Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

McAfee ePO

Questo documento fornisce indicazioni su come integrare McAfee ePO con Google SecOps.

Configura l'integrazione di McAfee ePO in Google Security Operations

Configura l'integrazione di McAfee ePO con un certificato CA

Se necessario, puoi verificare la connessione con un file del certificato CA.

Prima di iniziare, assicurati di avere quanto segue:

Il file del certificato CA
L'ultima versione dell'integrazione di McAfee ePO

Per configurare l'integrazione con un certificato CA, completa i seguenti passaggi:

Analizza il file del certificato CA in una stringa Base64.
Apri la pagina dei parametri di configurazione dell'integrazione.
Inserisci la stringa nel campo CA Certificate File (File certificato CA).
Per verificare che l'integrazione sia configurata correttamente, seleziona la casella di controllo Verifica SSL e fai clic su Test.

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Nome istanza	Stringa	N/D	No	Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione	Stringa	N/D	No	Descrizione dell'istanza.
Indirizzo del server	Stringa	https://<ServerAddress>:8443/remote/	Sì	Indirizzo server di Trellix ePO. Esempio: https://127.0.0.1:8443/remote/
Nome utente	Stringa	N/D	Sì	Il nome utente per l'autenticazione del server.
Password	Password	N/D	Sì	La password per l'autenticazione del server.
Nome gruppo	Stringa	N/D	No	Il nome del gruppo.
File del certificato CA: analizzato in una stringa Base64	Stringa	N/D	No	N/D
Esegui da remoto	Casella di controllo	Deselezionata	No	Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Azioni

Aggiungi etichetta

Descrizione

Aggiungi un tag a un endpoint in Trellix ePO. Nota: puoi applicare solo i tag esistenti nel sistema. Entità supportate: nome host, IP.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome tag	Stringa	N/D	Sì	Specifica il nome del tag da aggiungere agli endpoint.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	Se l'operazione ha esito positivo per un elemento (is_success=true): Tag "{tag name}" aggiunto correttamente ai seguenti endpoint in Trellix ePO: {entity.identifier} Se il tag fa già parte dell'endpoint: (is_success=true): Il tag "{tag}" faceva già parte dei seguenti endpoint in Trellix ePO: {entity.identifier} Se non è riuscito per uno (is_success=true) L'azione non è riuscita ad aggiungere il tag "{tag name}" ai seguenti endpoint in Trellix ePO: {entity.identifier} Se non è andata a buon fine per tutti (is_success=false): Il tag "{tag}" non è stato aggiunto agli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Aggiungi tag". Motivo: {traceback} Se il tag non è valido (errore) Errore durante l'esecuzione dell'azione "Aggiungi tag". Motivo: il tag "{tag name}" non è stato trovato in Trellix ePO.	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

Se l'operazione ha esito positivo per un elemento (is_success=true):

Tag "{tag name}" aggiunto correttamente ai seguenti endpoint in

Trellix ePO: {entity.identifier}

Se il tag fa già parte dell'endpoint: (is_success=true):

Il tag "{tag}" faceva già parte dei seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è riuscito per uno (is_success=true)

L'azione non è riuscita ad aggiungere il tag "{tag name}" ai seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è andata a buon fine per tutti (is_success=false):

Il tag "{tag}" non è stato aggiunto agli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Aggiungi tag". Motivo: {traceback}

Se il tag non è valido (errore)

Errore durante l'esecuzione dell'azione "Aggiungi tag". Motivo: il tag "{tag name}" non è stato trovato in Trellix ePO.

Generale

Confronta i DAT di server e agenti

Descrizione

Recupera le informazioni DAT del server e dell'agente dagli endpoint in Trellix ePO. Entità supportate: nome host, IP.

Parametri

N/D

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Arricchimento delle entità

Nome del campo di arricchimento	Logica: quando applicare
Alert.DstPort	Restituisce se esiste nel risultato JSON
Rule.msg	Restituisce se esiste nel risultato JSON
Alert.IPSIDAlertID	Restituisce se esiste nel risultato JSON
Alert.SrcIP	Restituisce se esiste nel risultato JSON
Alert.LastTime	Restituisce se esiste nel risultato JSON
Alert.Protocol	Restituisce se esiste nel risultato JSON
Alert.SrcPort	Restituisce se esiste nel risultato JSON
Alert.DstIP	Restituisce se esiste nel risultato JSON

Insight

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
null	N/D	N/D

Risultato JSON

{

"server_version": {server_version}

"dat_version": {dat_version}

"equal": true → if server_version == dat_version, else false

}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	if success for one Recupero delle informazioni DAT del server e dell'agente dai seguenti endpoint in Trellix ePO riuscito: {entity.identifier} if not success for one L'azione non è riuscita a recuperare le informazioni DAT del server e dell'agente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for all Non sono state trovate informazioni sul DAT del server e dell'agente negli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Confronta DAT server e agente". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

if success for one

Recupero delle informazioni DAT del server e dell'agente dai seguenti endpoint in Trellix ePO riuscito: {entity.identifier}

if not success for one

L'azione non è riuscita a recuperare le informazioni DAT del server e dell'agente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for all

Non sono state trovate informazioni sul DAT del server e dell'agente negli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Confronta DAT server e agente". Motivo: {traceback}

Generale

Ottieni informazioni sull'agente

Descrizione

Recupera le informazioni sugli agenti dell'endpoint da Trellix ePO. Entità supportate: nome host, IP.

Parametri

N/D

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Arricchimento delle entità

Nome del campo di arricchimento	Logica: quando applicare
EPO_LastUpdate	Restituisce se esiste nel risultato JSON
EPO_ManagedState	Restituisce se esiste nel risultato JSON
EPO_Tags	Restituisce se esiste nel risultato JSON
EPO_ExcludedTags	Restituisce se esiste nel risultato JSON
EPO_AgentVersion	Restituisce se esiste nel risultato JSON
EPO_AgentGUID	Restituisce se esiste nel risultato JSON

Insight

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "EntityResult":
        {
            "LastUpdate": "2019-01-22T13:04:49+02:00",
            "ManagedState": "1",
            "Tags": "Server, Workstation",
            "ExcludedTags": "",
            "AgentVersion": "1.1.1.1",
            "AgentGUID": "F673D1DF-786C-41E5-A84D-1676A39F7AE8"
        },
        "Entity": "1.1.1.1"
    }
]

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	Se l'operazione ha esito positivo per un elemento (is_success=true): Informazioni sull'agente recuperate correttamente per i seguenti endpoint in Trellix ePO: {entity.identifier} Se non è riuscito per uno (is_success=true) L'azione non è riuscita a recuperare le informazioni sull'agente relative ai seguenti endpoint in Trellix ePO: {entity.identifier} Se non è andata a buon fine per tutti (is_success=false): Non sono state trovate informazioni sull'agente per gli host forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Recupera informazioni sull'agente". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

Se l'operazione ha esito positivo per un elemento (is_success=true):

Informazioni sull'agente recuperate correttamente per i seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è riuscito per uno (is_success=true)

L'azione non è riuscita a recuperare le informazioni sull'agente relative ai seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è andata a buon fine per tutti (is_success=false):

Non sono state trovate informazioni sull'agente per gli host forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Recupera informazioni sull'agente". Motivo: {traceback}

Generale

Get Dat Version

Descrizione

Recupera le informazioni DAT dagli endpoint in Trellix ePO. Entità supportate: nome host, IP.

Parametri

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
Versione Dat	N/D	N/D

Risultato JSON

{
"DAT_version": {DAT version}
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	if success for one Informazioni DAT recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for one L'azione non è riuscita a recuperare le informazioni DAT dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for all Non sono state trovate informazioni sul DAT negli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Get Dat Version". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

if success for one

Informazioni DAT recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for one

L'azione non è riuscita a recuperare le informazioni DAT dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for all

Non sono state trovate informazioni sul DAT negli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Get Dat Version". Motivo: {traceback}

Generale

Recupera eventi per hash

Descrizione

Recuperare informazioni sugli eventi correlati agli hash. Nota: sono supportati solo gli hash MD5.

Parametri

Nome	Tipo	Valore predefinito	Is Mandatory	Descrizione
Recupera gli eventi dalla tabella EPExtendedEvent	Casella di controllo	Deselezionata	No	Se abilitata, l'azione utilizzerà anche la tabella "EPExtendedEvent" per trovare informazioni sugli hash.
Contrassegna come sospetto	Casella di controllo	Sì	Falso	Se abilitata, l'azione contrassegnerà come sospetti tutti gli hash per i quali sono stati trovati eventi.
Crea insight	Casella di controllo	No	Falso	Se attivata, l'azione creerà un insight contenente informazioni sugli hash a cui sono associati eventi.
Campi da restituire	CSV	EPOEvents.ThreatName, EPOEvents.ThreatType, EPOEvents.ThreatActionTaken, EPOEvents.ThreatHandled, EPOEvents.ThreatCategory ,EPOEvents.TargetHostName, EPOEvents.TargetUserName, EPOEvents.TargetFileName, EPOEvents.TargetProcessName, EPOEvents.TargetPort,EPOEvents. TargetProtocol,EPOEvents. ThreatCategory,EPOEvents. TargetIPV4,EPOEvents. SourceHostName,EPOEvents. SourceIPV4,EPOEvents. SourceUserName,EPOEvents. SourceProcessName,EPOEvents. SourceURL	Falso	Specifica i campi da restituire. Se non viene specificato nulla, l'azione restituirà tutti i campi disponibili.
Campo di ordinamento	Stringa	N/D	Falso	Specifica il campo da utilizzare per l'ordinamento dei risultati.
Ordinamento	DDL	CRESC Valori possibili: CRESC DECR	Falso	Specifica l'ordinamento da applicare alla query.
Intervallo di tempo	DDL	Ultima ora Valori possibili: Ultima ora Ultime 6 ore Ultime 24 ore Settimana scorsa Mese scorso Personalizzato	Falso	Specifica un periodo di tempo per gli eventi. Se selezioni "Personalizzato", devi anche fornire l'"Ora di inizio".
Ora di inizio	Stringa	N/D	Falso	Specifica l'ora di inizio degli eventi. Questo parametro è obbligatorio se per il parametro "Periodo di tempo" è selezionato "Personalizzato". Formato: ISO 8601
Ora di fine	Stringa	N/D	Falso	Specifica l'ora di fine degli eventi. Formato: ISO 8601. Se non viene fornito alcun valore e per il parametro "Periodo di tempo" è selezionata l'opzione "Personalizzato", questo parametro utilizzerà l'ora corrente.
Numero massimo di eventi da restituire	Numero intero	50	Falso	Specifica il numero di eventi da restituire. Valore predefinito: 50.

Esegui il

Questa azione viene eseguita sull'entità Filehash.

Risultati dell'azione

Arricchimento delle entità

Nome del campo di arricchimento	Logica: quando applicare
EPOEvents.ThreatCategory	Restituisce se esiste nel risultato JSON
EPOEvents.TargetUserName	Restituisce se esiste nel risultato JSON
EPOEvents.TargetPort	Restituisce se esiste nel risultato JSON
EPOEvents.TargetFileName	Restituisce se esiste nel risultato JSON
EPOEvents.TargetIPV4	Restituisce se esiste nel risultato JSON
EPO_AgentGUID	Restituisce se esiste nel risultato JSON

Insight

Verrà creato un insight per gli eventi trovati in Trellix ePO per l'hash corrente.

Risultato JSON

[
    {
        "EntityResult":
        [
            {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }, {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }],
        "Entity": "44d88612fea8a8f36de82e1278abb02f"
    }
]

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	In caso di esito positivo e se i risultati sono disponibili: (is_success=true) "Sono stati restituiti correttamente gli eventi disponibili per i seguenti hash in Trellix ePO: {entity.identifier}" Se non è riuscito per uno: (is_success=true) "L'azione non è riuscita a trovare eventi per i seguenti hash in Trellix ePO: {entity.identifier}" Se l'operazione non è andata a buon fine per tutti (is_success=false): "Non sono stati trovati eventi per gli endpoint forniti in Trellix ePO." In caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro (errore): "Errore durante l'esecuzione dell'azione "Get Endpoint Threats". Reason: {0}''.format(error.Stacktrace) Se la risposta contiene un errore (fail): "Error executing action "Execute Entity Query". Reason: {0}''.format( response text) Se l'ora di inizio è vuota, quando "Periodo di tempo" è "Personalizzato" (errore): "Errore durante l'esecuzione dell'azione "Recupera minacce endpoint". Motivo: "Ora di inizio" deve essere fornita quando è selezionato "Personalizzato" nel parametro "Periodo di tempo"."	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

In caso di esito positivo e se i risultati sono disponibili: (is_success=true)

"Sono stati restituiti correttamente gli eventi disponibili per i seguenti hash in Trellix ePO: {entity.identifier}"

Se non è riuscito per uno: (is_success=true)

"L'azione non è riuscita a trovare eventi per i seguenti hash in Trellix ePO: {entity.identifier}"

Se l'operazione non è andata a buon fine per tutti (is_success=false):

"Non sono stati trovati eventi per gli endpoint forniti in Trellix ePO."

In caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro (errore): "Errore durante l'esecuzione dell'azione "Get Endpoint Threats". Reason: {0}''.format(error.Stacktrace)

Se la risposta contiene un errore (fail): "Error executing action "Execute Entity Query". Reason: {0}''.format( response text)

Se l'ora di inizio è vuota, quando "Periodo di tempo" è "Personalizzato" (errore): "Errore durante l'esecuzione dell'azione "Recupera minacce endpoint". Motivo: "Ora di inizio" deve essere fornita quando è selezionato "Personalizzato" nel parametro "Periodo di tempo"."

Generale

Ottieni lo stato degli IP host

Descrizione

Recupera le informazioni IPS dagli endpoint in Trellix ePO. Entità supportate: nome host, IP.

Parametri

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_status_received	Vero/Falso	is_status_received:False

Risultato JSON

{
"IPS_status": {IPS_status}
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	if success for one Informazioni IPS recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for one L'azione non è riuscita a recuperare le informazioni IPS dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for all Non sono state trovate informazioni su IPS negli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Get Host IPS Status". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

if success for one

Informazioni IPS recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for one

L'azione non è riuscita a recuperare le informazioni IPS dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for all

Non sono state trovate informazioni su IPS negli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Get Host IPS Status". Motivo: {traceback}

Generale

Ottieni lo stato degli IP della rete host

Descrizione

Recuperare le informazioni di Network IPS dagli endpoint in Trellix ePO. Entità supportate: nome host, IP.

Parametri

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_status_received	Vero/Falso	is_status_received:False

Risultato JSON

{
"Network_IPS_status": {Network_IPS_status}
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	if success for one Informazioni su Network IPS recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for one L'azione non è riuscita a recuperare le informazioni sull'IPS di rete dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for all Non sono state trovate informazioni su Network IPS negli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Get Host Network IPS Status". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

if success for one

Informazioni su Network IPS recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for one

L'azione non è riuscita a recuperare le informazioni sull'IPS di rete dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for all

Non sono state trovate informazioni su Network IPS negli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Get Host Network IPS Status". Motivo: {traceback}

Generale

Ottieni l'ora dell'ultima comunicazione

Descrizione

Recupera le informazioni sull'ora dell'ultima comunicazione dagli endpoint in Trellix ePO. Entità supportate: nome host, IP.

Parametri

N/D

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Arricchimento delle entità

N/D

Insight

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
isSuccess	Vero/Falso	isSuccess:False

Risultato JSON

{
"last_communication_time": {last_communication_time}
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	if success for one Informazioni sull'ora dell'ultima comunicazione recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for one L'azione non è riuscita a recuperare le informazioni sull'ora dell'ultima comunicazione dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for all Non sono state trovate informazioni sull'ora dell'ultima comunicazione negli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Recupera l'ora dell'ultima comunicazione". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

if success for one

Informazioni sull'ora dell'ultima comunicazione recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for one

L'azione non è riuscita a recuperare le informazioni sull'ora dell'ultima comunicazione dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for all

Non sono state trovate informazioni sull'ora dell'ultima comunicazione negli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Recupera l'ora dell'ultima comunicazione". Motivo: {traceback}

Generale

Recupera la versione dell'agente McAfee ePO

Descrizione

Recupera le informazioni sulla versione dell'agente dagli endpoint in Trellix ePO. Entità supportate: nome host, IP.

Parametri

N/D

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Arricchimento delle entità

N/D

Insight

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
Versione McAfee Agent	N/D	N/D

Risultato JSON

{
"ePO_agent_version": ePO_agent_version
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	if success for one Informazioni sulla versione dell'agente recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for one L'azione non è riuscita a recuperare le informazioni sulla versione dell'agente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for all Non sono state trovate informazioni sulla versione dell'agente negli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Recupera l'ora dell'ultima comunicazione". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

if success for one

Informazioni sulla versione dell'agente recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for one

L'azione non è riuscita a recuperare le informazioni sulla versione dell'agente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for all

Non sono state trovate informazioni sulla versione dell'agente negli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Recupera l'ora dell'ultima comunicazione". Motivo: {traceback}

Generale

Ottieni informazioni sul sistema

Descrizione

Restituisce informazioni di sistema sugli endpoint da Trellix ePO. Entità supportate: nome host, IP.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Crea insight	Casella di controllo	Casella di controllo selezionata		Se l'opzione è abilitata, l'azione creerà un insight contenente informazioni sull'endpoint.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Arricchimento delle entità

Nome del campo di arricchimento	Logica: quando applicare
FreeDiskSpace	Restituisce se esiste nel risultato JSON
Nome utente	Restituisce se esiste nel risultato JSON
DomainName	Restituisce se esiste nel risultato JSON
LastAgentHandler	Restituisce se esiste nel risultato JSON
IPV4x	Restituisce se esiste nel risultato JSON
OSBitMode	Restituisce se esiste nel risultato JSON
IPV6	Restituisce se esiste nel risultato JSON
OSType	Restituisce se esiste nel risultato JSON
SysvolFreeSpace	Restituisce se esiste nel risultato JSON
IPHostName	Restituisce se esiste nel risultato JSON
CPUSerialNum	Restituisce se esiste nel risultato JSON
IPSubnetMask	Restituisce se esiste nel risultato JSON
SysvolTotalSpace	Restituisce se esiste nel risultato JSON
IPSubnet	Restituisce se esiste nel risultato JSON
Descrizione	Restituisce se esiste nel risultato JSON
FreeMemory	Restituisce se esiste nel risultato JSON
CPUSpeed	Restituisce se esiste nel risultato JSON
SubnetMask	Restituisce se esiste nel risultato JSON
IPAddress	Restituisce se esiste nel risultato JSON
DefaultLangID	Restituisce se esiste nel risultato JSON
OSPlatform	Restituisce se esiste nel risultato JSON
NetAddress	Restituisce se esiste nel risultato JSON
TotalDiskSpace	Restituisce se esiste nel risultato JSON
SubnetAddress	Restituisce se esiste nel risultato JSON
NumOfCPU	Restituisce se esiste nel risultato JSON
TimeZone	Restituisce se esiste nel risultato JSON
SystemDescription	Restituisce se esiste nel risultato JSON
VDI	Restituisce se esiste nel risultato JSON
OSBuildNum	Restituisce se esiste nel risultato JSON
OSVersion	Restituisce se esiste nel risultato JSON
IsPortable	Restituisce se esiste nel risultato JSON
TotalPhysicalMemory	Restituisce se esiste nel risultato JSON
IPXAddress	Restituisce se esiste nel risultato JSON
UserProperty7	Restituisce se esiste nel risultato JSON
ParentID	Restituisce se esiste nel risultato JSON
CPUType	Restituisce se esiste nel risultato JSON

Insight

N/D

Risultato JSON

[
    {
        "EntityResult":
        {
            "FreeDiskSpace": "444316",
            "UserName": "Admin",
            "OSServicePackVer": " ",
            "DomainName": "WORKGROUP",
            "LastAgentHandler": "1",
            "IPV4x": "-1979711239",
            "OSBitMode": "1",
            "IPV6": "0:0:0:0:0:FFFF:A00:F9",
            "OSType": "Windows Server 2012 R2",
            "SysvolFreeSpace": "94782",
            "IPHostName": "McAfee-ePO",
            "CPUSerialNum": "N/A",
            "IPSubnetMask": "0:0:0:0:0:FFFF:FFFF:FE00",
            "SysvolTotalSpace": "161647",
            "IPSubnet": "0:0:0:0:0:FFFF:A00:0",
            "Description": "None",
            "FreeMemory": "1626767360",
            "CPUSpeed": "2400",
            "SubnetMask": " ",
            "IPAddress": "1.1.1.1",
            "DefaultLangID": "0409",
            "OSPlatform": "Server",
            "ComputerName": "MCAFEE-EPO",
            "OSOEMID": "00252-00112-26656-AA653",
            "NetAddress": "005056A56847",
            "TotalDiskSpace": "511646",
            "SubnetAddress": " ",
            "NumOfCPU": "4",
            "TimeZone": "Jerusalem Standard Time",
            "SystemDescription": "N/A",
            "Vdi": "0",
            "OSBuildNum": "9600",
            "OSVersion": "6.3",
            "IsPortable": "0",
            "TotalPhysicalMemory": "6441984000",
            "IPXAddress": "N/A",
            "UserProperty7": " ",
            "UserProperty6": " ",
            "UserProperty5": " ",
            "UserProperty4": " ",
            "UserProperty3": " ",
            "UserProperty2": " ",
            "UserProperty1": " ",
            "ParentID": "8",
            "CPUType": "Intel(R) Xeon(R) CPU E5-2630 v3 @ 2.40GHz",
            "UserProperty8": " "
        },
        "Entity": "1.1.1.1"
    }
]

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	Se l'operazione ha esito positivo per un elemento (is_success=true): Recupero delle informazioni di sistema sui seguenti endpoint da Trellix ePO riuscito: {entity.identifier} Se l'esito non è positivo per uno (is_success=true): L'azione non è riuscita a recuperare le informazioni di sistema sui seguenti endpoint da Trellix ePO: {entity.identifier} Se l'operazione non è andata a buon fine per tutti (is_success=false) Non sono state trovate informazioni di sistema sugli endpoint forniti. Se l'errore è critico: Errore durante l'esecuzione dell'azione "Recupera informazioni di sistema". Motivo: {error.traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

Se l'operazione ha esito positivo per un elemento (is_success=true):

Recupero delle informazioni di sistema sui seguenti endpoint da Trellix ePO riuscito: {entity.identifier}

Se l'esito non è positivo per uno (is_success=true):

L'azione non è riuscita a recuperare le informazioni di sistema sui seguenti endpoint da Trellix ePO: {entity.identifier}

Se l'operazione non è andata a buon fine per tutti (is_success=false)

Non sono state trovate informazioni di sistema sugli endpoint forniti.

Se l'errore è critico:

Errore durante l'esecuzione dell'azione "Recupera informazioni di sistema". Motivo: {error.traceback}

Generale

Recupera la versione dell'agente del motore antivirus

Descrizione

Recupera le informazioni sulla versione dell'agente del motore antivirus dagli endpoint in McAfee ePO. Entità supportate: nome host, IP.

Parametri

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
Versione dell'agente del motore antivirus	N/D	N/D

Risultato JSON

{
"Virus_Engine_Agent_version": {Virus_engine_agent_version}
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	if success for one Informazioni sulla versione dell'agente del motore antivirus recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for one L'azione non è riuscita a recuperare le informazioni sulla versione dell'agente del motore antivirus dai seguenti endpoint in Trellix ePO: {entity.identifier} if not success for all Non sono state trovate informazioni sulla versione dell'agente Virus Engine sugli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Get Virus Engine Agent Version". Motivo: {traceback}	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

if success for one

Informazioni sulla versione dell'agente del motore antivirus recuperate correttamente dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for one

L'azione non è riuscita a recuperare le informazioni sulla versione dell'agente del motore antivirus dai seguenti endpoint in Trellix ePO: {entity.identifier}

if not success for all

Non sono state trovate informazioni sulla versione dell'agente Virus Engine sugli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Get Virus Engine Agent Version". Motivo: {traceback}

Generale

Dindin

Descrizione

Testa la connettività a Trellix ePO con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Insight

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
null	N/D	N/D

Risultato JSON

N/A

Rimuovi tag

Descrizione

Rimuovi un tag da un endpoint in Trellix ePO. Entità supportate: nome host, IP.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome tag	Stringa	N/D	Sì	Specifica il nome del tag che deve essere rimosso dagli endpoint.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	Se l'operazione ha esito positivo per un elemento (is_success=true): Tag "{tag name}" rimosso dagli endpoint seguenti in Trellix ePO: {entity.identifier} Se il tag non fa parte dell'endpoint (is_success=true): Il tag "{tag}" non faceva parte dei seguenti endpoint in Trellix ePO: {entity.identifier} Se non è riuscito per uno (is_success=true) L'azione non è riuscita a rimuovere il tag "{tag name}" dai seguenti endpoint in Trellix ePO: {entity.identifier} Se non è andata a buon fine per tutti (is_success=false): Il tag "{tag}" non è stato rimosso dagli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Rimuovi tag". Motivo: {traceback} Se il tag non è valido (errore) Errore durante l'esecuzione dell'azione "Rimuovi tag". Motivo: il tag "{tag name}" non è stato trovato in Trellix ePO.	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

Se l'operazione ha esito positivo per un elemento (is_success=true):

Tag "{tag name}" rimosso dagli endpoint seguenti

in Trellix ePO: {entity.identifier}

Se il tag non fa parte dell'endpoint (is_success=true):

Il tag "{tag}" non faceva parte dei seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è riuscito per uno (is_success=true)

L'azione non è riuscita a rimuovere il tag "{tag name}" dai seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è andata a buon fine per tutti (is_success=false):

Il tag "{tag}" non è stato rimosso dagli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Rimuovi tag". Motivo: {traceback}

Se il tag non è valido (errore)

Errore durante l'esecuzione dell'azione "Rimuovi tag". Motivo: il tag "{tag name}" non è stato trovato in Trellix ePO.

Generale

Esegui scansione completa

Descrizione

Esegui una scansione completa sugli endpoint forniti in Trellix ePO. Entità supportate: nome host, IP.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome attività	Stringa	Scansione on demand - Scansione completa	Sì	Specifica l'attività da eseguire per ottenere una scansione completa.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
RunTask_Status	N/D	N/D

Risultato JSON

{
"status": "success" or "failure"
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	Se l'operazione va a buon fine per un utente: Scansione completa eseguita correttamente in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier} Se non va a buon fine per un utente: L'azione non è stata in grado di eseguire l'analisi completa in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier} Se non è andata a buon fine per tutti: La scansione completa non è stata eseguita sugli endpoint forniti. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Esegui scansione completa". Motivo: {error traceback} Se l'attività non viene trovata (errore): Errore durante l'esecuzione dell'azione "Esegui scansione completa". Motivo: l'attività "{task name}" non è stata trovata in Trellix ePO. Controlla l'ortografia.	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

Se l'operazione va a buon fine per un utente:

Scansione completa eseguita correttamente in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier}

Se non va a buon fine per un utente:

L'azione non è stata in grado di eseguire l'analisi completa in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è andata a buon fine per tutti:

La scansione completa non è stata eseguita sugli endpoint forniti.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Esegui scansione completa". Motivo: {error traceback}

Se l'attività non viene trovata (errore):

Errore durante l'esecuzione dell'azione "Esegui scansione completa". Motivo: l'attività "{task name}" non è stata trovata in Trellix ePO. Controlla l'ortografia.

Generale

Aggiorna McAfee Agent

Descrizione

Aggiorna McAfee Agent sugli endpoint forniti in Trellix ePO. Attività per Windows: DAT_Update_Windows_CWS. Attività per Linux: DAT_Update_Linux_CWS. Entità supportate: nome host, IP.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome attività	Stringa	DAT_Update_Windows_CWS	Sì	Specifica l'attività da eseguire per aggiornare McAfee Agent. Il valore predefinito per Windows è DAT_Update_Windows_CWS. Per Linux è DAT_Update_Linux_CWS

Esegui il

Questa azione viene eseguita sulle seguenti entità:

Indirizzo IP
Nome host

Risultati dell'azione

Arricchimento delle entità

N/D

Insight

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
Update_Status	N/D	N/D

Risultato JSON

{
"status": "success" or "failure"
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	Se l'operazione va a buon fine per un utente: Aggiornamento degli agenti in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier} Se non va a buon fine per un utente: L'azione non è riuscita ad aggiornare l'agente in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier} Se non è andata a buon fine per tutti: Nessuno degli agenti è stato aggiornato. Se si verifica un errore critico (errore): Errore durante l'esecuzione dell'azione "Aggiorna McAfee Agent". Motivo: {error traceback} Se l'attività non viene trovata (errore): Errore durante l'esecuzione dell'azione "Aggiorna McAfee Agent". Motivo: l'attività "{task name}" non è stata trovata in Trellix ePO. Controlla l'ortografia.	Generale

Tipo di risultato

Valore / Descrizione

Tipo

Messaggio di output*

Se l'operazione va a buon fine per un utente:

Aggiornamento degli agenti in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier}

Se non va a buon fine per un utente:

L'azione non è riuscita ad aggiornare l'agente in base all'attività "{task name}" sui seguenti endpoint in Trellix ePO: {entity.identifier}

Se non è andata a buon fine per tutti:

Nessuno degli agenti è stato aggiornato.

Se si verifica un errore critico (errore):

Errore durante l'esecuzione dell'azione "Aggiorna McAfee Agent". Motivo: {error traceback}

Se l'attività non viene trovata (errore):

Errore durante l'esecuzione dell'azione "Aggiorna McAfee Agent". Motivo: l'attività "{task name}" non è stata trovata in Trellix ePO. Controlla l'ortografia.

Generale

Connettore

McAfee EPO - Connettore delle minacce

Descrizione

Estrai gli eventi dalla tabella EPOEvents in Google SecOps. La lista consentita funziona con i nomi degli analizzatori.

Configura il connettore McAfee EPO - Threats in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome campo prodotto	Stringa	Nome prodotto	Sì	Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento	Stringa	EPOEvents_ThreatType	Sì	Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente	Stringa	""	No	Descrive il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente	Stringa	.*	No	Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente". Il valore predefinito è .* per rilevare tutto e restituire il valore invariato. Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari. Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi)	Numero intero	180	Sì	Limite di timeout per il processo Python che esegue lo script corrente.
Root API	Stringa	http://x.x.x.x:8443/remote/	Sì	Radice dell'API dell'istanza Trellix ePO.
Nome utente	Stringa	N/D	Sì	Nome utente dell'istanza Trellix ePO.
Password	Password		Sì	Password dell'istanza Trellix ePO.
Nome gruppo	Stringa		No	Se fornito, il connettore recupererà le minacce solo dagli endpoint che fanno parte di quel gruppo.
Numero massimo di ore indietro	Numero intero	1	No	Numero di ore da cui recuperare gli eventi.
Numero massimo di eventi da recuperare	Numero intero	10	No	Numero di eventi da elaborare per un'iterazione del connettore. Valore predefinito: 10.
Gravità minima da recuperare	Stringa	Media	No	La gravità minima degli eventi da recuperare. Per impostazione predefinita, il connettore importerà tutti gli eventi. Valori possibili: Informazioni, Bassa, Media, Alta, Critica.
Utilizza la lista consentita come lista bloccata	Casella di controllo	Selezionata	Sì	Se questa opzione è attiva, la lista consentita verrà utilizzata come lista bloccata.
Verifica SSL	Casella di controllo	Deselezionata	Sì	Se abilitata, verifica che il certificato SSL per la connessione al server Trellix ePO sia valido.
File del certificato CA	Stringa	N/D	Falso	File del certificato CA con codifica Base64.
Indirizzo del server proxy	Stringa	N/D	No	L'indirizzo del server proxy da utilizzare.
Nome utente proxy	Stringa	N/D	No	Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy	Password		No	La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.