McAfee ePO

במאמר הזה מוסבר איך לשלב את McAfee ePO עם Google SecOps.

הגדרת השילוב של McAfee ePO ב-Google Security Operations

הגדרת השילוב של McAfee ePO עם אישור CA

במקרה הצורך, אתם יכולים לאמת את החיבור באמצעות קובץ אישור CA.

לפני שמתחילים, חשוב לוודא שהתנאים הבאים מתקיימים:

  • קובץ אישור ה-CA
  • הגרסה העדכנית של השילוב של McAfee ePO

כדי להגדיר את השילוב עם אישור CA, מבצעים את השלבים הבאים:

  1. מנתחים את קובץ אישור ה-CA למחרוזת Base64.
  2. פותחים את דף הפרמטרים של הגדרות השילוב.
  3. מזינים את המחרוזת בשדה קובץ אישור CA.
  4. כדי לבדוק שהשילוב הוגדר בהצלחה, מסמנים את התיבה Verify SSL ולוחצים על Test.

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר לה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
כתובת השרת String https://<ServerAddress>:8443/remote/ כן כתובת השרת של Trellix ePO. דוגמה: https://127.0.0.1:8443/remote/‎
שם משתמש String לא רלוונטי כן שם המשתמש לאימות השרת.
סיסמה סיסמה לא רלוונטי כן הסיסמה לאימות השרת.
שם קבוצה String לא רלוונטי לא שם הקבוצה.
קובץ אישור CA – מנותח למחרוזת Base64 String לא רלוונטי לא לא רלוונטי
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

פעולות

הוסף תג

תיאור

מוסיפים תג לנקודת קצה ב-Trellix ePO. הערה: אפשר להחיל רק תגים שקיימים במערכת. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
שם התג String לא רלוונטי כן מציינים את שם התג שצריך להוסיף לנקודות הקצה.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם התגובה הצליחה (is_success=true):

התג "{tag name}" נוסף לנקודות הקצה הבאות ב-

‫Trellix ePO:‏ {entity.identifier}

אם התג כבר חלק מנקודת הקצה: (is_success=true):

התג "{tag}" כבר היה חלק מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא התקבלה תגובת הצלחה (is_success=true)

הפעולה לא הצליחה להוסיף את התג "{tag name}" לנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל התגובות הצליחו (is_success=false):

התג "{tag} לא נוסף לנקודות הקצה שצוינו".

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "הוספת תג". הסיבה: {traceback}

אם התג לא תקין (נכשל)

שגיאה בביצוע הפעולה "הוספת תג", סיבה: התג "{tag name}" לא נמצא ב-Trellix ePO.

 כללי

השוואה בין DAT של השרת ל-DAT של הסוכן

תיאור

אחזור מידע על DAT של השרת והסוכן מנקודות הקצה ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
Alert.DstPort הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Rule.msg הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Alert.IPSIDAlertID הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Alert.SrcIP הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Alert.LastTime הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Alert.Protocol הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Alert.SrcPort הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Alert.DstIP הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
null לא רלוונטי לא רלוונטי
תוצאת JSON
{

"server_version": {server_version}

"dat_version": {dat_version}

"equal": true → if server_version == dat_version, else false

}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם אחד מהם הצליח

המידע על קובצי ה-DAT של השרת והסוכן אוחזר בהצלחה מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא הצלחתם להפעיל את אחד מהם

הפעולה לא הצליחה לאחזר את פרטי ה-DAT של השרת והסוכן מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל הפעולות הצליחו

לא נמצא מידע על השרת ועל ה-DAT של הנציג בנקודות הקצה שצוינו.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "השוואה בין השרת לבין DAT של הסוכן". הסיבה: {traceback}

 כללי

קבלת פרטי הסוכן

תיאור

אחזור מידע על סוכני נקודות קצה מ-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
EPO_LastUpdate הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPO_ManagedState הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPO_Tags הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPO_ExcludedTags הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPO_AgentVersion הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPO_AgentGUID הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult":
        {
            "LastUpdate": "2019-01-22T13:04:49+02:00",
            "ManagedState": "1",
            "Tags": "Server, Workstation",
            "ExcludedTags": "",
            "AgentVersion": "1.1.1.1",
            "AgentGUID": "F673D1DF-786C-41E5-A84D-1676A39F7AE8"
        },
        "Entity": "1.1.1.1"
    }
]
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם התגובה הצליחה (is_success=true):

אוחזרו בהצלחה פרטי הסוכן לגבי נקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא התקבלה תגובת הצלחה (is_success=true)

הפעולה לא הצליחה לאחזר מידע על הסוכן לגבי נקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל התגובות הצליחו (is_success=false):

לא נמצא מידע על סדר היום של המארחים שצוינו.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "קבלת מידע על הסוכן". הסיבה: {traceback}

 כללי

Get Dat Version

תיאור

אחזור מידע על DAT מנקודות הקצה ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
גרסת Dat לא רלוונטי לא רלוונטי
תוצאת JSON
{
"DAT_version": {DAT version}
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם אחד מהם הצליח

אוחזר בהצלחה מידע על DAT מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא הצלחתם להפעיל את אחד מהם

הפעולה לא הצליחה לאחזר מידע DAT מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל הפעולות הצליחו

לא נמצא מידע על DAT בנקודות הקצה שסופקו.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "קבלת גרסת Dat". הסיבה: {traceback}

 כללי

קבלת אירועים לגיבוב (Hash)

תיאור

אחזור מידע על אירועים שקשורים לגיבובים. הערה: רק גיבובי MD5 נתמכים.

פרמטרים

שם סוג ערך ברירת המחדל Is Mandatory תיאור
אחזור אירועים מהטבלה EPExtendedEvent תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הפעולה תשתמש גם בטבלה EPExtendedEvent כדי למצוא מידע על גיבובים.
סימון כחשוד תיבת סימון כן לא נכון אם הפעולה מופעלת, היא תסמן כחשודים את כל הגיבובים שנמצאו להם אירועים.
יצירת תובנה תיבת סימון לא לא נכון אם המדיניות מופעלת, הפעולה תיצור תובנה שמכילה מידע על הגיבובים שמשויכים אליהם אירועים.
שדות להחזרה CSV

EPOEvents.ThreatName,
EPOEvents.ThreatType,
EPOEvents.ThreatActionTaken,
EPOEvents.ThreatHandled,
EPOEvents.ThreatCategory
,EPOEvents.TargetHostName,
EPOEvents.TargetUserName,
EPOEvents.TargetFileName,
EPOEvents.TargetProcessName,
EPOEvents.TargetPort,EPOEvents.
TargetProtocol,EPOEvents.
ThreatCategory,EPOEvents.
TargetIPV4,EPOEvents.
SourceHostName,EPOEvents.
SourceIPV4,EPOEvents.
SourceUserName,EPOEvents.
SourceProcessName,EPOEvents.
SourceURL

 לא נכון ציינו אילו שדות אתם רוצים לקבל. אם לא מציינים שום דבר, הפעולה תחזיר את כל השדות הזמינים.
שדה המיון String לא רלוונטי לא נכון ציינו באיזה שדה להשתמש כדי לסדר את התוצאות.
סדר המיון DDL

ASC

ערכים אפשריים:

ASC

DESC

 לא נכון מציינים את סדר המיון שרוצים להחיל על השאילתה.
מסגרת זמן DDL

בשעה האחרונה

ערכים אפשריים:

בשעה האחרונה

6 השעות האחרונות

‫24 השעות האחרונות

בשבוע שעבר

בחודש שעבר

בהתאמה אישית

 לא נכון מציינים מסגרת זמן לאירועים. אם בוחרים באפשרות "בהתאמה אישית", צריך לציין גם "שעת התחלה".
שעת ההתחלה String לא רלוונטי לא נכון מציינים את שעת ההתחלה של האירועים. הפרמטר הזה הוא חובה אם בוחרים באפשרות "בהתאמה אישית" בפרמטר "מסגרת זמן". פורמט: ISO 8601
שעת הסיום String לא רלוונטי לא נכון מציינים את שעת הסיום של האירועים. פורמט: ISO 8601. אם לא צוין ערך ונבחרה האפשרות "בהתאמה אישית" בפרמטר "מסגרת זמן", הפרמטר הזה ישתמש בשעה הנוכחית.
מספר האירועים המקסימלי להחזרה מספר שלם 50 לא נכון מציינים כמה אירועים להחזיר. ברירת המחדל: 50.

ריצה

הפעולה הזו פועלת על הישות Filehash.

תוצאות הפעולה

העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
EPOEvents.ThreatCategory הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPOEvents.TargetUserName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPOEvents.TargetPort הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPOEvents.TargetFileName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPOEvents.TargetIPV4 הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
EPO_AgentGUID הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות

תובנה תיווצר לאירועים שנמצאים ב-Trellix ePO עבור הגיבוב הנוכחי.

תוצאת JSON
[
    {
        "EntityResult":
        [
            {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }, {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }],
        "Entity": "44d88612fea8a8f36de82e1278abb02f"
    }
]
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם הבדיקה הצליחה ויש תוצאות: (is_success=true)

"האירועים הזמינים הוחזרו בהצלחה עבור הגיבובים הבאים ב-Trellix ePO:‏ {entity.identifier}"

אם התגובה נכשלה באחד מהם: (is_success=true)

"הפעולה לא הצליחה למצוא אירועים לערכי ה-hash הבאים ב-Trellix ePO:‏ {entity.identifier}"

אם התגובה נכשלה לכל המשתמשים (is_success=false):

"לא נמצאו אירועים לנקודות הקצה שצוינו ב-Trellix ePO".

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר (נכשל): "שגיאה בביצוע הפעולה "קבלת איומים על נקודות קצה". הסיבה: {0}''.format(error.Stacktrace)

אם התגובה כוללת שגיאה (נכשל): "Error executing action "Execute Entity Query".‎ הסיבה: {0}''.format( response text)

אם שעת ההתחלה ריקה, כש "מסגרת הזמן" היא "בהתאמה אישית" (נכשל): "שגיאה בביצוע הפעולה "קבלת איומים בנקודות קצה". הסיבה: צריך לציין "שעת התחלה" כשבוחרים באפשרות "בהתאמה אישית" בפרמטר "מסגרת זמן".

 כללי

קבלת סטטוס כתובות ה-IP של המארח

תיאור

אחזור מידע על IPS מנקודות הקצה ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_status_received נכון/לא נכון is_status_received:False
תוצאת JSON
{
"IPS_status": {IPS_status}
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם אחד מהם הצליח

אוחזר בהצלחה מידע על IPS מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא הצלחתם להפעיל את אחד מהם

הפעולה לא הצליחה לאחזר מידע על IPS מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל הפעולות הצליחו

לא נמצא מידע על IPS בנקודות הקצה שסופקו.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "קבלת סטטוס IPS של המארח". הסיבה: {traceback}

 כללי

קבלת סטטוס כתובות ה-IP של רשת המארח

תיאור

אחזור מידע על Network IPS מנקודות הקצה ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_status_received נכון/לא נכון is_status_received:False
תוצאת JSON
{
"Network_IPS_status": {Network_IPS_status}
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם אחד מהם הצליח

המידע על Network IPS אוחזר בהצלחה מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא הצלחתם להפעיל את אחד מהם

הפעולה לא הצליחה לאחזר מידע על Network IPS מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל הפעולות הצליחו

לא נמצא מידע על IPS של הרשת בנקודות הקצה שצוינו.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "קבלת סטטוס IPS של רשת המארח". הסיבה: {traceback}

 כללי

קבלת זמן התקשורת האחרון

תיאור

אחזור מידע על זמן התקשורת האחרון מנקודות הקצה ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
isSuccess נכון/לא נכון isSuccess:False
תוצאת JSON
{
"last_communication_time": {last_communication_time}
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם אחד מהם הצליח

המידע על מועד התקשורת האחרון אוחזר בהצלחה מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא הצלחתם להפעיל את אחד מהם

הפעולה לא הצליחה לאחזר את פרטי מועד התקשורת האחרון מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל הפעולות הצליחו

לא נמצא מידע על מועד התקשורת האחרון בנקודות הקצה שצוינו.

אם יש שגיאה קריטית (נכשל):

שגיאה בהפעלת הפעולה "קבלת זמן התקשורת האחרון". הסיבה: {traceback}

 כללי

קבלת גרסת הסוכן של McAfee Epo

תיאור

אחזור מידע על גרסת הסוכן מנקודות הקצה ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
גרסת McAfee Agent לא רלוונטי לא רלוונטי
תוצאת JSON
{
"ePO_agent_version": ePO_agent_version
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם אחד מהם הצליח

המידע על גרסת הסוכן אוחזר בהצלחה מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא הצלחתם להפעיל את אחד מהם

הפעולה לא הצליחה לאחזר את פרטי הגרסה של הסוכן מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל הפעולות הצליחו

לא נמצא מידע על גרסת הסוכן בנקודות הקצה שסופקו.

אם יש שגיאה קריטית (נכשל):

שגיאה בהפעלת הפעולה "קבלת זמן התקשורת האחרון". הסיבה: {traceback}

 כללי

קבלת פרטי המערכת

תיאור

החזרת מידע על המערכת לגבי נקודות הקצה מ-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
יצירת תובנה תיבת סימון תיבת הסימון סומנה אם הפעולה מופעלת, היא תיצור תובנה עם מידע על נקודת הקצה.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
FreeDiskSpace הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
שם משתמש הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
DomainName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
LastAgentHandler הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IPV4x הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
OSBitMode הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IPV6 הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
OSType הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
SysvolFreeSpace הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IPHostName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
CPUSerialNum הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IPSubnetMask הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
SysvolTotalSpace הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IPSubnet הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תיאור הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
FreeMemory הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
CPUSpeed הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
SubnetMask הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IPAddress הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
DefaultLangID הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
OSPlatform הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
NetAddress הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
TotalDiskSpace הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
SubnetAddress הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
NumOfCPU הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
אזור זמן הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
SystemDescription הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
VDI הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
OSBuildNum הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
OSVersion הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IsPortable הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
TotalPhysicalMemory הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
IPXAddress הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
UserProperty7 הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
ParentID הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
CPUType הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות

לא רלוונטי

תוצאת JSON
[
    {
        "EntityResult":
        {
            "FreeDiskSpace": "444316",
            "UserName": "Admin",
            "OSServicePackVer": " ",
            "DomainName": "WORKGROUP",
            "LastAgentHandler": "1",
            "IPV4x": "-1979711239",
            "OSBitMode": "1",
            "IPV6": "0:0:0:0:0:FFFF:A00:F9",
            "OSType": "Windows Server 2012 R2",
            "SysvolFreeSpace": "94782",
            "IPHostName": "McAfee-ePO",
            "CPUSerialNum": "N/A",
            "IPSubnetMask": "0:0:0:0:0:FFFF:FFFF:FE00",
            "SysvolTotalSpace": "161647",
            "IPSubnet": "0:0:0:0:0:FFFF:A00:0",
            "Description": "None",
            "FreeMemory": "1626767360",
            "CPUSpeed": "2400",
            "SubnetMask": " ",
            "IPAddress": "1.1.1.1",
            "DefaultLangID": "0409",
            "OSPlatform": "Server",
            "ComputerName": "MCAFEE-EPO",
            "OSOEMID": "00252-00112-26656-AA653",
            "NetAddress": "005056A56847",
            "TotalDiskSpace": "511646",
            "SubnetAddress": " ",
            "NumOfCPU": "4",
            "TimeZone": "Jerusalem Standard Time",
            "SystemDescription": "N/A",
            "Vdi": "0",
            "OSBuildNum": "9600",
            "OSVersion": "6.3",
            "IsPortable": "0",
            "TotalPhysicalMemory": "6441984000",
            "IPXAddress": "N/A",
            "UserProperty7": " ",
            "UserProperty6": " ",
            "UserProperty5": " ",
            "UserProperty4": " ",
            "UserProperty3": " ",
            "UserProperty2": " ",
            "UserProperty1": " ",
            "ParentID": "8",
            "CPUType": "Intel(R) Xeon(R) CPU E5-2630 v3 @ 2.40GHz",
            "UserProperty8": " "
        },
        "Entity": "1.1.1.1"
    }
]
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם הפעולה הצליחה באחד מהם (is_success=true):

המידע על המערכת של נקודות הקצה הבאות אוחזר בהצלחה מ-Trellix ePO:‏ {entity.identifier}

אם התגובה נכשלה באחד מהם (is_success=true):

הפעולה לא הצליחה לאחזר את פרטי המערכת לגבי נקודות הקצה הבאות מ-Trellix ePO:‏ {entity.identifier}

אם התגובה נכשלה לכל המשתמשים (is_success=false)

לא נמצא מידע על המערכת לגבי נקודות הקצה שצוינו.

אם יש שגיאה קריטית:

הייתה שגיאה בביצוע הפעולה "קבלת מידע על המערכת". הסיבה: {error.traceback}

 כללי

קבלת גרסת הסוכן של מנוע הווירוסים

תיאור

אחזור מידע על גרסת הסוכן של מנוע הווירוסים מנקודות הקצה ב-McAfee ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
גרסת הסוכן של מנוע הווירוסים לא רלוונטי לא רלוונטי
תוצאת JSON
{
"Virus_Engine_Agent_version": {Virus_engine_agent_version}
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם אחד מהם הצליח

המידע על גרסת הסוכן של מנוע הווירוסים אוחזר בהצלחה מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא הצלחתם להפעיל את אחד מהם

הפעולה לא הצליחה לאחזר את פרטי הגרסה של סוכן מנוע הווירוסים מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל הפעולות הצליחו

לא נמצא מידע על גרסת הסוכן של מנוע הווירוסים בנקודות הקצה שצוינו.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "קבלת גרסת הסוכן של מנוע הווירוסים". הסיבה: {traceback}

 כללי

פינג

תיאור

בודקים את הקישוריות ל-Trellix ePO באמצעות הפרמטרים שצוינו בדף הגדרת השילוב בדף Google SecOps Content Hub.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
null לא רלוונטי לא רלוונטי
תוצאת JSON
N/A

הסרת התג

תיאור

הסרת תג מנקודת קצה ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
שם התג String לא רלוונטי כן מציינים את שם התג שצריך להסיר מנקודות הקצה.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם הפעולה הצליחה באחד מהם (is_success=true):

התג "{tag name}" הוסר בהצלחה מנקודות הקצה הבאות

ב-Trellix ePO:‏ {entity.identifier}

אם התג לא חלק מנקודת הקצה: (is_success=true):

התג "{tag}" לא היה חלק מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא התקבלה תגובת הצלחה (is_success=true)

הפעולה לא הצליחה להסיר את התג "{tag name}" מנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל התגובות הצליחו (is_success=false):

התג "{tag} לא הוסר מנקודות הקצה שצוינו".

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "הסרת התג". הסיבה: {traceback}

אם התג לא תקין (נכשל)

הפעולה "הסרת תג" נכשלה. סיבה: התג "{tag name}" לא נמצא ב-Trellix ePO.

 כללי

הפעלת סריקה מלאה

תיאור

מריצים סריקה מלאה בנקודות הקצה שצוינו ב-Trellix ePO. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
שם המשימה String סריקה על פי דרישה – סריקה מלאה כן צריך לציין איזו משימה צריך לבצע כדי לקבל סריקה מלאה.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
RunTask_Status לא רלוונטי לא רלוונטי
תוצאת JSON
{
"status": "success" or "failure"
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם רק אחד מהם מצליח:

התבצעה בהצלחה סריקה מלאה על סמך המשימה "{task name}" בנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם התגובה נכשלה באחד מהם:

הפעולה לא הצליחה להריץ סריקה מלאה על סמך המשימה "{task name}" בנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל התגובות הצליחו:

לא בוצעה סריקה מלאה בנקודות הקצה שצוינו.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "הפעלת סריקה מלאה". הסיבה: {error traceback}

אם המשימה לא נמצאה (נכשלה):

הייתה שגיאה בביצוע הפעולה "הפעלת סריקה מלאה". סיבה: המשימה "{task name}" לא נמצאה ב-Trellix ePO. כדאי לבדוק את האיות.

 כללי

עדכון McAfee Agent

תיאור

מעדכנים את McAfee Agent בנקודות הקצה שצוינו ב-Trellix ePO. משימה ל-Windows: DAT_Update_Windows_CWS. משימה ל-Linux: ‏ DAT_Update_Linux_CWS. ישויות נתמכות: שם מארח, כתובת IP.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
שם המשימה String DAT_Update_Windows_CWS כן צריך לציין איזו משימה צריך לבצע כדי לעדכן את McAfee Agent. ברירת המחדל ב-Windows היא DAT_Update_Windows_CWS. ב-Linux, שם המדיניות הוא DAT_Update_Linux_CWS

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
Update_Status לא רלוונטי לא רלוונטי
תוצאת JSON
{
"status": "success" or "failure"
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

אם רק אחד מהם מצליח:

הסוכנים עודכנו בהצלחה על סמך המשימה "{task name}" בנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם התגובה נכשלה באחד מהם:

הפעולה לא הצליחה לעדכן את הסוכן על סמך המשימה "{task name}" בנקודות הקצה הבאות ב-Trellix ePO:‏ {entity.identifier}

אם לא כל התגובות הצליחו:

אף אחד מהסוכנים לא עודכן.

אם יש שגיאה קריטית (נכשל):

הייתה שגיאה בביצוע הפעולה "עדכון McAfee Agent". הסיבה: {error traceback}

אם המשימה לא נמצאה (נכשלה):

הייתה שגיאה בביצוע הפעולה "עדכון McAfee Agent". סיבה: המשימה "{task name}" לא נמצאה ב-Trellix ePO. כדאי לבדוק את האיות.

 כללי

מחבר

‫McAfee EPO – מחבר איומים

תיאור

שליפת אירועים מהטבלה EPOEvents ל-Google SecOps. רשימת ההיתרים פועלת עם שמות של מנתחים.

הגדרת McAfee EPO – Threats Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע String EPOEvents_ThreatType כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי של סביבה String .* לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".

ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String http://x.x.x.x:8443/remote/ כן שורש ה-API של המכונה של Trellix ePO.
שם משתמש String לא רלוונטי כן שם המשתמש של המכונה ב-Trellix ePO.
סיסמה סיסמה כן הסיסמה של המכונה ב-Trellix ePO.
שם קבוצה String לא אם מציינים קבוצה, המחבר יאחזר איומים רק מנקודות קצה ששייכות לקבוצה הזו.
מספר השעות המקסימלי אחורה מספר שלם 1 לא מספר השעות שמהן צריך לאחזר אירועים.
מספר האירועים המקסימלי לאחזור מספר שלם 10 לא כמה אירועים לעבד בכל איטרציה של מחבר. ברירת המחדל: 10.
רמת החומרה הנמוכה ביותר לאחזור String בינוני לא

רמת החומרה הנמוכה ביותר של האירועים שצריך לאחזר. כברירת מחדל, המחבר יטמיע את כל האירועים. ערכים אפשריים:

מידע, נמוכה, בינונית, גבוהה, קריטית.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון סימן אישור כן אם המדיניות מופעלת, רשימת ההיתרים תשמש כרשימת חסימה.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם המדיניות מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Trellix ePO תקף.
קובץ אישור CA String לא רלוונטי לא נכון קובץ אישור CA בקידוד Base 64.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.