McAfee ePO

Ce document explique comment intégrer McAfee ePO à Google SecOps.

Configurer l'intégration de McAfee ePO dans Google Security Operations

Configurer l'intégration de McAfee ePO avec un certificat CA

Si nécessaire, vous pouvez valider votre connexion à l'aide d'un fichier de certificat CA.

Avant de commencer, assurez-vous de disposer des éléments suivants :

  • Le fichier de certificat CA
  • La dernière version de l'intégration McAfee ePO

Pour configurer l'intégration avec un certificat CA, procédez comme suit :

  1. Analysez votre fichier de certificat CA dans une chaîne Base64.
  2. Ouvrez la page des paramètres de configuration de l'intégration.
  3. Insérez la chaîne dans le champ Fichier de certificat CA.
  4. Pour vérifier que l'intégration est correctement configurée, cochez la case Verify SSL (Vérifier SSL), puis cliquez sur Test (Tester).

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom de l'instance Chaîne N/A Non Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description Chaîne N/A Non Description de l'instance.
Adresse du serveur Chaîne https://<ServerAddress>:8443/remote/ Oui Adresse du serveur Trellix ePO. Exemple : https://127.0.0.1:8443/remote/
Nom d'utilisateur Chaîne N/A Oui Nom d'utilisateur pour l'authentification du serveur.
Mot de passe Mot de passe N/A Oui Mot de passe pour l'authentification du serveur.
Nom du groupe Chaîne N/A Non Nom du groupe.
Fichier de certificat CA : analysé en chaîne Base64 Chaîne N/A Non N/A
Exécuter à distance Case à cocher Décochée Non Cochez le champ pour exécuter l'intégration configurée à distance. Une fois cette option cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Ajouter un tag

Description

Ajoutez un tag à un point de terminaison dans Trellix ePO. Remarque : Vous ne pouvez appliquer que des tags qui existent dans le système. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

Paramètre Type Valeur par défaut Est obligatoire Description
Nom du tag Chaîne N/A Oui Spécifiez le nom du tag à ajouter aux points de terminaison.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Résultat JSON
N/A
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

Si l'une des opérations réussit (is_success=true) :

Le tag "{tag name}" a bien été ajouté aux points de terminaison suivants dans

Trellix ePO : {entity.identifier}

Si le tag fait déjà partie du point de terminaison (is_success=true) :

Le tag "{tag}" faisait déjà partie des points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération échoue pour l'un d'eux (is_success=true)

L'action n'a pas pu ajouter le tag "{tag name}" aux points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération n'aboutit pas pour tous (is_success=false) :

Le tag "{tag}" n'a pas été ajouté aux points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Ajouter un tag". Motif : {traceback}

Si la balise n'est pas valide (échec)

Erreur lors de l'exécution de l'action "Ajouter un tag". Motif : le tag "{tag name}" est introuvable dans Trellix ePO.

 Général

Comparer les DAT du serveur et de l'agent

Description

Récupérez les informations DAT du serveur et de l'agent à partir des points de terminaison dans Trellix ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

N/A

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer
Alert.DstPort Renvoie si elle existe dans le résultat JSON
Rule.msg Renvoie si elle existe dans le résultat JSON
Alert.IPSIDAlertID Renvoie si elle existe dans le résultat JSON
Alert.SrcIP Renvoie si elle existe dans le résultat JSON
Alert.LastTime Renvoie si elle existe dans le résultat JSON
Alert.Protocol Renvoie si elle existe dans le résultat JSON
Alert.SrcPort Renvoie si elle existe dans le résultat JSON
Alert.DstIP Renvoie si elle existe dans le résultat JSON
Insights

N/A

Résultat du script
Nom du résultat du script Options de valeur Exemple
null N/A N/A
Résultat JSON
{

"server_version": {server_version}

"dat_version": {dat_version}

"equal": true → if server_version == dat_version, else false

}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

if success for one

Les informations DAT sur le serveur et l'agent ont bien été récupérées à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for one

L'action n'a pas pu récupérer les informations DAT du serveur et de l'agent à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for all

Aucune information sur les DAT du serveur et de l'agent n'a été trouvée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Comparer le serveur et le DAT de l'agent". Motif : {traceback}

 Général

Obtenir des informations sur l'agent

Description

Récupérez des informations sur les agents du point de terminaison à partir de Trellix ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

N/A

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer
EPO_LastUpdate Renvoie si elle existe dans le résultat JSON
EPO_ManagedState Renvoie si elle existe dans le résultat JSON
EPO_Tags Renvoie si elle existe dans le résultat JSON
EPO_ExcludedTags Renvoie si elle existe dans le résultat JSON
EPO_AgentVersion Renvoie si elle existe dans le résultat JSON
EPO_AgentGUID Renvoie si elle existe dans le résultat JSON
Insights

N/A

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Résultat JSON
[
    {
        "EntityResult":
        {
            "LastUpdate": "2019-01-22T13:04:49+02:00",
            "ManagedState": "1",
            "Tags": "Server, Workstation",
            "ExcludedTags": "",
            "AgentVersion": "1.1.1.1",
            "AgentGUID": "F673D1DF-786C-41E5-A84D-1676A39F7AE8"
        },
        "Entity": "1.1.1.1"
    }
]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

Si l'une des opérations réussit (is_success=true) :

Les informations sur l'agent concernant les points de terminaison suivants ont bien été récupérées dans Trellix ePO : {entity.identifier}

Si l'opération échoue pour l'un d'eux (is_success=true)

L'action n'a pas pu récupérer les informations de l'agent concernant les points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération n'aboutit pas pour tous (is_success=false) :

Aucune information sur l'agent n'a été trouvée pour les hôtes fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Obtenir des informations sur l'agent". Motif : {traceback}

 Général

Obtenir la version de Dat

Description

Récupérez les informations DAT des points de terminaison dans Trellix ePO. Entités acceptées : nom d'hôte, adresse IP.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
Version de Dat N/A N/A
Résultat JSON
{
"DAT_version": {DAT version}
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

if success for one

Les informations DAT ont bien été récupérées à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for one

L'action n'a pas pu récupérer les informations DAT des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for all

Aucune information sur le DAT n'a été trouvée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Obtenir la version de Dat". Motif : {traceback}

 Général

Obtenir les événements pour le hachage

Description

Récupérez des informations sur les événements liés aux hachages. Remarque : Seuls les hachages MD5 sont acceptés.

Paramètres

Nom Type Valeur par défaut Is Mandatory Description
Récupérer les événements de la table EPExtendedEvent Case à cocher Décochée Non Si cette option est activée, l'action utilisera également la table "EPExtendedEvent" pour trouver des informations sur les hachages.
Marquer comme suspect Case à cocher Oui Faux Si cette option est activée, l'action marquera comme suspects tous les hachages pour lesquels des événements ont été trouvés.
Créer un insight Case à cocher Non Faux Si cette option est activée, l'action crée un insight contenant des informations sur les hachages auxquels des événements sont associés.
Champs à renvoyer CSV

EPOEvents.ThreatName,
EPOEvents.ThreatType,
EPOEvents.ThreatActionTaken,
EPOEvents.ThreatHandled,
EPOEvents.ThreatCategory
,EPOEvents.TargetHostName,
EPOEvents.TargetUserName,
EPOEvents.TargetFileName,
EPOEvents.TargetProcessName,
EPOEvents.TargetPort,EPOEvents.
TargetProtocol,EPOEvents.
ThreatCategory,EPOEvents.
TargetIPV4,EPOEvents.
SourceHostName,EPOEvents.
SourceIPV4,EPOEvents.
SourceUserName,EPOEvents.
SourceProcessName,EPOEvents.
SourceURL

 Faux Spécifiez les champs à renvoyer. Si rien n'est spécifié, l'action renvoie tous les champs disponibles.
Champ de tri Chaîne N/A Faux Spécifiez le champ à utiliser pour trier les résultats.
Ordre de tri LDD

ASC

Valeurs possibles :

ASC

DESC

 Faux Spécifiez l'ordre de tri à appliquer à la requête.
Période LDD

La dernière heure

Valeurs possibles :

La dernière heure

Les 6 dernières heures

Dernières 24 heures

La semaine dernière

Le mois dernier

Personnalisé

 Faux Spécifiez une période pour les événements. Si vous sélectionnez "Personnalisé", vous devez également indiquer une "heure de début".
Heure de début Chaîne N/A Faux Spécifiez l'heure de début des événements. Ce paramètre est obligatoire si "Personnalisé" est sélectionné pour le paramètre "Période". Format : ISO 8601
Heure de fin Chaîne N/A Faux Spécifiez l'heure de fin des événements. Format : ISO 8601. Si aucune valeur n'est fournie et que "Personnalisé" est sélectionné pour le paramètre "Période", ce paramètre utilisera l'heure actuelle.
Nombre maximal d'événements à renvoyer Integer 50 Faux Spécifiez le nombre d'événements à renvoyer. Valeur par défaut : 50.

Exécuter sur

Cette action s'exécute sur l'entité Filehash.

Résultats de l'action

Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer
EPOEvents.ThreatCategory Renvoie si elle existe dans le résultat JSON
EPOEvents.TargetUserName Renvoie si elle existe dans le résultat JSON
EPOEvents.TargetPort Renvoie si elle existe dans le résultat JSON
EPOEvents.TargetFileName Renvoie si elle existe dans le résultat JSON
EPOEvents.TargetIPV4 Renvoie si elle existe dans le résultat JSON
EPO_AgentGUID Renvoie si elle existe dans le résultat JSON
Insights

Un insight sera créé pour les événements trouvés dans Trellix ePO pour le hachage actuel.

Résultat JSON
[
    {
        "EntityResult":
        [
            {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }, {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }],
        "Entity": "44d88612fea8a8f36de82e1278abb02f"
    }
]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

Si l'opération réussit et que des résultats sont disponibles (is_success=true)

"Les événements disponibles pour les hachages suivants ont bien été renvoyés dans Trellix ePO : {entity.identifier}"

Si l'opération échoue pour l'un d'eux : (is_success=true)

"L'action n'a pas pu trouver d'événements pour les hachages suivants dans Trellix ePO : {entity.identifier}"

Si l'opération échoue pour tous (is_success=false) :

"Aucun événement n'a été trouvé pour les points de terminaison fournis dans Trellix ePO."

En cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur ou autre (échec) : "Error executing action "Get Endpoint Threats". Reason: {0}''.format(error.Stacktrace)

Si la réponse contient une erreur (échec) : "Error executing action "Execute Entity Query". Reason: {0}''.format( response text)

Si l'heure de début est vide, lorsque "Période" est défini sur "Personnalisée" (échec) : "Erreur lors de l'exécution de l'action "Obtenir les menaces sur les points de terminaison". Motif : "Heure de début" doit être indiqué lorsque "Personnalisé" est sélectionné dans le paramètre "Période"."

 Général

Obtenir l'état des adresses IP de l'hôte

Description

Récupérez les informations IPS des points de terminaison dans Trellix ePO. Entités acceptées : nom d'hôte, adresse IP.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_status_received Vrai/Faux is_status_received:False
Résultat JSON
{
"IPS_status": {IPS_status}
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

if success for one

Les informations IPS ont bien été récupérées à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for one

L'action n'a pas pu récupérer les informations IPS des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for all

Aucune information sur les IPS n'a été trouvée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Obtenir l'état de l'IPS de l'hôte". Motif : {traceback}

 Général

Obtenir l'état des adresses IP du réseau hôte

Description

Récupérez les informations Network IPS à partir des points de terminaison dans Trellix ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_status_received Vrai/Faux is_status_received:False
Résultat JSON
{
"Network_IPS_status": {Network_IPS_status}
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

if success for one

Les informations sur les IPS réseau ont bien été récupérées à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for one

L'action n'a pas pu récupérer les informations Network IPS à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for all

Aucune information sur Network IPS n'a été trouvée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Obtenir l'état de l'IPS du réseau hôte". Motif : {traceback}

 Général

Obtenir l'heure de la dernière communication

Description

Récupérez les informations sur l'heure de la dernière communication à partir des points de terminaison dans Trellix ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

N/A

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités

N/A

Insights

N/A

Résultat du script
Nom du résultat du script Options de valeur Exemple
isSuccess Vrai/Faux isSuccess:False
Résultat JSON
{
"last_communication_time": {last_communication_time}
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

if success for one

Les informations sur l'heure de la dernière communication ont bien été récupérées à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for one

L'action n'a pas pu récupérer les informations sur l'heure de la dernière communication à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for all

Aucune information sur l'heure de la dernière communication n'a été trouvée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Obtenir l'heure de la dernière communication". Motif : {traceback}

 Général

Obtenir la version de l'agent McAfee ePO

Description

Récupérez des informations sur la version de l'agent à partir des points de terminaison dans Trellix ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

N/A

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités

N/A

Insights

N/A

Résultat du script
Nom du résultat du script Options de valeur Exemple
Version de l'agent McAfee N/A N/A
Résultat JSON
{
"ePO_agent_version": ePO_agent_version
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

if success for one

Les informations sur la version de l'agent ont bien été récupérées à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for one

L'action n'a pas pu récupérer les informations sur la version de l'agent à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for all

Aucune information sur la version de l'agent n'a été trouvée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Obtenir l'heure de la dernière communication". Motif : {traceback}

 Général

Obtenir des informations système

Description

Renvoie des informations système sur les points de terminaison à partir de Trellix ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

Paramètre Type Valeur par défaut Est obligatoire Description
Créer un insight Case à cocher Case cochée Si cette option est activée, l'action crée un insight contenant des informations sur le point de terminaison.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer
FreeDiskSpace Renvoie si elle existe dans le résultat JSON
Nom d'utilisateur Renvoie si elle existe dans le résultat JSON
DomainName Renvoie si elle existe dans le résultat JSON
LastAgentHandler Renvoie si elle existe dans le résultat JSON
IPV4x Renvoie si elle existe dans le résultat JSON
OSBitMode Renvoie si elle existe dans le résultat JSON
IPV6 Renvoie si elle existe dans le résultat JSON
OSType Renvoie si elle existe dans le résultat JSON
SysvolFreeSpace Renvoie si elle existe dans le résultat JSON
IPHostName Renvoie si elle existe dans le résultat JSON
CPUSerialNum Renvoie si elle existe dans le résultat JSON
IPSubnetMask Renvoie si elle existe dans le résultat JSON
SysvolTotalSpace Renvoie si elle existe dans le résultat JSON
IPSubnet Renvoie si elle existe dans le résultat JSON
Description Renvoie si elle existe dans le résultat JSON
FreeMemory Renvoie si elle existe dans le résultat JSON
CPUSpeed Renvoie si elle existe dans le résultat JSON
SubnetMask Renvoie si elle existe dans le résultat JSON
IPAddress Renvoie si elle existe dans le résultat JSON
DefaultLangID Renvoie si elle existe dans le résultat JSON
OSPlatform Renvoie si elle existe dans le résultat JSON
NetAddress Renvoie si elle existe dans le résultat JSON
TotalDiskSpace Renvoie si elle existe dans le résultat JSON
SubnetAddress Renvoie si elle existe dans le résultat JSON
NumOfCPU Renvoie si elle existe dans le résultat JSON
TimeZone Renvoie si elle existe dans le résultat JSON
SystemDescription Renvoie si elle existe dans le résultat JSON
VDI Renvoie si elle existe dans le résultat JSON
OSBuildNum Renvoie si elle existe dans le résultat JSON
OSVersion Renvoie si elle existe dans le résultat JSON
IsPortable Renvoie si elle existe dans le résultat JSON
TotalPhysicalMemory Renvoie si elle existe dans le résultat JSON
IPXAddress Renvoie si elle existe dans le résultat JSON
UserProperty7 Renvoie si elle existe dans le résultat JSON
ParentID Renvoie si elle existe dans le résultat JSON
CPUType Renvoie si elle existe dans le résultat JSON
Insights

N/A

Résultat JSON
[
    {
        "EntityResult":
        {
            "FreeDiskSpace": "444316",
            "UserName": "Admin",
            "OSServicePackVer": " ",
            "DomainName": "WORKGROUP",
            "LastAgentHandler": "1",
            "IPV4x": "-1979711239",
            "OSBitMode": "1",
            "IPV6": "0:0:0:0:0:FFFF:A00:F9",
            "OSType": "Windows Server 2012 R2",
            "SysvolFreeSpace": "94782",
            "IPHostName": "McAfee-ePO",
            "CPUSerialNum": "N/A",
            "IPSubnetMask": "0:0:0:0:0:FFFF:FFFF:FE00",
            "SysvolTotalSpace": "161647",
            "IPSubnet": "0:0:0:0:0:FFFF:A00:0",
            "Description": "None",
            "FreeMemory": "1626767360",
            "CPUSpeed": "2400",
            "SubnetMask": " ",
            "IPAddress": "1.1.1.1",
            "DefaultLangID": "0409",
            "OSPlatform": "Server",
            "ComputerName": "MCAFEE-EPO",
            "OSOEMID": "00252-00112-26656-AA653",
            "NetAddress": "005056A56847",
            "TotalDiskSpace": "511646",
            "SubnetAddress": " ",
            "NumOfCPU": "4",
            "TimeZone": "Jerusalem Standard Time",
            "SystemDescription": "N/A",
            "Vdi": "0",
            "OSBuildNum": "9600",
            "OSVersion": "6.3",
            "IsPortable": "0",
            "TotalPhysicalMemory": "6441984000",
            "IPXAddress": "N/A",
            "UserProperty7": " ",
            "UserProperty6": " ",
            "UserProperty5": " ",
            "UserProperty4": " ",
            "UserProperty3": " ",
            "UserProperty2": " ",
            "UserProperty1": " ",
            "ParentID": "8",
            "CPUType": "Intel(R) Xeon(R) CPU E5-2630 v3 @ 2.40GHz",
            "UserProperty8": " "
        },
        "Entity": "1.1.1.1"
    }
]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

Si l'opération réussit pour l'un d'eux (is_success=true) :

Les informations système sur les points de terminaison suivants ont bien été récupérées depuis Trellix ePO : {entity.identifier}

Si l'opération échoue pour l'un d'eux (is_success=true) :

L'action n'a pas pu récupérer les informations système sur les points de terminaison suivants à partir de Trellix ePO : {entity.identifier}

Si l'opération échoue pour tous (is_success=false)

Aucune information système n'a été trouvée sur les points de terminaison fournis.

Si l'erreur est critique :

Erreur lors de l'exécution de l'action "Obtenir des informations système". Motif : {error.traceback}

 Général

Obtenir la version de l'agent du moteur antivirus

Description

Récupérez les informations sur la version de l'agent Virus Engine à partir des points de terminaison dans McAfee ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
Version de l'agent du moteur antivirus N/A N/A
Résultat JSON
{
"Virus_Engine_Agent_version": {Virus_engine_agent_version}
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

if success for one

Les informations sur la version de l'agent Virus Engine ont bien été récupérées à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for one

L'action n'a pas pu récupérer les informations sur la version de l'agent Virus Engine à partir des points de terminaison suivants dans Trellix ePO : {entity.identifier}

if not success for all

Aucune information sur la version de l'agent Virus Engine n'a été trouvée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Obtenir la version de l'agent du moteur antivirus". Motif : {traceback}

 Général

Ping

Description

Testez la connectivité à Trellix ePO avec les paramètres fournis sur la page de configuration de l'intégration dans la page Google SecOps Content Hub.

Paramètres

N/A

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Enrichissement d'entités

N/A

Insights

N/A

Résultat du script
Nom du résultat du script Options de valeur Exemple
null N/A N/A
Résultat JSON
N/A

Supprimer le tag

Description

Supprimez un tag d'un point de terminaison dans Trellix ePO. Entités compatibles : nom d'hôte, adresse IP.

Paramètres

Paramètre Type Valeur par défaut Est obligatoire Description
Nom du tag Chaîne N/A Oui Spécifiez le nom du tag à supprimer des points de terminaison.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Résultat JSON
N/A
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

Si l'une des opérations réussit (is_success=true) :

Le tag "{tag name}" a bien été supprimé des points de terminaison suivants

dans Trellix ePO : {entity.identifier}

Si le tag ne fait pas partie du point de terminaison (is_success=true) :

Le tag "{tag}" ne faisait pas partie des points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération échoue pour l'un d'eux (is_success=true)

L'action n'a pas pu supprimer le tag "{tag name}" des points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération n'aboutit pas pour tous (is_success=false) :

Le tag "{tag}" n'a pas été supprimé des points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Supprimer le tag". Motif : {traceback}

Si la balise n'est pas valide (échec)

Erreur lors de l'exécution de l'action "Supprimer le tag". Motif : le tag "{tag name}" est introuvable dans Trellix ePO.

 Général

Effectuer une analyse complète

Description

Exécutez une analyse complète sur les points de terminaison fournis dans Trellix ePO. Entités acceptées : nom d'hôte, adresse IP.

Paramètres

Paramètre Type Valeur par défaut Est obligatoire Description
Nom de la tâche Chaîne Analyse à la demande – Analyse complète Oui Spécifiez la tâche à exécuter pour obtenir une analyse complète.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
RunTask_Status N/A N/A
Résultat JSON
{
"status": "success" or "failure"
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

Si un seul des deux est réussi :

L'analyse complète basée sur la tâche "{task name}" a bien été exécutée sur les points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération échoue pour l'un d'eux :

L'action n'a pas pu exécuter l'analyse complète basée sur la tâche "{task name}" sur les points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération n'aboutit pas pour tous :

L'analyse complète n'a pas été exécutée sur les points de terminaison fournis.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Exécuter une analyse complète". Motif : {error traceback}

si la tâche est introuvable (échec) :

Erreur lors de l'exécution de l'action "Exécuter une analyse complète". Motif : La tâche "{task name}" est introuvable dans Trellix ePO. Veuillez vérifier l'orthographe.

 Général

Mettre à jour l'agent McAfee

Description

Mettez à jour l'agent McAfee sur les points de terminaison fournis dans Trellix ePO. Tâche pour Windows : DAT_Update_Windows_CWS. Tâche pour Linux : DAT_Update_Linux_CWS. Entités acceptées : nom d'hôte, adresse IP.

Paramètres

Paramètre Type Valeur par défaut Est obligatoire Description
Nom de la tâche Chaîne DAT_Update_Windows_CWS Oui Spécifiez la tâche à exécuter pour mettre à jour l'agent McAfee. La valeur par défaut pour Windows est DAT_Update_Windows_CWS. Pour Linux, il s'agit de DAT_Update_Linux_CWS.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • Adresse IP
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités

N/A

Insights

N/A

Résultat du script
Nom du résultat du script Options de valeur Exemple
Update_Status N/A N/A
Résultat JSON
{
"status": "success" or "failure"
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

Si un seul des deux est réussi :

Les agents ont bien été mis à jour en fonction de la tâche "{task name}" sur les points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération échoue pour l'un d'eux :

L'action n'a pas pu mettre à jour l'agent en fonction de la tâche "{task name}" sur les points de terminaison suivants dans Trellix ePO : {entity.identifier}

Si l'opération n'aboutit pas pour tous :

Aucun agent n'a été mis à jour.

En cas d'erreur critique (échec) :

Erreur lors de l'exécution de l'action "Mettre à jour l'agent McAfee". Motif : {error traceback}

si la tâche est introuvable (échec) :

Erreur lors de l'exécution de l'action "Mettre à jour l'agent McAfee". Motif : La tâche "{task name}" est introuvable dans Trellix ePO. Veuillez vérifier l'orthographe.

 Général

Connecteur

McAfee EPO - Threats Connector

Description

Extraire des événements de la table EPOEvents dans Google SecOps. La liste d'autorisation fonctionne avec les noms d'analyseurs.

Configurer le connecteur McAfee EPO - Threats dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Is Mandatory Description
Nom du champ de produit Chaîne Nom du produit Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne EPOEvents_ThreatType Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ d'environnement Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.
Modèle d'expression régulière de l'environnement Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
Délai avant expiration du script (en secondes) Entier 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne http://x.x.x.x:8443/remote/ Oui Racine de l'API de l'instance Trellix ePO.
Nom d'utilisateur Chaîne N/A Oui Nom d'utilisateur de l'instance Trellix ePO.
Mot de passe Mot de passe Oui Mot de passe de l'instance Trellix ePO.
Nom du groupe Chaîne Non Si ce paramètre est fourni, le connecteur ne récupère que les menaces provenant des points de terminaison faisant partie de ce groupe.
Nombre maximal d'heures en arrière Entier 1 Non Nombre d'heures dans le passé à partir desquelles récupérer les événements.
Nombre maximal d'événements à récupérer Integer 10 Non Nombre d'événements à traiter par itération de connecteur. Par défaut : 10.
Gravité la plus faible à récupérer Chaîne Moyenne Non

Gravité la plus faible des événements à récupérer. Par défaut, le connecteur ingère tous les événements. Valeurs possibles :

Info, Faible, Moyen, Élevé, Critique.
Utiliser la liste d'autorisation comme liste de blocage Case à cocher Cochée Oui Si cette option est activée, la liste d'autorisation sera utilisée comme liste de blocage.
Vérifier le protocole SSL Case à cocher Décochée Oui Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur Trellix ePO est valide.
Fichier de certificat CA Chaîne N/A Faux Fichier de certificat CA encodé en base64.
Adresse du serveur proxy Chaîne N/A Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne N/A Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe Non Mot de passe du proxy pour l'authentification.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec les proxys.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.