FireEye NX
In diesem Dokument wird beschrieben, wie Sie FireEye NX in Google Security Operations einbinden.
Anwendungsbereiche
- Trellix Network Security-Benachrichtigungen aufnehmen, um damit Google Security Operations-Benachrichtigungen zu erstellen. Als Nächstes können in Google SecOps Benachrichtigungen verwendet werden, um Orchestrierungen mit Playbooks oder manuellen Analysen durchzuführen.
- Anreicherungsaktionen ausführen – Benachrichtigungsartefakte mit dem Trellix Netzwerksicherheit-Agent aus Google SecOps herunterladen.
FireEye NX-Integration in Google SecOps konfigurieren
Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.
Integrationsparameter
Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:
| Anzeigename des Parameters | Typ | Standardwert | Ist obligatorisch | Beschreibung |
|---|---|---|---|---|
| Instanzname | String | – | Nein | Name der Instanz, für die Sie die Integration konfigurieren möchten. |
| Beschreibung | String | – | Nein | Beschreibung der Instanz. |
| API-Stamm | String | https://x.x.x.x:<port> | Ja | API-Stamm des Trellix Netzwerksicherheit-Servers. |
| Nutzername | String | – | Ja | Nutzername des Trellix Netzwerksicherheit-Kontos. |
| Passwort | Passwort | – | Ja | Passwort des Trellix Network Security-Kontos. |
| SSL überprüfen | Kästchen | Aktiviert | Nein | Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Trellix Netzwerksicherheit-Server gültig ist. |
| Remote ausführen | Kästchen | Deaktiviert | Nein | Klicken Sie das Feld an, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt. |
Aktionen
Ping
Beschreibung
Testen Sie die Verbindung zu Trellix Netzwerksicherheit mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.
Parameter
–
Ausführen am
Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.
Aktionsergebnisse
Scriptergebnis
| Name des Skriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| is_success | Wahr/falsch | is_success:False |
Fall-Repository
| Ergebnistyp | Wert / Beschreibung | Typ |
|---|---|---|
| Ausgabenachricht* | Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn der Vorgang erfolgreich war: Geben Sie „Successfully connected to the Trellix Netzwerksicherheit server with the provided connection parameters!“ aus. Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn die Zahlung nicht erfolgreich ist: Geben Sie „Failed to connect to the Trellix Netzwerksicherheit server!“ aus. Error is {0}".format(exception.stacktrace) |
Allgemein |
Benachrichtigungsartefakte herunterladen
Beschreibung
Artefakte für Benachrichtigungen herunterladen
Parameter
| Anzeigename des Parameters | Typ | Standardwert | Ist obligatorisch | Beschreibung |
|---|---|---|---|---|
| UUID der Benachrichtigung | String | – | Ja | Geben Sie die UUID der Benachrichtigung an, von der Artefakte heruntergeladen werden sollen. |
| Downloadpfad | String | – | Ja | Geben Sie an, wo die Dateien gespeichert werden sollen. |
Ausführen am
Die Aktion wird nicht für Entitäten ausgeführt.
Aktionsergebnisse
Scriptergebnis
| Name des Skriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| is_success | Wahr/falsch | is_success:False |
Fall-Repository
| Ergebnistyp | Wert / Beschreibung | Typ |
|---|---|---|
| Ausgabenachricht* | Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: if status code 200 (is_success = true): Print "Successfully downloaded Trellix Network Security alert artifacts with alert id {0}!".format(alert uuid)
Geben Sie „Aktion konnte keine Trellix Netzwerksicherheit-Sicherheitswarnungsartefakte mit der Benachrichtigungs-ID {0} herunterladen. Grund: Eine Datei mit diesem Pfad ist bereits vorhanden.“ if status code 404 (is_success = false) : Gibt „Artefakte für die Benachrichtigung mit der UUID {0} wurden nicht gefunden. ".format(alert_uuid) Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegenden Fehlern, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Problemen: Geben Sie „Error executing action ‚Download Alert Artifacts‘“ aus. Reason: {0}''.format(error.Stacktrace) |
Allgemein |
IPS-Richtlinienausnahme hinzufügen
Beschreibung
Fügen Sie in Trellix Network Security eine IPS-Richtlinienausnahme hinzu.
Parameter
| Anzeigename des Parameters | Typ | Standardwert | Ist obligatorisch | Beschreibung |
|---|---|---|---|---|
| IP-Subnetz des Opfers | String | x.x.x.x/24 | Ja | Geben Sie das IP-Subnetz des Opfers an, das zum Erstellen einer neuen Richtlinienausnahme verwendet werden soll. Format: x.x.x.x/xx. Beispiel: 10.0.0.1/24 |
| Schnittstelle | DDL | ALLE Mögliche Werte A B C D ALLE |
Ja | Geben Sie an, welche Schnittstelle in Richtlinienausnahmen verwendet werden soll. |
| Modus | DLL | Blockieren Mögliche Werte Blockieren Blockierung aufheben Unterdrücken Unterdrücken – Blockierung aufheben |
Ja | Geben Sie den Modus an, der in der Richtlinienausnahme verwendet werden soll. |
| Name | String | – | Nein | Geben Sie den Namen für die Richtlinienausnahme an. Wenn nichts angegeben ist, werden durch die Aktion Richtlinienausnahmen mit dem folgenden Namen hinzugefügt: PRODUCT_NAME_INTERFACE_MODE. |
Ausführen am
Die Aktion wird für die IP-Entität ausgeführt.
Aktionsergebnisse
Scriptergebnis
| Name des Skriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| is_success | Wahr/falsch | is_success:False |
Fall-Repository
| Ergebnistyp | Wert / Beschreibung | Typ |
|---|---|---|
| Ausgabenachricht* | Die Aktion darf nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn eine oder mehrere Entitäten nicht funktioniert haben (Statuscode 400) (is success=true): „Die Aktion konnte keine IPS-Richtlinienausnahmen basierend auf den folgenden Entitäten hinzufügen:\n{0}“. Wenn keine der Entitäten funktioniert hat: „Es wurden keine IPS-Richtlinienausnahmen erstellt.“ |
Allgemein |
Connectors
FireEye NX – Connector für Benachrichtigungen
Beschreibung
Connector nimmt Trellix Network Security-Benachrichtigung in Google SecOps auf.
FireEye NX – Alerts-Connector in Google SecOps konfigurieren
Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.
Connector-Parameter
Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:
| Anzeigename des Parameters | Typ | Standardwert | Ist obligatorisch | Beschreibung |
|---|---|---|---|---|
| Produktfeldname | String | Produktname | Ja | Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen. |
| Name des Ereignisfelds | String | eventType | Ja | Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen. |
| Name des Umgebungsfelds | String | "" | Nein | Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung. |
| Regex-Muster für Umgebung | String | .* | Nein | Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung. |
| Zeitlimit für Script (Sekunden) | Ganzzahl | 180 | Ja | Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt. |
| API-Stamm | String | https://x.x.x.x:x | Ja | API-Stamm des Trellix Netzwerksicherheit-Servers. |
| Nutzername | String | – | Ja | Nutzername des Trellix Netzwerksicherheit-Kontos. |
| Passwort | Passwort | Ja | Passwort des Trellix Network Security-Kontos. | |
| Maximale Anzahl von Stunden rückwärts abrufen | Ganzzahl | 1 | Nein | Anzahl der Stunden, für die Meldungen abgerufen werden sollen. |
| SSL überprüfen | Kästchen | Aktiviert | Ja | Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Trellix Network Security-Server gültig ist. |
| Zulassungsliste als Sperrliste verwenden | Kästchen | Deaktiviert | Ja | Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet. |
| Proxyserveradresse | String | – | Nein | Die Adresse des zu verwendenden Proxyservers. |
| Proxy-Nutzername | String | – | Nein | Der Proxy-Nutzername für die Authentifizierung. |
| Proxy-Passwort | Passwort | – | Nein | Das Proxy-Passwort für die Authentifizierung. |
Connector-Regeln
Proxyunterstützung
Der Connector unterstützt Proxys.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten