FireEye NX

Questo documento descrive come integrare FireEye NX con Google Security Operations.

Casi d'uso

  1. Importa gli avvisi di sicurezza di rete di Trellix per utilizzarli per creare avvisi di sicurezza di Google Security Operations. In Google SecOps, gli avvisi possono essere utilizzati per eseguire orchestrazioni con playbook o analisi manuali.
  2. Esegui azioni di arricchimento: scarica gli artefatti degli avvisi utilizzando l'agente Trellix Network Security da Google SecOps.

Configura l'integrazione di FireEye NX in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome istanza Stringa N/D No Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione Stringa N/D No Descrizione dell'istanza.
Root API Stringa https://x.x.x.x:<port> Sì Radice API del server Trellix Sicurezza di rete.
Nome utente Stringa N/D Sì Nome utente dell'account Trellix Network Security.
Password Password N/D Sì Password dell'account Trellix Network Security.
Verifica SSL Casella di controllo Selezionata No Se abilitata, verifica che il certificato SSL per la connessione al server Trellix Network Security sia valido.
Esegui da remoto Casella di controllo Deselezionata No Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Azioni

Dindin

Descrizione

Testa la connettività a Trellix Sicurezza di rete con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione ha esito positivo:

Stampa "Connessione al server Trellix Network Security riuscita con i parametri di connessione forniti".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

In caso contrario:

Stampa "Failed to connect to the Trellix Network Security server! Error is {0}".format(exception.stacktrace)

 Generale

Scarica gli artefatti degli avvisi

Descrizione

Scarica gli artefatti degli avvisi.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
UUID avviso Stringa N/D Sì Specifica l'UUID dell'avviso da cui dobbiamo scaricare gli artefatti.
Percorso di download Stringa N/D Sì Specifica dove l'azione deve salvare i file.

Esegui il

L'azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

if status code 200 (is_success = true):

Print "Successfully downloaded Trellix Network Security alert artifacts with alert id {0}!".format(alert uuid)


if status code 200 (is_success = true):

Stampa "L'azione non è riuscita a scaricare gli artefatti degli avvisi di sicurezza di Trellix Network Security con ID avviso {0}. Motivo: esiste già un file con questo percorso."

if status code 404 (is_success = false) :

Stampa "Impossibile trovare gli artefatti per l'avviso con UUID {0}. ".format(alert_uuid)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if fatal error, like wrong credentials, no connection to server, other:

Stampa "Errore durante l'esecuzione dell'azione "Scarica artefatti degli avvisi". Reason: {0}''.format(error.Stacktrace)

 Generale

Aggiungi eccezione alla policy IPS

Descrizione

Aggiungi un'eccezione alla policy IPS in Trellix Network Security.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Subnet IP della vittima Stringa x.x.x.x/24 Sì Specifica la subnet IP della vittima che deve essere utilizzata per creare una nuova eccezione della policy. Formato: x.x.x.x/xx. Esempio: 10.0.0.1/24
Interfaccia DDL

ALL

Valori possibili

A

B

C

D

ALL

 Sì Specifica l'interfaccia da utilizzare nelle eccezioni della policy.
Modalità DLL

Blocca

Valori possibili

Blocca

Sblocca

Sopprimi

Suppress-unblock

 Sì Specifica la modalità da utilizzare nell'eccezione della policy.
Nome Stringa N/D No Specifica il nome dell'eccezione alla policy. Se non viene specificato nulla, l'azione aggiunge eccezioni alle policy con il seguente nome: PRODUCT_NAME_INTERFACE_MODE.

Esegui il

L'azione viene eseguita sull'entità IP.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione del playbook:
se il codice di stato è 200 per almeno un'entità (success=true): "Eccezioni alla policy IPS aggiunte correttamente in Trellix sicurezza di rete in base alle seguenti entità: {0}!".

Se una o più entità non hanno funzionato (codice di stato 400) (is success=true): "L'azione non è stata in grado di aggiungere eccezioni alle policy IPS in base alle seguenti entità:\n{0}".

Se nessuna delle entità ha funzionato: "No IPS policy exception were created".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:
In caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Error executing action "Add IPS Policy Exception". Reason: {0}''.format(error.Stacktrace)

 Generale

Connettori

FireEye NX - Connettore per gli avvisi

Descrizione

Il connettore importa l'avviso di sicurezza di Trellix Network Security in Google SecOps.

Configura il connettore FireEye NX - Alerts in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa Nome prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa eventType Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Root API Stringa https://x.x.x.x:x Sì Radice API del server Trellix Sicurezza di rete.
Nome utente Stringa N/D Sì Nome utente dell'account Trellix Network Security.
Password Password Sì Password dell'account Trellix Network Security.
Numero massimo di ore di recupero indietro Numero intero 1 No Numero di ore da cui recuperare gli avvisi.
Verifica SSL Casella di controllo Selezionata Sì Se abilitata, verifica che il certificato SSL per la connessione al server Trellix Network Security sia valido.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se l'opzione è attiva, l'elenco dinamico verrà utilizzato come lista bloccata.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.