McAfee ePO

このドキュメントでは、McAfee ePO を Google SecOps と統合する方法について説明します。

Google Security Operations で McAfee ePO 統合を構成する

CA 証明書を使用して McAfee ePO 統合を構成する

必要に応じて、CA 証明書ファイルを使用して接続を確認できます。

始める前に、以下のものが揃っていることをご確認ください。

  • CA 証明書ファイル
  • 最新の McAfee ePO 統合バージョン

CA 証明書との統合を構成するには、次の手順を行います。

  1. CA 証明書ファイルを解析して Base64 文字列に変換します。
  2. 統合構成パラメータ ページを開きます。
  3. [CA Certificate File] フィールドに文字列を挿入します。
  4. 統合が正常に構成されていることをテストするには、[SSL を検証する] チェックボックスをオンにして、[テスト] をクリックします。

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
インスタンス名 文字列 なし いいえ 統合を構成するインスタンスの名前。
説明 文字列 なし いいえ インスタンスの説明。
サーバー アドレス 文字列 https://<ServerAddress>:8443/remote/ ○ Trellix ePO のサーバー アドレス。例: https://127.0.0.1:8443/remote/
ユーザー名 文字列 なし ○ サーバー認証のユーザー名。
パスワード パスワード なし ○ サーバー認証用のパスワード。
グループ名 文字列 なし いいえ グループの名前
CA 証明書ファイル - Base64 文字列に解析 文字列 なし いいえ なし
リモートで実行 チェックボックス オフ いいえ 構成した統合をリモートで実行するには、フィールドのチェックボックスをオンにします。オンにすると、リモート ユーザー（エージェント）を選択するオプションが表示されます。

操作

タグを追加

説明

Trellix ePO でエンドポイントにタグを追加します。注: 適用できるのは、システムに存在するタグのみです。サポートされるエンティティ: ホスト名、IP。

パラメータ

パラメータ 種類 デフォルト値 必須 説明
タグ名 文字列 なし ○ エンドポイントに追加する必要があるタグの名前を指定します。

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
N/A
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つが成功した場合（is_success=true）:

タグ「{tag name}」を次のエンドポイントに追加しました

Trellix ePO: {entity.identifier}

タグがすでにエンドポイントの一部である場合:（is_success=true）:

タグ「{tag}」は、Trellix ePO の次のエンドポイントにすでに含まれています: {entity.identifier}

1 つが成功しなかった場合（is_success=true）

アクションによって、Trellix ePO の次のエンドポイントにタグ「{タグ名}」を追加できませんでした: {entity.identifier}

すべてが成功しなかった場合（is_success=false）:

タグ「{tag}」は、指定されたエンドポイントに追加されませんでした。

重大なエラー（不合格）の場合:

アクション「タグの追加」の実行中にエラーが発生しました。理由: {traceback}

タグが無効な場合（不合格）

アクション「タグを追加」の実行中にエラーが発生しました。理由: タグ「{タグ名}」が Trellix ePO で見つかりませんでした。

 全般

サーバーとエージェントの DAT を比較する

説明

Trellix ePO のエンドポイントからサーバーとエージェントの DAT 情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

ユースケース

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

エンティティ拡充
拡充フィールド名 ロジック - 適用するタイミング
Alert.DstPort JSON の結果に存在する場合に返します。
Rule.msg JSON の結果に存在する場合に返します。
Alert.IPSIDAlertID JSON の結果に存在する場合に返します。
Alert.SrcIP JSON の結果に存在する場合に返します。
Alert.LastTime JSON の結果に存在する場合に返します。
Alert.Protocol JSON の結果に存在する場合に返します。
Alert.SrcPort JSON の結果に存在する場合に返します。
Alert.DstIP JSON の結果に存在する場合に返す
分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
null なし なし
JSON の結果
{

"server_version": {server_version}

"dat_version": {dat_version}

"equal": true → if server_version == dat_version, else false

}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つの成功が

Trellix ePO の次のエンドポイントからサーバーとエージェントの DAT 情報を正常に取得しました: {entity.identifier}

1 つでも成功しなかった場合

アクションによって、Trellix ePO の次のエンドポイントからサーバーとエージェントの DAT 情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合

指定されたエンドポイントで、サーバーとエージェントの DAT に関する情報が見つかりませんでした。

重大なエラー（不合格）の場合:

「サーバーとエージェントの DAT を比較」アクションの実行中にエラーが発生しました。理由: {traceback}

 全般

エージェント情報を取得する

説明

Trellix ePO からエンドポイントのエージェントに関する情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

ユースケース

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

エンティティ拡充
拡充フィールド名 ロジック - 適用するタイミング
EPO_LastUpdate JSON の結果に存在する場合に返す
EPO_ManagedState JSON の結果に存在する場合に返す
EPO_Tags JSON の結果に存在する場合に返す
EPO_ExcludedTags JSON の結果に存在する場合に返す
EPO_AgentVersion JSON の結果に存在する場合に返す
EPO_AgentGUID JSON の結果に存在する場合に返す
分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "EntityResult":
        {
            "LastUpdate": "2019-01-22T13:04:49+02:00",
            "ManagedState": "1",
            "Tags": "Server, Workstation",
            "ExcludedTags": "",
            "AgentVersion": "1.1.1.1",
            "AgentGUID": "F673D1DF-786C-41E5-A84D-1676A39F7AE8"
        },
        "Entity": "1.1.1.1"
    }
]
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つが成功した場合（is_success=true）:

Trellix ePO の次のエンドポイントに関するエージェント情報を正常に取得しました: {entity.identifier}

1 つが成功しなかった場合（is_success=true）

アクションによって、Trellix ePO の次のエンドポイントに関するエージェント情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合（is_success=false）:

指定されたホストのエージェント情報が見つかりませんでした。

重大なエラー（不合格）の場合:

「エージェント情報の取得」アクションの実行中にエラーが発生しました。理由: {traceback}

 全般

DAT バージョンを取得する

説明

Trellix ePO のエンドポイントから DAT 情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
Dat バージョン なし なし
JSON の結果
{
"DAT_version": {DAT version}
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つの成功が

Trellix ePO の次のエンドポイントから DAT 情報を正常に取得しました: {entity.identifier}

1 つでも成功しなかった場合

アクションは、Trellix ePO の次のエンドポイントから DAT 情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合

指定されたエンドポイントで DAT に関する情報が見つかりませんでした。

重大なエラー（不合格）の場合:

「Get Dat Version」アクションの実行中にエラーが発生しました。理由: {traceback}

 全般

ハッシュのイベントを取得する

説明

ハッシュに関連するイベントに関する情報を取得します。注: MD5 ハッシュのみがサポートされています。

パラメータ

名前 型 デフォルト値 必須 説明
EPExtendedEvent テーブルからイベントを取得する チェックボックス オフ いいえ 有効にすると、アクションは「EPExtendedEvent」テーブルを使用してハッシュに関する情報を検索します。
不審としてマーク チェックボックス ○ False 有効にした場合、イベントが検出されたすべてのハッシュがアクションによって不審としてマークされます。
インサイトの作成 チェックボックス いいえ False 有効にすると、アクションによって、イベントが関連付けられているハッシュに関する情報を含む分析情報が作成されます。
返されるフィールド CSV

EPOEvents.ThreatName,
EPOEvents.ThreatType,
EPOEvents.ThreatActionTaken,
EPOEvents.ThreatHandled,
EPOEvents.ThreatCategory
,EPOEvents.TargetHostName,
EPOEvents.TargetUserName,
EPOEvents.TargetFileName,
EPOEvents.TargetProcessName,
EPOEvents.TargetPort,EPOEvents.
TargetProtocol,EPOEvents.
ThreatCategory,EPOEvents.
TargetIPV4,EPOEvents.
SourceHostName,EPOEvents.
SourceIPV4,EPOEvents.
SourceUserName,EPOEvents.
SourceProcessName,EPOEvents.
SourceURL

 False 返すフィールドを指定します。何も指定しないと、アクションは使用可能なすべてのフィールドを返します。
フィールドの並べ替え 文字列 なし False 結果の並べ替えに使用するフィールドを指定します。
並べ替え順序 DDL

昇順

有効な値:

昇順

DESC

 False クエリに適用する並べ替え順序を指定します。
期間 DDL

Last Hour

有効な値:

Last Hour

過去 6 時間

過去 24 時間

先週

先月

カスタム

 False イベントの期間を指定します。[カスタム] を選択した場合は、[開始時刻] も指定する必要があります。
開始時刻 文字列 なし False イベントの開始時刻を指定します。[期間] パラメータに [カスタム] が選択されている場合、このパラメータは必須です。形式: ISO 8601
終了時刻 文字列 なし False イベントの終了時刻を指定します。形式: ISO 8601。何も指定されず、「期間」パラメータで「カスタム」が選択されている場合、このパラメータでは現在の時刻が使用されます。
返される最大イベント数 整数 50 False 返されるイベントの数を指定します。デフォルト: 50。

実行

このアクションは Filehash エンティティに対して実行されます。

アクションの結果

エンティティ拡充
拡充フィールド名 ロジック - 適用するタイミング
EPOEvents.ThreatCategory JSON の結果に存在する場合に返す
EPOEvents.TargetUserName JSON の結果に存在する場合に返す
EPOEvents.TargetPort JSON の結果に存在する場合に返す
EPOEvents.TargetFileName JSON の結果に存在する場合に返す
EPOEvents.TargetIPV4 JSON の結果に存在する場合に返す
EPO_AgentGUID JSON の結果に存在する場合に返す
分析情報

現在のハッシュの Trellix ePO で見つかったイベントの分析情報が作成されます。

JSON の結果
[
    {
        "EntityResult":
        [
            {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }, {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }],
        "Entity": "44d88612fea8a8f36de82e1278abb02f"
    }
]
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

成功し、結果が利用可能な場合（is_success=true）

「Trellix ePO で次のハッシュの利用可能なイベントが正常に返されました: {entity.identifier}」

1 つが成功しなかった場合:（is_success=true）

「アクションは、Trellix ePO で次のハッシュのイベントを見つけることができませんでした: {entity.identifier}」

すべてが成功しなかった場合（is_success=false）:

「Trellix ePO で、指定されたエンドポイントにイベントが見つかりませんでした。」

致命的なエラー（認証情報が誤っている、サーバーに接続できないなど）の場合（失敗）: 「"エンドポイントの脅威を取得" アクションの実行中にエラーが発生しました。理由: {0}」.format(error.Stacktrace)

レスポンスにエラーがある場合（失敗）: 「アクション「エンティティ クエリの実行」の実行エラー。理由: {0}」.format( response text)

「期間」が「カスタム」の場合に開始時刻が空の場合（失敗）: 「アクション「エンドポイントの脅威の取得」の実行エラー。理由: 「期間」パラメータで「カスタム」が選択されている場合は、「開始時刻」を指定する必要があります。」

 全般

ホスト IP のステータスを取得する

説明

Trellix ePO のエンドポイントから IPS 情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_status_received 正しい / 誤り is_status_received:False
JSON の結果
{
"IPS_status": {IPS_status}
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つの成功が

Trellix ePO の次のエンドポイントから IPS 情報が正常に取得されました: {entity.identifier}

1 つでも成功しなかった場合

アクションは、Trellix ePO の次のエンドポイントから IPS 情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合

指定されたエンドポイントで IPS に関する情報が見つかりませんでした。

重大なエラー（不合格）の場合:

「ホスト IPS ステータスの取得」アクションの実行中にエラーが発生しました。理由: {traceback}

 全般

ホスト ネットワーク IP のステータスを取得する

説明

Trellix ePO のエンドポイントからネットワーク IPS 情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_status_received 正しい / 誤り is_status_received:False
JSON の結果
{
"Network_IPS_status": {Network_IPS_status}
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つの成功が

Trellix ePO の次のエンドポイントからネットワーク IPS 情報が正常に取得されました: {entity.identifier}

1 つでも成功しなかった場合

アクションは、Trellix ePO の次のエンドポイントからネットワーク IPS 情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合

指定されたエンドポイントでネットワーク IPS に関する情報が見つかりませんでした。

重大なエラー（不合格）の場合:

「ホスト ネットワーク IPS ステータスの取得」アクションの実行中にエラーが発生しました。理由: {traceback}

 全般

最後の通信時間を取得する

説明

Trellix ePO のエンドポイントから、最後の通信時間に関する情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

ユースケース

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
isSuccess 正しい / 誤り isSuccess:False
JSON の結果
{
"last_communication_time": {last_communication_time}
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つの成功が

Trellix ePO の次のエンドポイントから、最後の通信時間情報が正常に取得されました: {entity.identifier}

1 つでも成功しなかった場合

アクションは、Trellix ePO の次のエンドポイントから最終通信時刻情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合

指定されたエンドポイントに、最後の通信時間に関する情報が見つかりませんでした。

重大なエラー（不合格）の場合:

「最後の通信時刻を取得」アクションの実行中にエラーが発生しました。理由: {traceback}

 全般

McAfee Epo エージェントのバージョンを取得する

説明

Trellix ePO のエンドポイントからエージェント バージョンに関する情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

ユースケース

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
McAfee Agent のバージョン なし なし
JSON の結果
{
"ePO_agent_version": ePO_agent_version
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つの成功が

Trellix ePO の次のエンドポイントからエージェント バージョン情報を正常に取得しました: {entity.identifier}

1 つでも成功しなかった場合

アクションは、Trellix ePO の次のエンドポイントからエージェント バージョン情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合

指定されたエンドポイントにエージェント バージョンに関する情報が見つかりませんでした。

重大なエラー（不合格）の場合:

「最後の通信時刻を取得」アクションの実行中にエラーが発生しました。理由: {traceback}

 全般

システム情報を取得する

説明

Trellix ePO からエンドポイントに関するシステム情報を返します。サポートされるエンティティ: ホスト名、IP。

パラメータ

パラメータ タイプ デフォルト値 必須 Description
インサイトの作成 チェックボックス チェックボックスがオン 有効にすると、アクションによってエンドポイントに関する情報を含むインサイトが作成されます。

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

エンティティ拡充
拡充フィールド名 ロジック - 適用するタイミング
FreeDiskSpace JSON の結果に存在する場合に返す
ユーザー名 JSON の結果に存在する場合に返す
DomainName JSON の結果に存在する場合に返す
LastAgentHandler JSON の結果に存在する場合に返す
IPV4x JSON の結果に存在する場合に返す
OSBitMode JSON の結果に存在する場合に返す
IPV6 JSON の結果に存在する場合に返す
OSType JSON の結果に存在する場合に返す
SysvolFreeSpace JSON の結果に存在する場合に返す
IPHostName JSON の結果に存在する場合に返す
CPUSerialNum JSON の結果に存在する場合に返す
IPSubnetMask JSON の結果に存在する場合に返す
SysvolTotalSpace JSON の結果に存在する場合に返す
IPSubnet JSON の結果に存在する場合に返す
説明 JSON の結果に存在する場合に返す
FreeMemory JSON の結果に存在する場合に返す
CPUSpeed JSON の結果に存在する場合に返す
SubnetMask JSON の結果に存在する場合に返す
IPAddress JSON の結果に存在する場合に返す
DefaultLangID JSON の結果に存在する場合に返す
OSPlatform JSON の結果に存在する場合に返す
NetAddress JSON の結果に存在する場合に返す
TotalDiskSpace JSON の結果に存在する場合に返す
SubnetAddress JSON の結果に存在する場合に返す
NumOfCPU JSON の結果に存在する場合に返す
TimeZone JSON の結果に存在する場合に返す
SystemDescription JSON の結果に存在する場合に返す
Vdi JSON の結果に存在する場合に返す
OSBuildNum JSON の結果に存在する場合に返す
OSVersion JSON の結果に存在する場合に返す
IsPortable JSON の結果に存在する場合に返す
TotalPhysicalMemory JSON の結果に存在する場合に返す
IPXAddress JSON の結果に存在する場合に返す
UserProperty7 JSON の結果に存在する場合に返す
ParentID JSON の結果に存在する場合に返す
CPUType JSON の結果に存在する場合に返す
分析情報

なし

JSON の結果
[
    {
        "EntityResult":
        {
            "FreeDiskSpace": "444316",
            "UserName": "Admin",
            "OSServicePackVer": " ",
            "DomainName": "WORKGROUP",
            "LastAgentHandler": "1",
            "IPV4x": "-1979711239",
            "OSBitMode": "1",
            "IPV6": "0:0:0:0:0:FFFF:A00:F9",
            "OSType": "Windows Server 2012 R2",
            "SysvolFreeSpace": "94782",
            "IPHostName": "McAfee-ePO",
            "CPUSerialNum": "N/A",
            "IPSubnetMask": "0:0:0:0:0:FFFF:FFFF:FE00",
            "SysvolTotalSpace": "161647",
            "IPSubnet": "0:0:0:0:0:FFFF:A00:0",
            "Description": "None",
            "FreeMemory": "1626767360",
            "CPUSpeed": "2400",
            "SubnetMask": " ",
            "IPAddress": "1.1.1.1",
            "DefaultLangID": "0409",
            "OSPlatform": "Server",
            "ComputerName": "MCAFEE-EPO",
            "OSOEMID": "00252-00112-26656-AA653",
            "NetAddress": "005056A56847",
            "TotalDiskSpace": "511646",
            "SubnetAddress": " ",
            "NumOfCPU": "4",
            "TimeZone": "Jerusalem Standard Time",
            "SystemDescription": "N/A",
            "Vdi": "0",
            "OSBuildNum": "9600",
            "OSVersion": "6.3",
            "IsPortable": "0",
            "TotalPhysicalMemory": "6441984000",
            "IPXAddress": "N/A",
            "UserProperty7": " ",
            "UserProperty6": " ",
            "UserProperty5": " ",
            "UserProperty4": " ",
            "UserProperty3": " ",
            "UserProperty2": " ",
            "UserProperty1": " ",
            "ParentID": "8",
            "CPUType": "Intel(R) Xeon(R) CPU E5-2630 v3 @ 2.40GHz",
            "UserProperty8": " "
        },
        "Entity": "1.1.1.1"
    }
]
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つが成功した場合（is_success=true）:

Trellix ePO から次のエンドポイントに関するシステム情報を正常に取得しました: {entity.identifier}

1 つが成功しなかった場合（is_success=true）:

アクションは、Trellix ePO から次のエンドポイントに関するシステム情報を取得できませんでした: {entity.identifier}

すべてで成功しなかった場合（is_success=false）

指定されたエンドポイントに関するシステム情報が見つかりませんでした。

重大なエラーの場合:

「システム情報の取得」アクションの実行中にエラーが発生しました。理由: {error.traceback}

 全般

ウイルス エンジン エージェントのバージョンを取得する

説明

McAfee ePO のエンドポイントからウイルス エンジン エージェントのバージョン情報を取得します。サポートされるエンティティ: ホスト名、IP。

パラメータ

なし

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
ウイルス エンジン エージェントのバージョン なし なし
JSON の結果
{
"Virus_Engine_Agent_version": {Virus_engine_agent_version}
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つの成功が

Trellix ePO の次のエンドポイントから Virus Engine エージェントのバージョン情報を正常に取得しました: {entity.identifier}

1 つでも成功しなかった場合

アクションは、Trellix ePO の次のエンドポイントから Virus Engine エージェントのバージョン情報を取得できませんでした: {entity.identifier}

すべてが成功しなかった場合

提供されたエンドポイントで、Virus Engine エージェントのバージョンに関する情報が見つかりませんでした。

重大なエラー（不合格）の場合:

アクション「ウイルス エンジン エージェントのバージョンを取得」の実行中にエラーが発生しました。理由: {traceback}

 全般

Ping

説明

Google SecOps Content Hub ページの統合構成ページで提供されたパラメータを使用して、Trellix ePO への接続性をテストします。

パラメータ

なし

ユースケース

なし

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
null なし なし
JSON の結果
N/A

タグの削除

説明

Trellix ePO でエンドポイントからタグを削除します。サポートされるエンティティ: ホスト名、IP。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
タグ名 文字列 なし ○ エンドポイントから削除する必要があるタグの名前を指定します。

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
N/A
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つが成功した場合（is_success=true）:

次のエンドポイントからタグ「{tag name}」を削除しました

Trellix ePO: {entity.identifier}

タグがエンドポイントの一部でない場合:（is_success=true）:

タグ「{tag}」は、Trellix ePO の次のエンドポイントの一部ではありませんでした: {entity.identifier}

1 つが成功しなかった場合（is_success=true）

アクションは、Trellix ePO の次のエンドポイントからタグ「{tag name}」を削除できませんでした: {entity.identifier}

すべてが成功しなかった場合（is_success=false）:

タグ「{tag}」は、指定されたエンドポイントから削除されませんでした。

重大なエラー（不合格）の場合:

「タグを削除」アクションの実行中にエラーが発生しました。理由: {traceback}

タグが無効な場合（不合格）

アクション「タグの削除」の実行中にエラーが発生しました。理由: タグ「{tag name}」が Trellix ePO で見つかりませんでした。

 全般

フルスキャンを実行

説明

Trellix ePO で指定されたエンドポイントに対してフルスキャンを実行します。サポートされるエンティティ: ホスト名、IP。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
タスク名 文字列 オンデマンド スキャン - フルスキャン ○ フルスキャンを実行するために実行するタスクを指定します。

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
RunTask_Status なし なし
JSON の結果
{
"status": "success" or "failure"
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つのエンティティで成功した場合:

Trellix ePO の次のエンドポイントで、タスク「{task name}」に基づいてフルスキャンが正常に実行されました: {entity.identifier}

1 つのエンティティで成功しなかった場合:

アクションは、Trellix ePO の次のエンドポイントでタスク「{task name}」に基づいてフルスキャンを実行できませんでした: {entity.identifier}

すべてが成功しなかった場合:

指定されたエンドポイントでフルスキャンが実行されませんでした。

重大なエラー（不合格）の場合:

アクション「フルスキャンの実行」の実行エラー。理由: {error traceback}

タスクが見つからない場合（失敗）:

アクション「フルスキャンの実行」の実行エラー。理由: タスク「{task name}」が Trellix ePO で見つかりませんでした。スペルを確認してください。

 全般

McAfee Agent を更新する

説明

Trellix ePO で、指定されたエンドポイントの McAfee Agent を更新します。Windows 用のタスク: DAT_Update_Windows_CWS。Linux 用のタスク: DAT_Update_Linux_CWS。サポートされるエンティティ: ホスト名、IP。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
タスク名 文字列 DAT_Update_Windows_CWS ○ McAfee Agent を更新するために実行するタスクを指定します。Windows のデフォルトは DAT_Update_Windows_CWS です。Linux の場合は DAT_Update_Linux_CWS

実行

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
Update_Status なし なし
JSON の結果
{
"status": "success" or "failure"
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つのエンティティで成功した場合:

Trellix ePO の次のエンドポイントで、タスク「{task name}」に基づいてエージェントが正常に更新されました: {entity.identifier}

1 つのエンティティで成功しなかった場合:

アクションは、Trellix ePO の次のエンドポイントのタスク「{task name}」に基づいてエージェントを更新できませんでした: {entity.identifier}

すべてが成功しなかった場合:

エージェントは更新されませんでした。

重大なエラー（不合格）の場合:

「McAfee Agent の更新」アクションの実行中にエラーが発生しました。理由: {error traceback}

タスクが見つからない場合（失敗）:

「McAfee Agent の更新」アクションの実行中にエラーが発生しました。理由: タスク「{task name}」が Trellix ePO で見つかりませんでした。スペルを確認してください。

 全般

コネクタ

McAfee EPO - Threats Connector

説明

EPOEvents テーブルから Google SecOps にイベントを pull します。許可リストは Analyzer 名で機能します。

Google SecOps で McAfee EPO - Threats Connector を構成する

Google SecOps でコネクタを構成する方法の詳細については、コネクタの構成をご覧ください。

コネクタ パラメータ

次のパラメータを使用してコネクタを構成します。

パラメータの表示名 タイプ デフォルト値 必須 Description
プロダクト フィールド名 文字列 プロダクト名 ○ ソース フィールド名を入力してプロダクト フィールド名を取得します。
イベント フィールド名 文字列 EPOEvents_ThreatType ○ ソース フィールド名を入力してイベント フィールド名を取得します。
環境フィールド名 文字列 "" いいえ

環境名が保存されるフィールドの名前を記述します。

環境フィールドがない場合、その環境がデフォルトの環境です。
環境の正規表現パターン 文字列 .* いいえ

[環境フィールド名] フィールドで見つかった値に対して実行する正規表現パターン。

デフォルトは、すべてキャッチして値を変更せずに返す .* です。

ユーザーが正規表現ロジックで環境フィールドを操作できるようにするために使用されます。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
スクリプトのタイムアウト（秒） 整数 180 はい 現在のスクリプトを実行している Python プロセスのタイムアウト上限。
API ルート 文字列 http://x.x.x.x:8443/remote/ ○ Trellix ePO インスタンスの API ルート。
ユーザー名 文字列 なし ○ Trellix ePO インスタンスのユーザー名。
パスワード パスワード ○ Trellix ePO インスタンスのパスワード。
グループ名 文字列 いいえ 指定すると、コネクタはそのグループに属するエンドポイントからのみ脅威を取得します。
最大遡及時間 整数 1 いいえ どの時点からイベントを取得するかの時間数。
取得する最大イベント数 Integer 10 いいえ 1 回のコネクタのイテレーションで処理するイベントの数。デフォルト: 10。
取得する最も低い重大度 文字列 中 いいえ

取得するイベントの最も低い重大度。デフォルトでは、コネクタはすべてのイベントを取り込みます。有効な値:

情報、低、中、高、重大。
許可リストを拒否リストとして使用 チェックボックス オン ○ 有効にすると、許可リストが拒否リストとして使用されます。
SSL を確認 チェックボックス オフ ○ 有効になっている場合は、Trellix ePO サーバーへの接続用の SSL 証明書が有効であることを確認します。
CA 証明書ファイル 文字列 なし False Base64 でエンコードされた CA 証明書ファイル。
プロキシ サーバーのアドレス 文字列 なし いいえ 使用するプロキシ サーバーのアドレス。
プロキシのユーザー名 文字列 なし いいえ 認証に使用するプロキシのユーザー名。
プロキシ パスワード パスワード いいえ 認証に使用するプロキシ パスワード。

コネクタ ルール

プロキシのサポート

コネクタでプロキシがサポートされます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。