FireEye NX

Ce document explique comment intégrer FireEye NX à Google Security Operations.

Cas d'utilisation

  1. Ingérez les alertes Trellix Network Security pour les utiliser afin de créer des alertes Google Security Operations. Ensuite, dans Google SecOps, les alertes peuvent être utilisées pour effectuer des orchestrations avec des playbooks ou une analyse manuelle.
  2. Effectuer des actions d'enrichissement : télécharger des artefacts d'alerte à l'aide de l'agent Trellix Sécurité réseau depuis Google SecOps.

Configurer l'intégration de FireEye NX dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom de l'instance Chaîne N/A Non Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description Chaîne N/A Non Description de l'instance.
Racine de l'API Chaîne https://x.x.x.x:<port> Oui Racine de l'API du serveur Trellix Network Security.
Nom d'utilisateur Chaîne N/A Oui Nom d'utilisateur du compte Trellix Network Security.
Mot de passe Mot de passe N/A Oui Mot de passe du compte Trellix Network Security.
Vérifier le protocole SSL Case à cocher Cochée Non Si cette option est activée, vérifie que le certificat SSL de la connexion au serveur Trellix Sécurité réseau est valide.
Exécuter à distance Case à cocher Décochée Non Cochez le champ pour exécuter l'intégration configurée à distance. Une fois cette option cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Ping

Description

Testez la connectivité à Trellix Network Security avec les paramètres fournis sur la page de configuration de l'intégration dans la page Google SecOps Content Hub.

Paramètres

N/A

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit :

Affichez "Successfully connected to the Trellix Sécurité réseau server with the provided connection parameters!"

L'action doit échouer et arrêter l'exécution d'un playbook :

Si l'opération échoue :

Affichez "Échec de la connexion au serveur de sécurité réseau Trellix ! Error is {0}".format(exception.stacktrace)

 Général

Télécharger les artefacts d'alerte

Description

Téléchargez les artefacts d'alerte.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
UUID de l'alerte Chaîne N/A Oui Spécifiez l'UUID de l'alerte à partir duquel nous devons télécharger les artefacts.
Chemin de téléchargement Chaîne N/A Oui Spécifiez l'emplacement où l'action doit enregistrer les fichiers.

Exécuter sur

L'action n'est pas exécutée sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if status code 200 (is_success = true):

print("Successfully downloaded Trellix Network Security alert artifacts with alert id {0}!".format(alert uuid))


if status code 200 (is_success = true):

Afficher "L'action n'a pas pu télécharger les artefacts d'alerte Trellix Network Security avec l'ID d'alerte {0}. Motif : un fichier portant ce chemin d'accès existe déjà."

if status code 404 (is_success = false) :

Print "Artifacts for alert with uuid {0} were not found. ".format(alert_uuid)

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to server, other:

Affichez "Erreur lors de l'exécution de l'action "Télécharger les artefacts d'alerte". Reason: {0}''.format(error.Stacktrace)

 Général

Ajouter une exception à la règle IPS

Description

Ajoutez une exception à la règle IPS dans Trellix Network Security.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
Sous-réseau IP de la victime Chaîne x.x.x.x/24 Oui Spécifiez le sous-réseau IP de la victime à utiliser pour créer une exception de règle. Format : x.x.x.x/xx. Exemple : 10.0.0.1/24
Interface LDD

TOUT

Valeurs possibles

A

B

C

D

TOUT

 Oui Spécifiez l'interface à utiliser dans les exceptions de stratégie.
Mode DLL

Bloquer

Valeurs possibles

Bloquer

Débloquer

Supprimer

Suppress-unblock

 Oui Spécifiez le mode à utiliser dans l'exception à la règle.
Nom Chaîne N/A Non Spécifiez le nom de l'exception à la règle. Si rien n'est spécifié, l'action ajoute des exceptions de stratégie portant le nom suivant : PRODUCT_NAME_INTERFACE_MODE.

Exécuter sur

L'action s'exécute sur l'entité IP.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si le code d'état est 200 pour au moins une entité (is success=true) : "Successfully added IPS policy exceptions in Trellix Network Security based on the following entities: {0}!".

Si une ou plusieurs entités n'ont pas fonctionné (code d'état 400) (is success=true) : "L'action n'a pas pu ajouter d'exceptions à la règle IPS en fonction des entités suivantes :\n{0}".

Si aucune des entités n'a fonctionné : "No IPS policy exception were created".

L'action doit échouer et arrêter l'exécution d'un playbook :
En cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Add IPS Policy Exception". Reason: {0}''.format(error.Stacktrace)

 Général

Connecteurs

FireEye NX – Connecteur d'alertes

Description

Le connecteur ingère l'alerte de sécurité réseau Trellix dans Google SecOps.

Configurer le connecteur FireEye NX - Alerts dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom du champ de produit Chaîne Nom du produit Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne eventType Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ d'environnement Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.
Modèle d'expression régulière de l'environnement Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
Délai avant expiration du script (en secondes) Entier 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne https://x.x.x.x:x Oui Racine de l'API du serveur Trellix Network Security.
Nom d'utilisateur Chaîne N/A Oui Nom d'utilisateur du compte Trellix Network Security.
Mot de passe Mot de passe Oui Mot de passe du compte Trellix Network Security.
Récupérer le nombre maximal d'heures en arrière Integer 1 Non Nombre d'heures dans le passé à partir desquelles récupérer les alertes.
Vérifier le protocole SSL Case à cocher Cochée Oui Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur Trellix Network Security est valide.
Utiliser la liste d'autorisation comme liste de blocage Case à cocher Décochée Oui Si cette option est activée, la liste dynamique sera utilisée comme liste de blocage.
Adresse du serveur proxy Chaîne N/A Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne N/A Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe N/A Non Mot de passe du proxy pour l'authentification.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec les proxys.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.