McAfee ESM

In diesem Dokument wird beschrieben, wie Sie McAfee ESM in Google SecOps einbinden.

Anwendungsfälle für die Integration

Alarme oder Korrelationen in Google Security Operations aufnehmen

Mit der Integration können Sie Informationen aus McAfee ESM in Google SecOps aufnehmen. Insbesondere, um Alarme und Korrelationen aufzunehmen, die später in der SOAR-Plattform priorisiert werden können. Dies kann mit dem McAfee ESM Connector für die Aufnahme von Alarmen und dem McAfee ESM Correlations Connector für die Aufnahme von Korrelationen erreicht werden.

Führen Sie einen Drilldown durch, um mehr Kontext zum Sicherheitsvorfall zu erhalten.

Die Integration unterstützt mehrere Aktionen, mit denen Sie benutzerdefinierte Abfragen ausführen („Ähnliche Ereignisse abrufen“, „Erweiterte Abfrage senden“, „Abfrage an ESM senden“, „Entitätsabfrage an ESM senden“) und Ereignisinformationen abrufen können. Außerdem gibt es die Aktion Ähnliche Ereignisse abrufen, mit der Ereignisse im Zusammenhang mit den IP-Adressen, Hostnamen und Nutzern in der Google SecOps-Benachrichtigung abgefragt werden.

IOCs mit Beobachtungslisten im Blick behalten

Die Integration unterstützt das Hinzufügen und Entfernen von Elementen aus Merklisten. So können Sie eine Beobachtungsliste mit verdächtigen IP-Adressen oder Hashes ständig aktualisieren.

Netzwerk

API-Zugriff von Google SecOps auf McAfee ESM: Lassen Sie Traffic über Port 443 (HTTPS) zu (oder wie in Ihrer Umgebung konfiguriert).

Sitzungsverwaltung

McAfee ESM hat einen globalen Parameter, der die Anzahl der Sitzungen pro Nutzer begrenzt. In Google SecOps gibt es einen vollständigen Mechanismus für die Sitzungsverwaltung, sodass die Integration dieselbe Sitzung für die gesamte Integration verwendet. Sitzungswerte werden verschlüsselt im DB-Eintrag McAfee_ESM_Action_Sessions_*.json und McAffee_ESM_Connector_Sessions_*.json gespeichert.

Empfehlungen:

• Verwenden Sie einen Nutzer für Aktionen und einen Nutzer für Connectors.
• Pro Nutzer sollten mindestens zwei Sitzungen verfügbar sein.

Diese Empfehlungen sind erforderlich, damit die Integration stabil ist.

Kompatibilität mit Integrationen

Produktname	Version	Bereitstellung	Hinweise
McAfee ESM	11.1–11.5	Lokal	Die Integration wurde mit den Produktversionen 11.1 bis 11.5 getestet und die in der Integration verwendete API wurde nicht geändert. Wenn die API in den neueren Versionen nicht aktualisiert wurde, funktioniert die Integration weiterhin.

McAfeeESM-Integration in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Parameter für die Integrationskonfiguration

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
API-Stamm	Sring	https://{ip}/rs/	Ja	API-Stamm für die Instanz.
Nutzername	String	–	Ja	Nutzername der Instanz.
Passwort	Passwort	–	Ja	Passwort für die Instanz.
Produktversion	String	11.5	Ja	Produktionsversion. Mögliche Werte: 11.1–11.5
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum McAfee ESM-Server gültig ist.

Aktionen

Werte zur Beobachtungsliste hinzufügen

Aktionsbeschreibung

Fügen Sie einer Beobachtungsliste in McAfee ESM Werte hinzu.

Hinweis: McAfee ESM lässt die Übergabe von Werten des ungültigen Typs zu. Beispielsweise wird von der API kein Fehler ausgegeben, wenn der IP-Beobachtungsliste ein Hash hinzugefügt wird. Achten Sie auf die Eingabe.

Aktionsnutzung

Verwenden Sie diese Aktion, um die Watchlist mit neuen Werten zu aktualisieren. Wenn Sie beispielsweise eine Beobachtungsliste für schädliche Hashes haben, können Sie diese Aktion verwenden, um die Beobachtungsliste auf dem neuesten Stand zu halten.

Parameter für die Aktionskonfiguration

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Name der Beobachtungsliste	String	–	Ja	Geben Sie den Namen der Watchlist an, die aktualisiert werden soll.
Werte, die hinzugefügt werden sollen	CSV	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Werten an, die einer Beobachtungsliste hinzugefügt werden sollen.

Entitätsbereich der Aktion

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn der Statuscode 200 gemeldet wird (is_success=true): „Wert wurde der Beobachtungsliste hinzugefügt.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten oder keine Verbindung zum Server: „Fehler beim Ausführen der Aktion ‚Werte zur Watchlist hinzufügen‘. Reason: {0}".format(error.Stacktrace) Wenn in der Antwort Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Werte zur Beobachtungsliste hinzufügen‘. Grund: {message}.	Allgemein

Ähnliche Ereignisse abrufen

Aktionsbeschreibung

Rufen Sie Ereignisse im Zusammenhang mit den Entitäten in McAfee ESM ab. Unterstützte Entitäten: Hostname, IP-Adresse, Nutzer.

Hinweis: Die Aktion wird asynchron ausgeführt. Passen Sie den Zeitlimitwert für das Skript in der Google SecOps-IDE für die Aktion nach Bedarf an.

Parameter für die Aktionskonfiguration

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Stunden zurück	String	1	Ja	Geben Sie an, wie viele Stunden zurückgesucht werden soll.
IPS-ID	String	144115188075855872/8	Nein	Geben Sie die IP-SID für die Suche an.
Ergebnislimit	String	50	Nein	Geben Sie die Anzahl der zurückzugebenden Ergebnisse an. Der maximale Parameterwert: 200 pro Entität.

Entitätsbereich der Aktion

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname
• Nutzer

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "EntityResult":
        [{
            "Alert.DstPort": "0",
            "Rule.msg": "User Logon",
            "Alert.IPSIDAlertID": "144115188075855872|383521",
            "Action.Name": "success",
            "Alert.SrcIP": "1.1.1.1",
            "Alert.LastTime": "05/28/2019 14:18:10",
            "Alert.Protocol": "n/a",
            "Alert.SrcPort": "0",
            "Alert.DstIP": "1.1.1.1"
        }, {
            "Alert.DstPort": "0",
            "Rule.msg": "User Logon",
            "Alert.IPSIDAlertID": "144115188075855872|383519",
            "Action.Name": "success",
            "Alert.SrcIP": "1.1.1.1",
            "Alert.LastTime": "05/28/2019 14:16:16",
            "Alert.Protocol": "n/a",
            "Alert.SrcPort": "0",
            "Alert.DstIP": "1.1.1.1"
        }],
        "Entity": "1.1.1.1"
    }
]

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann anwenden?
Alert.DstPort	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Rule.msg	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Alert.IPSIDAlertID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Alert.SrcIP	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Alert.LastTime	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Alert.Protocol	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Alert.SrcPort	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Alert.DstIP	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn der Statuscode 200 für eine Entität gemeldet wird (is_success=true): „Ereignisse für die folgenden Entitäten in McAfee ESM wurden erfolgreich abgerufen: {entities}“ Wenn für eine Entität keine Daten vorhanden sind (is_success=true): „Die Aktion konnte keine Ereignisse für die folgenden Entitäten in McAfee ESM abrufen: {entities}.“ Wenn für alle Entitäten keine Daten vorhanden sind (is_success=false): „In McAfee ESM wurden keine Ereignisse für die angegebenen Entitäten gefunden.“ Asynchrone Nachricht: „Warten auf den Abschluss der Abfrage für {pending entities}.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein kritischer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Ähnliche Ereignisse abrufen‘. Reason: {0}".format(error.Stacktrace) Wenn die Aktion ein Zeitlimit überschritten hat: „Fehler beim Ausführen der Aktion ‚Ähnliche Ereignisse abrufen‘. Grund: Die Aktion hat die Abfrage initiiert, aber beim Abrufen der Daten ist eine Zeitüberschreitung aufgetreten. Erhöhen Sie das Zeitlimit in der IDE und versuchen Sie es noch einmal.“	Allgemein
Tabelle mit Fall-Repository	Alle Felder aus der Antwort.	Entität

Ping

Aktionsbeschreibung

Testen Sie die Verbindung zu McAfee ESM mit den Parametern, die auf der Seite für die Integrationskonfiguration im Google SecOps Content Hub angegeben sind.

Parameter für die Aktionskonfiguration

Diese Aktion hat keine obligatorischen Eingabeparameter.

Entitätsbereich der Aktion

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Bei Erfolg: „Successfully connected to the McAfee ESM server with the provided connection parameters!“ (Verbindung zum McAfee ESM-Server mit den angegebenen Verbindungsparametern erfolgreich hergestellt!) Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn nicht erfolgreich: „Verbindung zum McAfee ESM-Server konnte nicht hergestellt werden! Error is {0}".format(exception.stacktrace)	Allgemein

Werte aus Merkliste entfernen

Aktionsbeschreibung

Werte aus einer Beobachtungsliste in McAfee ESM entfernen.

Aktionsnutzung

Mit dieser Aktion können Sie bestimmte Werte aus der Beobachtungsliste entfernen. Wenn Sie beispielsweise eine Beobachtungsliste für schädliche Hashes haben und feststellen, dass einer der Hashes harmlos ist, können Sie ihn aus der Beobachtungsliste entfernen.

Parameter für die Aktionskonfiguration

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Name der Beobachtungsliste	String	–	Ja	Geben Sie den Namen der Watchlist an, die aktualisiert werden soll.
Zu entfernende Werte	CSV	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Werten an, die aus einer Beobachtungsliste entfernt werden sollen.

Entitätsbereich der Aktion

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn der Statuscode 200 gemeldet wird (is_success=true): „Wert wurde der Beobachtungsliste hinzugefügt.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten oder keine Verbindung zum Server: „Fehler beim Ausführen der Aktion ‚Werte aus Beobachtungsliste entfernen‘. Reason: {0}".format(error.Stacktrace) Wenn in der Antwort Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Werte aus Beobachtungsliste entfernen‘. Grund: {message}.“	Allgemein

Erweiterte Abfrage an ESM senden

Aktionsbeschreibung

Senden Sie eine erweiterte Abfrage an ESM.

Hinweis: Die Aktion wird asynchron ausgeführt. Passen Sie den Zeitlimitwert für das Skript in der Google SecOps-IDE für die Aktion nach Bedarf an.

Aktionsnutzung

Dies ist eine erweiterte Aktion, mit der Sie jede beliebige Abfrage in McAfee ESM ausführen können. Diese Aktion verwendet die vollständige Abfragenutzlast als Eingabe. Die Aktion gibt maximal 200 Einträge zurück, unabhängig davon, was in der Nutzlast angegeben ist.

Parameter für die Aktionskonfiguration

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Abfragenutzlast	String	–	Ja	Geben Sie das JSON-Objekt an, das ausgeführt werden muss. Die Aktion gibt maximal 200 Ergebnisse zurück.

Abfragenutzlast erstellen

So erstellen Sie eine Abfragenutzlast:

1. Melden Sie sich in der McAfee ESM-Benutzeroberfläche an und öffnen Sie die Entwicklertools in Ihrem Browser.
2. Rufen Sie den Tab Netzwerk auf.
3. Klicken Sie auf Tab hinzufügen und fügen Sie eine neue Ansicht hinzu.
4. Klicken Sie auf Widget hinzufügen.

5. Geben Sie im Dialogfeld Widget-Konfiguration den Widget-Titel ein und wählen Sie die Abfrage aus, die Sie ausführen möchten.

   

6. In den Entwicklertools sehen Sie die runningQuery-API-Anfrage.

7. Rufen Sie den Tab Nutzlast auf und klicken Sie auf Quelle ansehen.

8. Kopieren Sie die Nutzlast und fügen Sie sie in das Parameterfeld Query Payload ein.

   

Entitätsbereich der Aktion

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "Rule.msg": "* Latest Kubernetes 1.18 beta is now available for your laptop, NUC, cloud",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Starting Message of the Day...",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Started Message of the Day.",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "https://xxxxxxxx.run/",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "* Multipass 1.1 adds proxy support for developers behind enterprise",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "sudo snap install microk8s --channel=1.18/beta --classic",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Starting Daily apt upgrade and clean activities...",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Started Daily apt upgrade and clean activities.",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "firewalls. Rapid prototyping for cloud operations just got easier.",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "instance or Raspberry Pi, with automatic updates to the final GA release.",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Data Center : Telmetry Posting",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Send Password Expiry Notification",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Data Center: Telemetry Notifier to Collect Data",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Update successful",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Update successful",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "8198-software protection platform service",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "1003-software protection platform service",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "The Time Provider NtpClient is Currently Receiving Valid Time Data",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Time service now synchronizing system time",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "1",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "autorefresh.go:397: auto-refresh: all snaps are up-to-date",
        "COUNT(*)": "2",
        "SUM(Alert.EventCount)": "2",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "storehelpers.go:436: cannot refresh: snap has no updates available: \\\"amazon-ssm-agent\\\", \\\"core\\\"",
        "COUNT(*)": "2",
        "SUM(Alert.EventCount)": "2",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "The Windows Security Center Service could not start Windows Defender",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "2",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "A user's local group membership was enumerated",
        "COUNT(*)": "2",
        "SUM(Alert.EventCount)": "2","Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "The System Time Has Changed",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "3",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "The system time was changed.",
        "COUNT(*)": "1",
        "SUM(Alert.EventCount)": "3",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "User Logon",
        "COUNT(*)": "4",
        "SUM(Alert.EventCount)": "4",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "16384-software protection platform service",
        "COUNT(*)": "7",
        "SUM(Alert.EventCount)": "7",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "16394-software protection platform service",
        "COUNT(*)": "7",
        "SUM(Alert.EventCount)": "7",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Linux crond Session opened",
        "COUNT(*)": "10",
        "SUM(Alert.EventCount)": "10",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Linux crond Session closed",
        "COUNT(*)": "10",
        "SUM(Alert.EventCount)": "10",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Linux cron Scheduled Command Executed",
        "COUNT(*)": "10",
        "SUM(Alert.EventCount)": "10",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "DHCPACK of xx.x.x.xxx from xx.x.x.x",
        "COUNT(*)": "19",
        "SUM(Alert.EventCount)": "19",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Linux dhclient Renewal",
        "COUNT(*)": "19",
        "SUM(Alert.EventCount)": "19",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Linux DHCP Client Request",
        "COUNT(*)": "19",
        "SUM(Alert.EventCount)": "19",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Special Privileges Assigned",
        "COUNT(*)": "28",
        "SUM(Alert.EventCount)": "28",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Special privileges assigned to new logon.",
        "COUNT(*)": "21",
        "SUM(Alert.EventCount)": "30",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "An account was successfully logged on",
        "COUNT(*)": "21",
        "SUM(Alert.EventCount)": "30",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Endpoint Security Firewall Property Translator",
        "COUNT(*)": "40",
        "SUM(Alert.EventCount)": "40",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Retrieve broker health information",
        "COUNT(*)": "41",
        "SUM(Alert.EventCount)": "41",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "5379-microsoft-windows-security-auditing",
        "COUNT(*)": "10",
        "SUM(Alert.EventCount)": "90",
        "Alert.DSIDSigID": "12345-2223334445"
    },{
        "Rule.msg": "Returns a list of DXL Registered Services",
        "COUNT(*)": "43",
        "SUM(Alert.EventCount)": "164",
        "Alert.DSIDSigID": "12345-2223334445"
    }
]

Fall-Repository

Wenn die Aktion ein Zeitlimit überschritten hat: „Fehler beim Ausführen der Aktion ‚Erweiterte Abfrage an ESM senden‘. Grund: Die Aktion hat die Abfrage initiiert, aber beim Abrufen der Daten ist eine Zeitüberschreitung aufgetreten. Erhöhen Sie das Zeitlimit in der IDE und versuchen Sie es noch einmal.“

Ergebnistyp	Wert/Beschreibung	Text
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Bei Statuscode 200 (is_success=true): „Daten für die angegebene Abfrage in McAfee ESM erfolgreich abgerufen.“ Wenn für eine Entität keine Daten vorhanden sind (is_success=true): „Für die angegebene Abfrage wurden in McAfee ESM keine Daten gefunden.“ Asynchrone Nachricht: „Warten, bis die Abfrage abgeschlossen ist…“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein kritischer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Erweiterte Abfrage an ESM senden‘. Reason: {0}".format(error.Stacktrace) Wenn der Statuscode 400 oder 500 gemeldet wird: „Fehler beim Ausführen der Aktion ‚Erweiterte Abfrage an ESM senden‘. Reason: {0}";.format(response)	Allgemein
Tabelle mit Fall-Repository	Alle Felder aus der Antwort.	Allgemein

Abfrage an ESM senden

Aktionsbeschreibung

Senden Sie eine Abfrage an ESM.

Hinweis: Die Aktion wird asynchron ausgeführt. Passen Sie den Zeitlimitwert für das Skript in der Google SecOps-IDE für die Aktion nach Bedarf an.

Aktionsnutzung

Mit dieser Aktion können Sie die Google SecOps-Benachrichtigung weiter aufschlüsseln. Sie können Ereignisse, Assets und Ablaufdaten abrufen.

Parameter für die Aktionskonfiguration

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Zeitraum	Drop-down-Liste	LAST_24_HOURS Mögliche Werte: LAST_MINUTE LAST_10_MINUTES LAST_30_MINUTES LAST_HOUR CURRENT_DAY PREVIOUS_DAY LAST_2_DAYS LAST_3_DAYS CURRENT_WEEK PREVIOUS_WEEK CURRENT_MONT PREVIOUS_MONT CURRENT_QUARTER PREVIOUS_QUARTER CURRENT_YEAR PREVIOUS_YEAR	Ja	Geben Sie einen Zeitraum für die Ergebnisse an. Wenn Custom ausgewählt ist, müssen Sie auch den Parameter Startzeit festlegen.
Beginn	String	–	Nein	Geben Sie die Startzeit für die Ergebnisse an. Dieser Parameter ist obligatorisch, wenn Custom für den Parameter Zeitraum ausgewählt ist. Format: ISO 8601
Ende	String	–	Nein	Geben Sie die Endzeit für die Ergebnisse an. Format: ISO 8601. Wenn nichts angegeben ist und Custom für den Parameter Zeitraum ausgewählt ist, wird für diesen Parameter die aktuelle Zeit verwendet.
Name des Filterfelds	String	–	Ja	Geben Sie den Feldnamen an, der für die Filterung verwendet werden soll.
Filteroperator	Drop-down-Liste	GLEICH Mögliche Werte: IN NOT_IN GREATER_OR_EQUALS_THAN LESS_OR_EQUALS_THAN DOES_NOT_EQUAL GLEICH ENTHÄLT DOES_NOT_CONTAIN	Ja	Geben Sie den Operator an, der im Filter verwendet werden soll.
Filterwerte	String	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Werten an, die im Filter verwendet werden sollen.
Abzurufende Felder	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen. Wenn nichts angegeben ist, werden die vordefinierten Felder verwendet.
Sortierfeld	String	–	Nein	Geben Sie an, welcher Parameter für die Sortierung verwendet werden soll. Dieser Parameter erwartet das Feld im Format {table}.{key name}. Wenn der Parameter in einem anderen Format angegeben wird, wird er von der Aktion übersprungen. Beispiel: Alert.LastTime
Sortierreihenfolge	Drop-down-Liste	ASC Mögliche Werte: ASC DESC	Nein	Geben Sie die Sortierreihenfolge an.
Abfragetyp	Drop-down-Liste	EVENT Mögliche Werte: EVENT FLOW ASSET	Ja	Geben Sie an, was abgefragt werden soll.
Maximale Anzahl zurückzugebender Ergebnisse	Ganzzahl	50	Ja	Geben Sie die Anzahl der zurückzugebenden Ergebnisse an. Der Standardparameterwert ist 50. Der maximale Parameterwert ist 200.

Mit dem Parameter „Zeitraum“ arbeiten

Mit dem Parameter Zeitraum wird der Zeitraum angegeben, der beim Ausführen der Abfrage verwendet werden soll. Die Aktion unterstützt viele vordefinierte Werte, die Sie auswählen können. Sie können auch einen benutzerdefinierten Zeitraum festlegen.

Wenn Sie einen benutzerdefinierten Zeitraum festlegen möchten, müssen Sie den Parameter Time Range auf Custom setzen und einen ISO 8601-Wert für den Parameter Start Time angeben. Standardmäßig verweist der Parameter Endzeit auf die aktuelle Zeit.

Geben Sie Felder für die Parameter „Filter Field Name“, „Fields To Fetch“ und „Sort Field“ an.

Führen Sie die folgenden Schritte aus, um Felder für die Parameter Feldname, Abzurufende Felder und Sortierfeld anzugeben:

1. Melden Sie sich in der McAfee ESM-Benutzeroberfläche an und öffnen Sie die Entwicklertools in Ihrem Browser.
2. Rufen Sie den Tab Netzwerk auf.
3. Klicken Sie auf Tab hinzufügen und fügen Sie eine neue Ansicht hinzu.
4. Klicken Sie auf Widget hinzufügen.

5. Im Dialogfeld Widget-Konfiguration:

   • Wählen Sie im Bereich Felder alle Felder aus, die Sie interessieren.
   • Geben Sie einen benutzerdefinierten Titel ein und legen Sie Abfragequelle auf Events fest. Wählen Sie für Assets Assets und für Abläufe Flows aus.

   

6. Nachdem Sie alle erforderlichen Felder ausgewählt haben, klicken Sie auf Erstellen.

7. In den Entwicklertools wird die runningQuery-Anfrage angezeigt. Rufen Sie Details zu dieser Anfrage ab und rufen Sie den Abschnitt Anfrage auf. Dort sehen Sie eine Liste aller API-Namen für die von Ihnen angegebenen Felder.

   

Bekannte Probleme

• Die McAfee ESM API, die von der Aktion zum Senden von Abfragen (qryExecuteDetail) verwendet wird, zeigt unerwartetes Verhalten in Szenarien, in denen ein Schlüssel eines nicht unterstützten Typs (FLOAT-Schlüssel) mit den Operatoren GREATER_OR_EQUALS_THAN oder LESS_OR_EQUALS_THAN verwendet wird. Validieren Sie die Typen der verwendeten Felder.
• Es wurde festgestellt, dass einige Schlüsselkombinationen keine Ergebnisse liefern, obwohl der Filter keinen McAfee API-Fehler zurückgegeben hat.

Hinweis: Wenn eines der aufgeführten bekannten Probleme auftritt, empfehlen wir, stattdessen die Aktion Erweiterte Abfrage an ESM senden zu verwenden.

Entitätsbereich der Aktion

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "Rule.msg": "McAfee EDB database server state change alert",
        "Alert.AvgSeverity": "25",
        "Alert.SrcIP": "::",
        "Alert.EventCount": "1",
        "Alert.LastTime": "02/12/2019 20:45:45",
        "Alert.Protocol": "n/a",
        "Action.Name": "informational",
        "Alert.IPSIDAlertID": "144115188075855872|1",
        "Alert.DstIP": "10.0.0.10"
    }
]

Fall-Repository

Wenn die Aktion ein Zeitlimit überschritten hat: „Fehler beim Ausführen der Aktion ‚Abfrage an ESM senden‘. Grund: Die Aktion hat die Abfrage initiiert, aber beim Abrufen der Daten ist eine Zeitüberschreitung aufgetreten. Erhöhen Sie das Zeitlimit in der IDE und versuchen Sie es noch einmal.“

Ergebnistyp	Wert/Beschreibung	Text
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Bei Statuscode 200 (is_success=true): „Daten für die angegebene Abfrage in McAfee ESM erfolgreich abgerufen.“ Wenn für eine Entität keine Daten vorhanden sind (is_success=true): „Für die angegebene Abfrage wurden in McAfee ESM keine Daten gefunden.“ Asynchrone Nachricht: „Warten, bis die Abfrage abgeschlossen ist…“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein kritischer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Abfrage an ESM senden‘. Reason: {0}".format(error.Stacktrace) Wenn der Statuscode 400 oder 500 gemeldet wird: „Error executing action ‚Send Query to ESM‘. Reason: {0}".format(response)	Allgemein
Tabelle mit Fall-Repository	Alle Felder aus der Antwort.	Allgemein

Entitätsabfrage an ESM senden

Aktionsbeschreibung

Senden Sie eine Abfrage an ESM basierend auf Entitäten. Unterstützte Entitäten: IP-Adresse, Hostname.

Hinweis: Die Aktion wird asynchron ausgeführt. Passen Sie den Zeitlimitwert für das Skript in der Google SecOps-IDE für die Aktion nach Bedarf an.

Aktionsnutzung

Mit dieser Aktion können Sie die Google SecOps-Benachrichtigung zu den Entitäten weiter aufschlüsseln. Sie können Ereignisse, Assets und Ablauf-Informationen abrufen. Im Gegensatz zur Aktion Abfrage an ESM senden wird bei dieser Aktion auch ein Entitätsfilter als Teil der Abfrage hinzugefügt.

Parameter für die Aktionskonfiguration

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Entitätsschlüssel für IP-Adresse	String	Alert.SrcIP	Ja	Geben Sie den Schlüssel an, der beim Filtern mit der IP-Adressenentität verwendet wird. Wenn ein ungültiger Schlüssel angegeben wird, gibt die Aktion zwar Ergebnisse zurück, diese sind jedoch unerwartet.
Hostname-Entitätsschlüssel	String	–	Ja	Geben Sie den Schlüssel an, der beim Filtern mit der Hostnamen-Entität verwendet wird. Wenn ein ungültiger Schlüssel angegeben wird, gibt die Aktion zwar Ergebnisse zurück, diese sind jedoch unerwartet.
Zeitraum	Drop-down-Liste	LAST_HOUR Mögliche Werte: LAST_MINUTE LAST_10_MINUTES LAST_30_MINUTES LAST_HOUR CURRENT_DAY PREVIOUS_DAY LAST_2_DAYS LAST_3_DAYS CURRENT_WEEK PREVIOUS_WEEK CURRENT_MONTH PREVIOUS_MONTH CURRENT_QUARTER PREVIOUS_QUARTER CURRENT_YEAR PREVIOUS_YEAR BENUTZERDEFINIERT	Ja	Geben Sie einen Zeitraum für die Ergebnisse an. Wenn Custom ausgewählt ist, müssen Sie auch den Parameter Start Time angeben.
Beginn	String	–	Nein	Geben Sie die Startzeit für die Ergebnisse an. Dieser Parameter ist obligatorisch, wenn Custom für den Parameter Zeitraum ausgewählt ist. Format: ISO 8601
Ende	String	–	Nein	Geben Sie die Endzeit für die Ergebnisse an. Format: ISO 8601. Wenn nichts angegeben ist und Custom für den Parameter Zeitraum ausgewählt ist, wird für diesen Parameter die aktuelle Zeit verwendet.
Name des Filterfelds	String	–	Ja	Geben Sie den Feldnamen an, der für die Filterung verwendet werden soll.
Filteroperator	Drop-down-Liste	GLEICH Mögliche Werte: IN NOT_IN GREATER_OR_EQUALS_THAN LESS_OR_EQUALS_THAN DOES_NOT_EQUAL GLEICH ENTHÄLT DOES_NOT_CONTAIN	Ja	Geben Sie den Operator an, der im Filter verwendet werden soll.
Filterwerte	String	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Werten an, die im Filter verwendet werden sollen.
Abzurufende Felder	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen. Wenn nichts angegeben ist, werden die vordefinierten Felder verwendet.
Sortierfeld	String	–	Nein	Geben Sie an, welcher Parameter für die Sortierung verwendet werden soll. Dieser Parameter erwartet das Feld im Format {table}.{key name}. Wenn der Parameter in einem anderen Format angegeben wird, wird er von der Aktion übersprungen. Beispiel: Alert.LastTime
Sortierreihenfolge	Drop-down-Liste	ASC Mögliche Werte: ASC DESC	Nein	Geben Sie die Sortierreihenfolge an.
Maximale Anzahl zurückzugebender Ergebnisse	Ganzzahl	50	Ja	Geben Sie die Anzahl der zurückzugebenden Ergebnisse an. Der Standardparameterwert ist 50. Der maximale Parameterwert ist 200.

Mit dem Parameter „Zeitraum“ arbeiten

Mit dem Parameter Zeitraum wird der Zeitraum angegeben, der beim Ausführen der Abfrage verwendet werden soll. Die Aktion unterstützt viele vordefinierte Werte, die Sie auswählen können. Sie können auch einen benutzerdefinierten Zeitraum festlegen.

Wenn Sie einen benutzerdefinierten Zeitraum festlegen möchten, müssen Sie den Parameter Time Range auf Custom setzen und einen ISO 8601-Wert für den Parameter Start Time angeben. Standardmäßig verweist der Parameter Endzeit auf die aktuelle Zeit.

Geben Sie Felder für die Parameter „Filter Field Name“, „Fields To Fetch“ und „Sort Field“ an.

Führen Sie die folgenden Schritte aus, um Felder für die Parameter Filterfeldname, Abzurufende Felder und Sortierfeld anzugeben:

1. Melden Sie sich in der McAfee ESM-Benutzeroberfläche an und öffnen Sie die Entwicklertools in Ihrem Browser.
2. Rufen Sie den Tab Netzwerk auf.
3. Klicken Sie auf Tab hinzufügen und fügen Sie eine neue Ansicht hinzu.
4. Klicken Sie auf Widget hinzufügen.

5. Im Dialogfeld Widget-Konfiguration:

   • Wählen Sie im Bereich Felder alle Felder aus, die Sie interessieren.
   • Geben Sie einen benutzerdefinierten Titel ein und legen Sie Abfragequelle auf Events fest. Wählen Sie für Assets Assets und für Abläufe Flows aus.

   

6. Nachdem Sie alle erforderlichen Felder ausgewählt haben, klicken Sie auf Erstellen.

7. In den Entwicklertools wird die runningQuery-Anfrage angezeigt. Rufen Sie Details zu dieser Anfrage ab und rufen Sie den Abschnitt Anfrage auf. Dort sehen Sie eine Liste aller API-Namen für die von Ihnen angegebenen Felder.

   

Mit den Parametern „IP Address Entity Key“ und „Hostname Entity Key“ arbeiten

Die Parameter IP Address Entity Key und Hostname Entity Key definieren den Schlüssel, der im Filter verwendet wird. Wenn der Parameter IP Address Entity Key beispielsweise auf Alert.SrcIP festgelegt ist, erstellt die Aktion einen IP-Adressfilter mit dem Schlüssel Alert.SrcIP. Je nach Anwendungsfall können Sie den verwendeten Schlüssel ändern.

Bekannte Probleme

• Die McAfee ESM API, die von der Aktion zum Senden von Abfragen (qryExecuteDetail) verwendet wird, zeigt unerwartetes Verhalten in Szenarien, in denen ein Schlüssel eines nicht unterstützten Typs (FLOAT-Schlüssel) mit den Operatoren GREATER_OR_EQUALS_THAN oder LESS_OR_EQUALS_THAN verwendet wird. Validieren Sie die Typen der verwendeten Felder.
• Es wurde festgestellt, dass einige Schlüsselkombinationen keine Ergebnisse liefern, obwohl der Filter keinen McAfee API-Fehler zurückgegeben hat.

Hinweis: Wenn eines der aufgeführten bekannten Probleme auftritt, empfehlen wir, stattdessen die Aktion Erweiterte Abfrage an ESM senden zu verwenden.

Entitätsbereich der Aktion

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "Rule.msg": "McAfee EDB database server state change alert",
        "Alert.AvgSeverity": "25",
        "Alert.SrcIP": "::",
        "Alert.EventCount": "1",
        "Alert.LastTime": "02/12/2019 20:45:45",
        "Alert.Protocol": "n/a",
        "Action.Name": "informational",
        "Alert.IPSIDAlertID": "144115188075855872|1",
        "Alert.DstIP": "10.0.0.10"
    }
]

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen: Wenn der Statuscode 200 gemeldet wird(is_success=true): „Daten für die folgenden Entitäten in McAfee ESM wurden erfolgreich abgerufen: {entity.identifier}“ Wenn für alle Entitäten keine Daten vorhanden sind: „In McAfee ESM wurden für die folgenden Entitäten keine Daten gefunden: {entity.id}.“ Wenn der Statuscode 400 oder 500 für eine bestimmte Entität gemeldet wird: „In McAfee ESM wurden für die folgenden Entitäten keine Abfragen ausgeführt: {entity.id}. Überprüfen Sie die Konfiguration.“ Wenn für alle Entitäten keine Daten vorhanden sind (is_success=true): „Für die angegebenen Entitäten wurden in McAfee ESM keine Daten gefunden.“ Asynchrone Nachricht: „Warten, bis die Verarbeitung der Entität abgeschlossen ist…“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein kritischer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage an ESM senden‘. Reason: {0}''.format(error.Stacktrace)." Wenn der Statuscode 400 oder 500 für alle Entitäten gemeldet wird: „Error executing action ‚Send Entity Query To ESM‘. Grund: {response}' Wenn die Aktion ein Zeitlimit überschritten hat: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage an ESM senden‘. Grund: Die Aktion hat die Abfrage initiiert, aber beim Abrufen der Daten für die folgenden Entitäten ist ein Zeitüberschreitungsfehler aufgetreten: {entity.identifier}. Erhöhen Sie das Zeitlimit in der IDE und versuchen Sie es noch einmal. Hinweis: Wenn Sie die Aktion wiederholen, wird eine weitere Nachricht gesendet.“	Allgemein
Tabelle mit Fall-Repository	Alle Felder aus der Antwort.	Entität

Connectors

Connector-Upgrade – Integrationsversion: 34.0

Die Connectors wurden in der Integrationsversion 34.0 überarbeitet. Sie wurden optimiert, um weniger fehleranfällig und einfacher zu warten zu sein. Außerdem wurden neue Funktionen hinzugefügt.

Wenn Sie ein Upgrade des Connectors auf Version 34.0 durchführen möchten, sollten Sie sich zuerst mit den Konfigurationsparametern des Connectors vertraut machen. Das Connector-Upgrade hat keine Auswirkungen auf Playbooks.

McAfeeESM Connector

Connector-Beschreibung

Informationen zu Alarmen aus McAfee ESM abrufen.

Hinweis: Der Filter „Dynamische Liste“ funktioniert mit dem Parameter alarmName.

Connector-Nutzung

Mit dem Connector können Sie Korrelationen und zugehörige Ereignisse in Google SecOps aufnehmen. In diesem Connector wird eine Google SecOps-Benachrichtigung durch ein Korrelationsereignis dargestellt.

Google SecOps-Ereignisse werden basierend auf Daten aus den folgenden Objekten erstellt:

• Weckerdaten
• Korrelationsereignisdaten: Eine Korrelation ist ein Triggerereignis, das aus Korrelationsregeln erstellt wird.
• Quellereignisdaten: Basisereignisse, die eine Korrelation oder einen Alarm verursacht haben

Beispiel für ein Google SecOps-Ereignis basierend auf Alarmdaten:

Beispiel für ein Google SecOps-Ereignis basierend auf Korrelations- oder Quellereignisdaten:

Jedes Google SecOps-Ereignis enthält Rohdaten aus der API sowie zusätzliche Schlüssel, die hinzugefügt wurden, um die Zuordnung zu erleichtern. Zur Unterscheidung der verschiedenen Arten von Google SecOps-Ereignissen gibt es einen benutzerdefinierten data_type-Schlüssel. Dieser Schlüssel kann die folgenden Werte enthalten:

• Wecker
• Korrelationsereignis
• Quellereignis

Benutzerdefinierte Typfelder in Google SecOps-Ereignissen

McAfee ESM-Korrelations-/Quellereignisse können benutzerdefinierte Felder enthalten, für die die Roh-API-Darstellung nicht für Zuordnungszwecke geeignet ist.

Beispiel für die Rohdaten des benutzerdefinierten Typs:

  "customTypes": [
      {
          "fieldId": 1,
          "fieldName": "AppID",
          "definedFieldNumber": 1,
          "unformattedValue": "374385694492",
 "formatedValue": "WIN"
      },
      {
          "fieldId": 7,
          "fieldName": "UserIDSrc",
          "definedFieldNumber": 7,
          "unformattedValue": "22018731010750406",
          "formatedValue": "NGCP"
      },
      {
          "fieldId": 4259842,
          "fieldName": "Message_Text",
          "definedFieldNumber": 9,
          "unformattedValue": "11049395522927265911",
          "formatedValue": "User Log In succeeded"
      }
  ]

Im Google SecOps-Ereignis werden dieselben Felder so dargestellt:

{
  "{fieldName}": "{formatedValue}",
  "AppID": "WIN",
  "UserIDSrc": "NGCP",
  "Message_Text": "formatedValue",
  "customTypeFields": {
    "{fieldName}": "{formatedValue}",
    "AppID": "WIN",
    "UserIDSrc": "NGCP",
    "Message_Text": "formatedValue"
  }
}

Wir empfehlen, Platzhalter mit dem Schlüssel customTypeFields zu verwenden, da die Platzhalterwerte das benutzerdefinierte Feld korrekt darstellen. Die benutzerdefinierten Felder, die auf der Ebene darüber dargestellt werden, können irreführende Informationen enthalten. Wenn vor dem Hinzufügen des benutzerdefinierten Felds ein Schlüssel mit demselben Namen vorhanden war, werden die Daten aus dem ursprünglichen Schlüssel verwendet, da in der JSON-Datei keine doppelten Schlüssel vorhanden sein dürfen.

Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Konfigurationsparameter für Connectors

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Produktfeldname	String	data_type	Ja	Der Feldname, der zur Bestimmung des Geräteprodukts verwendet wird.
Name des Ereignisfelds	String	alarmName	Ja	Der Feldname, der zur Bestimmung des Ereignisnamens (Untertyps) verwendet wird.
API-Stamm	String	https://{ipaddress}/rs/	Ja	Der API-Stamm der McAfee ESM-Instanz. Format: https://{IP-Adresse}/rs/
Passwort	Secret	–	Ja	Passwort des McAfee ESM-Kontos.
PythonProccessTimeout	Ganzzahl	300	Ja	Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
Produktversion	String	–	Ja	Version von McAfee ESM. Mögliche Werte: 11.1, 11.2, 11.3, 11.4, 11.5.
Nutzername	String	–	Ja	Nutzername des McAfee ESM-Kontos.
Überlauf deaktivieren	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird der Überlaufmechanismus deaktiviert. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Überlauf deaktivieren“ und „Überlauf für Alarme deaktivieren“ arbeiten.
Überlauf für Alarme deaktivieren	CSV	–	Nein	Eine durch Kommas getrennte Liste von Alarmnamen, für die der Connector Überläufe ignoriert. Für diesen Parameter muss der Parameter Überlauf deaktivieren aktiviert sein. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Überlauf deaktivieren“ und „Überlauf für Alarme deaktivieren“ arbeiten.
Name des Umgebungsfelds	String	srcZone	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	:*	Nein	Ein Regex-Muster, das für den Wert im Feld „Name des Umgebungsfelds“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ mithilfe von Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
0 Quellereignisalarme aufnehmen	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden Alarme mit 0 Quellereignissen aufgenommen. Der Connector wartet die im Parameter Padding Time angegebene Zeit. Weitere Informationen zu diesem Parameter finden Sie unter Mit dem Parameter „Ingest 0 Source Event Alarms“ arbeiten.
Niedrigster abzurufender Schweregrad	Ganzzahl	0	Nein	Der niedrigste Schweregrad, der zum Abrufen von Alarmen verwendet werden muss. Mögliche Werte liegen im Bereich von 0 bis 100. Wenn nichts angegeben ist, werden Alarme aller Schweregrade aufgenommen.
Maximale Anzahl abzurufender Alarme	Ganzzahl	100	Nein	Die Anzahl der Alarme, die pro Connector-Iteration verarbeitet werden sollen. Der Standardparameterwert ist 20.
Maximale Anzahl von Stunden rückwärts	Ganzzahl	1	Nein	Die Anzahl der Stunden, ab denen Alarme abgerufen werden sollen.
Pufferzeit	Ganzzahl	1	Nein	Die Anzahl der Stunden, die der Connector für das Padding verwendet. Dieser Parameter gibt an, wie lange der Connector wartet, bis er den Alarm mit 0 Quellereignissen aufnimmt, wenn der Parameter Alarme mit 0 Quellereignissen aufnehmen deaktiviert ist. Der maximale Parameterwert beträgt 6 Stunden.
Proxy-Passwort	Passwort	–	Nein	Das Proxy-Passwort für die Authentifizierung.
Proxyserveradresse	String	–	Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String	–	Nein	Der Proxy-Nutzername für die Authentifizierung.
Feldname des Regelgenerators	String	alarmName	Nein	Name des Feldes, das im Regelgenerator verwendet wird. Der Connector verwendet alarmName, wenn der Wert nicht verfügbar ist. Dieser Parameter wird nur auf die Werte angewendet, die aus Quellereignissen stammen.
Produktfeld für sekundäres Gerät	String	–	Nein	Name des Fallback-Produktfelds.
Zeitformat	String	%m/%d/%Y %H:%M:%S	Nein	Zeitformat, das zum Lesen des in McAfee ESM bereitgestellten Zeitstempels verwendet wird. Wenn nichts oder ein ungültiges Zeitformat angegeben wird, führt der Connector die Transformation nicht aus. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Zeitzone“ und „Zeitformat“ arbeiten.
Zeitzone	String	–	Nein	Zeitzone des Quellereignisses. Dieser Parameter ist erforderlich, um den Zeitstempel in das Format umzuwandeln, das die UTC+0-Zeit widerspiegelt. Dieser Parameter wird ignoriert, wenn im Parameter Zeitformat ungültige Werte angegeben sind oder nichts angegeben ist. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Zeitzone“ und „Zeitformat“ arbeiten.
Dynamische Liste als Sperrliste verwenden	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.
SSL überprüfen	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum McAfee ESM-Server gültig ist.

Mit dem Parameter „Ingest 0 Source Event Alarms“ arbeiten

In McAfee ESM sind Korrelationen mit 0 Ereignissen möglich. Das bedeutet, dass die Google SecOps-Benachrichtigung nur ein Google SecOps-Ereignis basierend auf den Korrelationsinformationen enthält. Es wird nicht empfohlen, Korrelationen mit 0 Quellereignissen aufzunehmen, da der Kontext verloren geht.

Wenn der Parameter Ingest 0 Source Event Alarms aktiviert ist, werden alle Korrelationen in das Google SecOps-System aufgenommen, auch wenn keine zugehörigen Ereignisse vorhanden sind. Wenn dieser Parameter deaktiviert ist, wartet der Connector, bis mindestens ein Quellereignis in McAfee ESM angezeigt wird. Die Wartezeit wird durch den Parameter Padding Period definiert.

Der Parameter Padding Period gibt die Anzahl der Stunden (maximal 6) an, die der Connector bei jeder Iteration zurückgeht, um Daten abzurufen. Wenn der Parameter Padding Period beispielsweise auf 2 gesetzt ist, ruft der Connector immer Daten ab, die 2 Stunden zurückliegen, und beginnt ab diesem Zeitpunkt mit der Verarbeitung der Daten. Logisch gesehen stellt die Padding Time die Anzahl der Stunden dar, die der Connector auf das Eintreten des Ereignisses wartet, um es aufzunehmen.

Es gibt zwei Ausnahmen:

• Gerätestatus
• EPS-Rate überschritten

Diese Alarme stammen aus der McAfee ESM-Standardkonfiguration und es werden nie Ereignisse im Zusammenhang mit ihnen auftreten. Der Connector nimmt sie immer auf, unabhängig von der Einstellung des Konfigurationsparameters 0 Quellereignisalarme aufnehmen.

Mit den Parametern „Zeitzone“ und „Zeitformat“ arbeiten

Manchmal können Zeit und Zeitzonen auf der McAfee ESM-Serverebene in verschiedenen Formaten konfiguriert werden. Dies kann zu Problemen führen, da die McAfee ESM API beispielsweise keine Informationen zur Zeitzone zurückgibt. Standardmäßig wird der Zeitstempel, der von der API stammt, vom Connector als UTC behandelt. Das kann die Zeit in den Google SecOps-Benachrichtigungen und ‑Ereignissen durcheinanderbringen, da Lokalisierungseinstellungen angewendet werden.

Die Roh-API hat beispielsweise einen Zeitstempel in UTC+8 zurückgegeben. Der Connector hat den Alarm aufgenommen und die Lokalisierung wurde ebenfalls auf UTC+8 festgelegt. In diesem Fall liegt der Zeitstempel der Google SecOps-Benachrichtigung in der Zukunft.

Verwenden Sie den Parameter Zeitzone, um dieses Problem zu beheben. Dieser Parameter definiert die Anforderungen für das Abrufen des Zeitstempels im UTC-Format. Wenn McAfee ESM einen Zeitstempel im UTC+8-Format zurückgibt, müssen Sie den Connector-Parameter Zeitzone auf -8 festlegen.

In Google SecOps-Ereignissen werden drei neue Schlüssel hinzugefügt:

• die Schlüssel utc_firstTime und utc_lastTime für das Ereignis basierend auf den Korrelations-/Quellereignisdaten.
• den Schlüssel utc_triggeredDate für das Ereignis basierend auf den Alarmdaten.

Mit den Parametern „Überlauf deaktivieren“ und „Überlauf für Alarmnamen deaktivieren“ arbeiten

Manchmal kann McAfee ESM sehr viele Korrelationsereignisse erstellen. In Google SecOps gibt es einen Überlaufmechanismus, der verhindert, dass in kurzer Zeit zu viele Google SecOps-Benachrichtigungen erstellt werden.

Dieser Mechanismus kann schädlich sein, wenn Sie der Meinung sind, dass alle Alarme sinnvoll sind und priorisiert werden müssen. Wir raten davon ab, den Überlaufmechanismus zu deaktivieren. Bei Bedarf können Sie dafür jedoch die Parameter Überlauf deaktivieren und Überlauf für Alarmnamen deaktivieren verwenden.

Die bevorzugte Lösung ist die Verwendung des Parameters Überlauf für Alarmnamen deaktivieren, da Sie damit bestimmte Alarmnamen angeben können, für die Überlaufregeln ignoriert werden sollen, anstatt den Überlauf für alle Alarme zu deaktivieren.

McAfeeESM Correlations Connector

Connector-Beschreibung

Informationen zu Korrelationen aus McAfee ESM abrufen.

Hinweis: Der Filter für dynamische Listen funktioniert mit dem Parameter ruleName.

Connector-Nutzung

Mit dem Connector können Sie Korrelationen und zugehörige Ereignisse in Google SecOps aufnehmen. In diesem Connector wird eine Google SecOps-Benachrichtigung durch ein Korrelationsereignis dargestellt.

Google SecOps-Ereignisse werden basierend auf Daten aus den folgenden Objekten erstellt:

• Korrelationsereignisdaten: Eine Korrelation ist ein Triggerereignis, das aus Korrelationsregeln erstellt wird.
• Quellereignisdaten: Basisereignisse, die eine Korrelation verursacht haben

Beispiel für ein Google SecOps-Ereignis basierend auf Korrelations- oder Quellereignisdaten:

Jedes Google SecOps-Ereignis enthält Rohdaten aus der API sowie zusätzliche Schlüssel, die hinzugefügt wurden, um die Zuordnung zu erleichtern. Zur Unterscheidung der verschiedenen Arten von Google SecOps-Ereignissen gibt es einen benutzerdefinierten data_type-Schlüssel. Dieser Schlüssel kann die folgenden Werte enthalten:

• Korrelationsereignis
• Quellereignis

Benutzerdefinierte Typfelder in Google SecOps-Ereignissen

McAfee ESM-Korrelations-/Quellereignisse können benutzerdefinierte Felder enthalten, für die die Roh-API-Darstellung nicht für Zuordnungszwecke geeignet ist.

Beispiel für die Rohdaten des benutzerdefinierten Typs:

  "customTypes": [
      {
          "fieldId": 1,
          "fieldName": "AppID",
          "definedFieldNumber": 1,
          "unformattedValue": "374385694492",
          "formatedValue": "WIN"
      },
      {
          "fieldId": 7,
          "fieldName": "UserIDSrc",
          "definedFieldNumber": 7,
          "unformattedValue": "22018731010750406",
          "formatedValue": "NGCP"
      },
      {
          "fieldId": 4259842,
          "fieldName": "Message_Text",
          "definedFieldNumber": 9,
          "unformattedValue": "11049395522927265911",
          "formatedValue": "User Log In succeeded"
      }
  ]

Im Google SecOps-Ereignis werden dieselben Felder so dargestellt:

{
  "{fieldName}": "{formatedValue}",
  "AppID": "WIN",
  "UserIDSrc": "NGCP",
  "Message_Text": "formatedValue",
  "customTypeFields": {
    "{fieldName}": "{formatedValue}",
    "AppID": "WIN",
    "UserIDSrc": "NGCP",
    "Message_Text": "formatedValue"
  }
}

Wir empfehlen, Platzhalter mit dem Schlüssel customTypeFields zu verwenden, da die Platzhalterwerte das benutzerdefinierte Feld korrekt darstellen. Die benutzerdefinierten Felder, die auf der Ebene darüber dargestellt werden, können irreführende Informationen enthalten. Wenn vor dem Hinzufügen des benutzerdefinierten Felds ein Schlüssel mit demselben Namen vorhanden war, werden die Daten aus dem ursprünglichen Schlüssel verwendet, da in der JSON-Datei keine doppelten Schlüssel vorhanden sein dürfen.

Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Produktfeldname	String	data_type	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds	String	sigId	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds	String	srcZone	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	:*	Nein	Ein Regex-Muster, das für den Wert im Feld „Name des Umgebungsfelds“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ mithilfe von Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
PythonProcessTimeout	String	300	Ja	Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm	String	https://{ipaddress}/rs/	Ja	Der API-Stamm der McAfee ESM-Instanz. Format: https://{IP-Adresse}/rs/
Nutzername	String	–	Nein	Nutzername des McAfee ESM-Kontos.
Passwort	Secret	–	Nein	Passwort des McAfee ESM-Kontos.
Produktversion	String	–	Ja	Version von McAfee ESM. Mögliche Werte: 11.1, 11.2, 11.3, 11.4, 11.5.
Niedrigster abzurufender durchschnittlicher Schweregrad	Ganzzahl	0	Nein	Der niedrigste durchschnittliche Schweregrad, der zum Abrufen von Korrelationen verwendet werden muss. Mögliche Werte liegen im Bereich von 0 bis 100. Wenn nichts angegeben ist, werden Korrelationen mit allen Schweregraden aufgenommen.
0 Quellereigniskorrelationen aufnehmen	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, werden vom Connector Korrelationen mit 0 Quellereignissen aufgenommen. Dieser Parameter kann sich auf die Werte aus den Parametern Product Field Name, Event Field Name und Rule Generator Field Name auswirken. Wenn diese Option deaktiviert ist, wartet der Connector die im Parameter Padding Time angegebene Zeit. Weitere Informationen zu diesem Parameter finden Sie unter Mit dem Parameter „Ingest 0 Source Event Correlations“ arbeiten.
Pufferzeit	Ganzzahl	1	Nein	Die Anzahl der Stunden, die der Connector für das Padding verwendet. Dieser Parameter gibt an, wie lange der Connector wartet, bis er die Korrelation mit 0 Quellereignissen aufnimmt, wenn der Parameter „Korrelationen mit 0 Quellereignissen aufnehmen“ deaktiviert ist. Der maximale Parameterwert beträgt 6 Stunden.
Maximale Anzahl von Stunden rückwärts	Ganzzahl	1	Nein	Die Anzahl der Stunden, ab denen Alarme abgerufen werden sollen.
Maximale Anzahl abzurufender Korrelationen	Ganzzahl	20	Nein	Die Anzahl der Alarme, die pro Connector-Iteration verarbeitet werden sollen. Der Standardparameterwert ist 20.
IPSID-Filter		–	Nein	Durch Kommas getrennte Liste von IPSIDs, die zum Abrufen von Daten verwendet wird. Wenn nichts angegeben ist, verwendet der Connector die Standard-IPSID.
SIGID-Filter	CSV	–	Nein	Durch Kommas getrennte Liste der Signatur-IDs, die während der Aufnahme verwendet werden. Wenn nichts angegeben ist, werden vom Connector Korrelationen aus allen Regeln aufgenommen.
Dynamische Liste als Sperrliste verwenden	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.
Zeitformat	String	%m/%d/%Y %H:%M:%S	Nein	Zeitformat, das zum Lesen des in McAfee ESM bereitgestellten Zeitstempels verwendet wird. Wenn nichts oder ein ungültiges Zeitformat angegeben wird, führt der Connector die Transformation nicht aus. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Zeitzone“ und „Zeitformat“ arbeiten.
Zeitzone	String	–	Nein	Zeitzone des Quellereignisses. Dieser Parameter ist erforderlich, um den Zeitstempel in das Format umzuwandeln, das die UTC+0-Zeit widerspiegelt. Dieser Parameter wird ignoriert, wenn im Parameter Zeitformat ungültige Werte angegeben sind oder nichts angegeben ist. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Zeitzone“ und „Zeitformat“ arbeiten.
Feldname des Regelgenerators	String	App	Nein	Name des Feldes, das im Regelgenerator verwendet wird. Wenn ein ungültiger Wert angegeben wird, wird für die Aktion ruleName verwendet.
Produktfeld für sekundäres Gerät	String	–	Nein	Name des Fallback-Produktfelds.
Überlauf deaktivieren	Kästchen	Deaktiviert	Nein	Wenn aktiviert, deaktiviert der Connector den Überlaufmechanismus. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Überlauf deaktivieren“ und „Überlauf für SigIDs deaktivieren“ arbeiten.
Überlauf für SigIDs deaktivieren	CSV	–	Nein	Eine durch Kommas getrennte Liste von Signatur-IDs, für die der Connector Überläufe ignoriert. Für diesen Parameter muss der Parameter Überlauf deaktivieren aktiviert sein. Weitere Informationen zu diesem Parameter finden Sie unter Mit den Parametern „Überlauf deaktivieren“ und „Überlauf für SigIDs deaktivieren“ arbeiten.
SSL überprüfen	Kästchen	Deaktiviert	Ja	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum McAfee ESM-Server gültig ist.
Proxyserveradresse	String	–	Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String	–	Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort	–	Nein	Das Proxy-Passwort für die Authentifizierung.

Mit dem Parameter „Ingest 0 Source Event Correlations“ arbeiten

In McAfee ESM sind Korrelationen mit 0 Ereignissen möglich. Das bedeutet, dass die Google SecOps-Benachrichtigung nur ein Google SecOps-Ereignis basierend auf den Korrelationsinformationen enthält. Es wird nicht empfohlen, Korrelationen mit 0 Quellereignissen aufzunehmen, da der Kontext verloren geht.

Wenn der Parameter Ingest 0 Source Event Correlations aktiviert ist, werden alle Korrelationen in das Google SecOps-System aufgenommen, auch wenn keine zugehörigen Ereignisse vorhanden sind. Wenn dieser Parameter deaktiviert ist, wartet der Connector, bis mindestens ein Quellereignis in McAfee ESM angezeigt wird. Die Wartezeit wird durch den Parameter Padding Period definiert.

Der Parameter Padding Period gibt die Anzahl der Stunden an (maximaler Wert ist 6), die der Connector bei jeder Iteration zurückgeht, um Daten abzurufen. Wenn der Parameter Padding Period beispielsweise auf 2 gesetzt ist, ruft der Connector immer Daten ab, die 2 Stunden zurückliegen, und beginnt ab diesem Zeitpunkt mit der Verarbeitung der Daten. Logisch gesehen stellt die Padding-Zeit die Anzahl der Stunden dar, die der Connector auf das Eintreten des Ereignisses wartet, damit es aufgenommen werden kann.

Mit den Parametern „Zeitzone“ und „Zeitformat“ arbeiten

Manchmal können Zeit und Zeitzonen auf der McAfee ESM-Serverebene in verschiedenen Formaten konfiguriert werden. Dies kann zu Problemen führen, da die McAfee ESM API beispielsweise keine Informationen zur Zeitzone zurückgibt. Standardmäßig wird der Zeitstempel, der von der API stammt, vom Connector als UTC behandelt. Das kann die Zeit in den Google SecOps-Benachrichtigungen und ‑Ereignissen durcheinanderbringen, da Lokalisierungseinstellungen angewendet werden.

Die Roh-API hat beispielsweise einen Zeitstempel in UTC+8 zurückgegeben. Der Connector hat den Alarm aufgenommen und die Lokalisierung wurde ebenfalls auf UTC+8 festgelegt. In diesem Fall liegt der Zeitstempel der Google SecOps-Benachrichtigung in der Zukunft.

Verwenden Sie den Parameter Zeitzone, um dieses Problem zu beheben. Dieser Parameter definiert die Anforderungen für das Abrufen des Zeitstempels im UTC-Format. Wenn McAfee ESM einen Zeitstempel im UTC+8-Format zurückgibt, müssen Sie den Connector-Parameter Zeitzone auf -8 festlegen.

In Google SecOps-Ereignissen werden zwei neue Schlüssel hinzugefügt: die Schlüssel utc_firstTime und tc_lastTime für das Ereignis basierend auf den Korrelations-/Quellereignisdaten.

Mit den Parametern „Überlauf deaktivieren“ und „Überlauf für SigIDs deaktivieren“ arbeiten

Manchmal kann McAfee ESM sehr viele Korrelationsereignisse erstellen. In Google SecOps gibt es einen Überlaufmechanismus, der verhindert, dass in kurzer Zeit zu viele Google SecOps-Benachrichtigungen erstellt werden.

Dieser Mechanismus kann schädlich sein, wenn Sie der Meinung sind, dass alle Alarme sinnvoll sind und priorisiert werden müssen. Wir raten davon ab, den Überlaufmechanismus zu deaktivieren. Bei Bedarf können Sie jedoch die Parameter Disable Overflow und Disable Overflow For SigIDs verwenden.

Die bevorzugte Lösung ist die Verwendung des Parameters Disable Overflow For SigIDs, da Sie damit bestimmte Signatur-IDs angeben können, die Überlaufregeln ignorieren sollen, anstatt den Überlauf für alle Korrelationen zu deaktivieren.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten