McAfee ATD

Integrationsversion: 11.0

Wichtig :McAfee ATD ist jetzt Teil des Trellix-Produktportfolios und wurde in Trellix ATD umbenannt.

McAfee ATD-Integration in Google Security Operations konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Aktionen

Hash prüfen

Beschreibung

Prüfen, ob ein Hash auf der Sperrliste steht

Parameter

–

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für die Filehash-Entität ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_blacklisted	Wahr/falsch	is_blacklisted:False

JSON-Ergebnis

[{
   "EntityResult": true,
   "Entity": "ebdd035084968f675ee1510519dd8319"
}]

Analyzer-Profile abrufen

Beschreibung

Daten aus Trellix ATD-Analyzer-Profilen abrufen.

Parameter

–

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[{
   "overrideOS": 0,
   "logZip": 0,
   "family": 0,
   "default64OSName": "",
   "artimas": 0,
   "yararules": 0,
   "xMode": 0,
   "consoleLog": 0,
   "sophosAV": 0,
   "defaultVM": 0,
   "userLog": 0,
   "filePassword1": "",
   "dnnEnable": 0,
   "recusiveAnalysis": 0,
   "imageid": 0,
   "vmDesc": "Only Down Selectors",
   "heuristic": 0,
   "netdriveZip": 0,
   "ssKeyid": 1,
   "gtiTS": 1,
   "ssAPIid": 1,
   "pe32": 0,
   "createTime": "2012-12-01 02:16:01",
   "locBlackList": 1,
   "openarchive": 1,
   "yaraScan": 0,
   "runtimeArgument": "",
   "dumpZip": 0,
   "userid": 1,
   "filePassword": "",
   "internet": 0,
   "default32OSName": "",
   "lastChange": "2018-08-20 01:04:37",
   "summary": 1,
   "maxExecTime": 180,
   "asm": 0,
   "ntvLog": 0,
   "name": "Analyzer Profile 1",
   "reAnalysis": 1,
   "noPDF": 0,
   "flp": 0,
   "mfeAV": 1,
   "aviraAV": 0,
   "vmProfileid": 1,
   "gam": 1,
   "gml": 0,
   "netLog": 0,
   "sandbox": 0,
   "dropZip": 0,
   "selectedOSName": "",
   "minExecTime": 5,
   "ssLevelid": 1,
   "gtiURLRep": 0,
   "customrules": 0,
   "locWhiteList": 0
}]

Bericht abrufen

Beschreibung

Bericht für Aufgaben-IDs abrufen

Parameter

Parameter	Typ	Standardwert	Beschreibung
Aufgaben-IDs	String	–	Die IDs der Aufgaben, für die Berichte abgerufen werden sollen, durch Kommas getrennt.
Insight erstellen	Boolesch	Aktiviert	Wenn diese Option aktiviert ist, wird durch die Aktion ein Insight mit allen abgerufenen Informationen zum Bericht erstellt.

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Aktionsergebnisse

Statistiken

–

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
Bericht	Wahr/falsch	report:False

JSON-Ergebnis

{
  "95":
   {
     "Summary":
       {
         "JSONversion": "1.002",
         "SubmitterName": "User",
         "Subject":
            {
              "Name": "events.txt",
              "Timestamp": "2018-08-21 08:29:48",
              "FileType": "2",
              "sha-256": "74834D752D73B4C81EAD10184A091C12AA30BD809D575FD9CFA07B0EBBD7A0D7", "sha-1": "6BDA9FCFB56CE2B34168D499EE04970F640ADD9A",
              "parent_archive": "Not Available",
              "md5": "11FBEF3A9916BF50EC5002B5795B23C3",
              "Type": "ASCII text",
              "size": "481231"
            },
        "Process":
          [{
             "Reason": "processed by down selectors",
             "Name": "events.txt",
             "Severity": "0"
           }],
        "Data":
           {
             "compiled_with": "Not Available",
             "analysis_seconds": "181",
             "sandbox_analysis": "0"
           },
        "SUMversion": "1.1.1.1",
        "JobId": "95",
        "SubmitterType": "STAND_ALONE",
        "Behavior": ["Identified as --- by GTI File Reputation", "Identified as --- by Anti-Malware"],
        "hasDynamicAnalysis": "false",
        "TaskId": "95",
        "Verdict":
          {
             "Severity": "0",
             "Description": "No malicious activity was detected, but this does NOT mean that execution of the sample is safe"
           },
        "OSversion": "StaticAnalysis",
        "Selectors":
          [{
             "Engine": "GTI File Reputation",
             "Severity": "0",
             "MalwareName": "---"
            },
           {
             "Engine": "Anti-Malware",
             "Severity": "0",
             "MalwareName": "---"
            },
           {
             "Engine": "Sandbox",
             "Severity": "0",
             "MalwareName": "---"
           }],
        "MISversion": "1.1.1.1",
        "DETversion": "1.1.1.1"
     }
   }
}

Ping

Beschreibung

Prüfen Sie, ob der Nutzer über sein Gerät eine Verbindung zu Trellix ATD hat.

Parameter

–

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

Datei einreichen

Beschreibung

Reichen Sie eine Datei zur Analyse ein.

Parameter

Parameter	Typ	Standardwert	Beschreibung
Dateipfade	String	–	Die Pfade der einzureichenden Datei, durch Kommas getrennt.
Analyzer-Profil-ID	String	–	Die ID des Analyzer-Profils, das für die Analyse verwendet werden soll.

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
task_id	Wahr/falsch	task_id:False

JSON-Ergebnis

{
    "C:\\temp\\test.txt\": 95
}

URL senden

Beschreibung

Reichen Sie eine URL zur Analyse ein.

Parameter

Parameter	Typ	Standardwert	Beschreibung
Analyzer-Profil-ID	String	–	Die ID des Analysetools, mit dem die URLs analysiert werden sollen. Sie finden sie in ATD im Abschnitt „Policy Analyzer-Profil“.
Insight erstellen	Boolesch	Aktiviert	Wenn diese Option aktiviert ist, wird durch die Aktion ein Insight mit allen abgerufenen Informationen zur Entität erstellt.

Ausführen am

Diese Aktion wird für die URL-Entität ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann anwenden?
Zusammenfassung	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
Bericht	Wahr/falsch	report:False

JSON-Ergebnis

[{
   "EntityResult":
     {
       "Summary":
          {
            "JSONversion": "1.002",
            "SubmitterName": "User",
            "Subject":
               {
                 "sha-1": "6BDA9FCFB56CE2B34168D499EE04970F640ADD9A",
                 "Timestamp": "2018-08-21 08:29:48",
                 "FileType": "2",
                 "sha-256": "74834D752D73B4C81EAD10184A091C12AA30BD809D575FD9CFA07B0EBBD7A0D7",
                 "parent_archive": "Not Available",
                 "Name": "events.txt",
                 "md5": "11FBEF3A9916BF50EC5002B5795B23C3",
                 "Type": "ASCII text",
                 "size": "481231"
               },
           "Process":
              [{
                "Reason": "processed by down selectors",
                "Name": "events.txt",
                "Severity": "0"
              }],
            "Data":
               {
                 "compiled_with": "Not Available",
                 "analysis_seconds": "181",
                 "sandbox_analysis": "0"
               },
            "SUMversion": "1.1.1.1",
            "JobId": "95",
            "SubmitterType": "STAND_ALONE",
            "Behavior":
              ["Identified as --- by GTI File Reputation",
               "Identified as --- by Anti-Malware"],
           "hasDynamicAnalysis": "false",
           "TaskId": "95",
           "Verdict":
              {
                 "Description": "No malicious activity was detected, but this does NOT mean that execution of the sample is safe",
                 "Severity": "0"
               },
           "OSversion": "StaticAnalysis",
           "Selectors":
             [{
                "Engine": "GTI File Reputation",
                "Severity": "0",
                "MalwareName": "---"
               },
              {
                "Engine": "Anti-Malware",
                "Severity": "0",
                "MalwareName": "---"
               },
              {
                "Engine": "Sandbox",
                "Severity": "0",
                "MalwareName": "---"
              }],
          "MISversion": "1.1.1.1",
          "DETversion": "1.1.1.1"
         }
     },
  "Entity": "http://google.com"
}]

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten