ForeScout CounterACT

Questo documento descrive come integrare FireEye NX con Google Security Operations.

Casi d'uso

Eseguire azioni di arricchimento.

Configura l'integrazione di ForeScout CounterACT in Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Root API Stringa

https://<indirizzo IP>

 Sì Root API ForeScout CounterACT
Nome utente Stringa N/D Sì Nome utente dell'API ForeScout CounterACT.
Password Password N/D Sì Password dell'API ForeScout CounterACT.
File del certificato CA Stringa N/D No File del certificato CA con codifica Base64.
Verifica SSL Casella di controllo Selezionata Sì Se abilitata, verifica che il certificato SSL per la connessione al server Armis sia valido.

Azioni

Dindin

Descrizione

Testa la connettività a ForeScout CounterACT con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se l'esito è positivo: "Connessione al server ForeScout CounterACT riuscita con i parametri di connessione forniti"

L'azione non deve andare a buon fine e deve interrompere l'esecuzione di un playbook:
se non va a buon fine: "Impossibile connettersi al server ForeScout CounterACT! Error is {0}".format(exception.stacktrace)

 Generale

Arricchisci le entità

Descrizione

Arricchisci le entità utilizzando le informazioni di ForeScout CounterACT. Entità supportate: IP, indirizzo MAC.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Crea insight Casella di controllo Selezionata No Se abilitata, l'azione creerà insight contenenti informazioni di arricchimento.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Indirizzo IP
  • Indirizzo MAC

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
        "ip": "172.30.202.30",
        "mac": "005056a2196c",
        "fields": {
            "channel": {
                "timestamp": 1623834301,
                "value": "eth1.-1"
            },
            "nmap_banner7": [
                {
                    "timestamp": 1623834430,
                    "value": "80/tcp Apache httpd 2.4.6 (CentOS)"
                },
                {
                    "timestamp": 1623834430,
                    "value": "22/tcp OpenSSH 7.4 protocol 2.0"
                }
            ],
            "onsite": {
                "timestamp": 1623834301,
                "value": "true"
            },
            "classification_source_os": {
                "timestamp": 1623838175,
                "value": "engine"
            },
            "linux_manage": {
                "timestamp": 1623838175,
                "value": "false"
            },
            "access_ip": {
                "timestamp": 1623838175,
                "value": "172.30.202.30"
            },
            "classification_source_vendor": {
                "timestamp": 1623838175,
                "value": "engine"
            },
            "mac_vendor_string": {
                "timestamp": 1623834302,
                "value": "VMWARE, INC."
            },
            "openports": [
                {
                    "timestamp": 1623834384,
                    "value": "22/TCP"
                },
                {
                    "timestamp": 1623834397,
                    "value": "161/UDP"
                },
                {
                    "timestamp": 1623834384,
                    "value": "80/TCP"
                }
            ]
        },
        "id": 2887698974
}
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicare
ip Se disponibile in JSON
mac Se disponibile in JSON
onsite Se disponibile in JSON
guest_corporate_state Se disponibile in JSON
fingerprint Se disponibile in JSON
vendor Se disponibile in JSON
classificazione Se disponibile in JSON
agent_version Se disponibile in JSON
online Se disponibile in JSON
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

The action should not fail nor stop a playbook execution:
if enriched some(is_success = true): "Successfully enriched the following entities using ForeScout CounterACT:\n".format(entity.identifier)

If didn't enrich some (is_success = true): "Action wasn't able to enrich the following entities using ForeScout CounterACT:\n".format(entity.identifier)

Se non sono state arricchite tutte le entità (is_success = false): "Nessuna entità è stata arricchita".

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
in caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella entità Le stesse colonne della tabella di arricchimento, ma senza prefisso. Entità

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.