FireEye EX

このドキュメントでは、FireEye EX を Google Security Operations と統合する方法について説明します。

プロダクトのユースケース

  1. Trellix Email Security - Server Edition のアラートを取り込み、それらを使用して Google Security Operations のアラートを作成します。次に、Google SecOps でアラートを使用して、ハンドブックまたは手動分析でオーケストレーションを実行できます。
  2. 拡張アクションの実行 - Trellix Email Security - Server Edition からデータを取得して、Google SecOps アラートのデータを拡充します。
  3. アクティブなアクションを実行する - Google SecOps から Trellix Email Security - Server Edition エージェントを使用してメールをリリースまたは削除します。

Google SecOps で FireEye EX の統合を構成する

Google SecOps で統合を構成する手順の詳細については、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
インスタンス名 文字列 なし いいえ 統合を構成するインスタンスの名前。
説明 文字列 なし いいえ インスタンスの説明。
API ルート 文字列 https://<address>:\<port> ○ Trellix Email Security - Server Edition サーバーの API ルート。
ユーザー名 文字列 なし ○ Trellix Email Security - Server Edition アカウントのユーザー名。
パスワード パスワード なし ○ Trellix Email Security - Server Edition アカウントのパスワード。
SSL を確認する チェックボックス オン ○ 有効になっている場合は、Trellix Email Security - Server Edition サーバーへの接続用の SSL 証明書が有効であることを確認します。
リモートで実行 チェックボックス オフ いいえ 構成した統合をリモートで実行するには、フィールドのチェックボックスをオンにします。オンにすると、リモート ユーザー（エージェント）を選択するオプションが表示されます。

アクション

Ping

説明

[Google Security Operations Marketplace] タブの統合構成ページで提供されるパラメータを使用して、Trellix Email Security - Server Edition への接続をテストします。

パラメータ

なし

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False

検疫済みメールの一覧表示

説明

検疫されたメールを一覧表示します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
開始時刻 文字列 なし × 指定した場合、開始時刻以降に作成されたメールのみが返されます。[Start Time] と [End Time] が指定されていない場合、アクションは過去 24 時間以内に隔離されたメールを返します。形式: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
終了時刻 文字列 なし ×

指定した場合、終了時刻より前に作成されたメールのみが返されます。[Start Time] と [End Time] が指定されていない場合、アクションは過去 24 時間以内に隔離されたメールを返します。形式: YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM
送信者フィルタ 文字列 なし × 指定した場合、この送信者からの隔離されたメールのみがすべて返されます。
件名フィルタ 文字列 なし × 指定した場合、この件名のみの隔離されたメールがすべて返されます。
返されるメールの最大数 文字列 なし × 返されるメールの数を指定します。上限 は 10,000 これは Trellix Email Security - Server Edition の制限です。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "completed_at": "2020-06-09T08:21:17",
        "email_uuid": "9de3a94f-5ef6-46c7-b6d3-7d4f8c964925",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
        "subject": "qwe",
        "message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
        "from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
        "queue_id": "49h33n3HZczxNgc"
    },
    {
        "completed_at": "2020-06-09T08:21:42",
        "email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
        "quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
        "subject": "rew",
        "message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
        "from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
        "queue_id": "49h34G5TVczxNgg"
    }
]

検疫済みのメールを解放する

説明

検疫済みのメールを解放します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
キュー ID 文字列 なし ○ リリースする必要があるメールのキュー ID を指定します。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False

検疫されたメールを削除する

説明

検疫されたメールを削除します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
キュー ID 文字列 なし ○ 削除する必要があるメールのキュー ID を指定します。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False

Download Quarantined Email

説明

検疫されたメールをダウンロードします。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
キュー ID 文字列 なし ○ ダウンロードする必要があるメールのキュー ID を指定します。
ダウンロード パス 文字列 なし × アクションでファイルを保存する場所を指定します。何も指定しない場合、アクションはファイルをディスクに保存しません。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False

アラート アーティファクトをダウンロードします

説明

アラート アーティファクトをダウンロードします。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
アラート UUID 文字列 なし ○ アーティファクトをダウンロードする必要があるアラートの UUID を指定します。
ダウンロード パス 文字列 なし × アクションでファイルを保存する場所を指定します。何も指定しない場合、アクションはファイルをディスクに保存しません。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False

コネクタ

FireEye EX - アラート コネクタ

Google SecOps で FireEye EX - アラート コネクタを構成する

Google SecOps でコネクタを構成する方法の詳細については、コネクタの構成をご覧ください。

コネクタ パラメータ

次のパラメータを使用してコネクタを構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
プロダクト フィールド名 文字列 プロダクト名 ○ ソース フィールド名を入力してプロダクト フィールド名を取得します。
イベント フィールド名 文字列 eventType ○ ソース フィールド名を入力してイベント フィールド名を取得します。
環境フィールド名 文字列 "" いいえ

環境名が保存されるフィールドの名前を記述します。

環境フィールドがない場合、その環境がデフォルトの環境です。
環境の正規表現パターン 文字列 .* いいえ

[環境フィールド名] フィールドで見つかった値に対して実行する正規表現パターン。

デフォルトは、すべてキャッチして値を変更せずに返す .* です。

ユーザーが正規表現ロジックで環境フィールドを操作できるようにするために使用されます。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
スクリプトのタイムアウト（秒） 整数 180 はい 現在のスクリプトを実行している Python プロセスのタイムアウト上限。
API ルート 文字列 https://x.x.x.x:x ○ Trellix Email Security - Server Edition サーバーの API ルート。
ユーザー名 文字列 なし ○ Trellix Email Security - Server Edition アカウントのユーザー名。
パスワード パスワード ○ Trellix Email Security - Server Edition アカウントのパスワード。
遡る取得の最大時間数 整数 1 ×

アラートを取得する時点からの時間数。サポートされている最大値は 48 です。

これは Trellix Email Security - Server Edition の制限です。
SSL を確認する チェックボックス オン ○ 有効になっている場合は、SonicWall サーバーへの接続用の SSL 証明書が有効であることを確認します。
プロキシ サーバーのアドレス 文字列 いいえ 使用するプロキシ サーバーのアドレス。
プロキシのユーザー名 文字列 いいえ 認証に使用するプロキシのユーザー名。
プロキシ パスワード パスワード いいえ 認証に使用するプロキシ パスワード。

コネクタ ルール

プロキシのサポート

コネクタでプロキシがサポートされます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。