingkungan tersebut adalah lingkungan default.
Pola Regex Lingkungan String .* Tidak

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom "Nama Kolom Lingkungan".

Defaultnya adalah .* untuk menangkap semua dan menampilkan nilai yang tidak berubah.

Digunakan untuk mengizinkan pengguna memanipulasi kolom lingkungan melalui logika ekspresi reguler.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik) Bilangan bulat 180 Ya Batas waktu tunggu untuk proses python yang menjalankan skrip saat ini.
Root API String https://x.x.x.x:x Ya Root API server Trellix Email Security - Server Edition.
Nama pengguna String T/A Ya Nama pengguna akun Trellix Email Security - Server Edition.
Sandi Sandi Ya Sandi akun Trellix Email Security - Server Edition.
Ambil Jam Maksimum Mundur Bilangan bulat 1 Tidak

Jumlah jam untuk mengambil pemberitahuan. Nilai maksimum yang didukung adalah 48.

Ini adalah batasan Trellix Email Security - Server Edition.
Verifikasi SSL Kotak centang Dicentang Ya Jika diaktifkan, verifikasi bahwa sertifikat SSL untuk koneksi ke server SonicWall valid.
Alamat Server Proxy String Tidak Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy String Tidak Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy Sandi Tidak Sandi proxy untuk autentikasi.

Aturan Konektor

Dukungan Proxy

Konektor mendukung proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.