Questa pagina è stata tradotta dall'API Cloud Translation.

McAfee NSM

Versione integrazione: 6.0

Panoramica

Configura l'integrazione di McAfee NSM in Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, vedi Configurare le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Parametro	Tipo	Valore predefinito	È obbligatorio
Root API	Stringa	https://x.x.x.x/sdkapi/	Vero
Nome utente	Stringa	N/D	Vero
Password	Password	N/D	Vero
ID dominio	Stringa	N/D	Vero
Nome della policy Siemplify	Stringa	N/D	Vero
Elenco dei nomi dei sensori separati da virgole	Stringa	sensor_name1,sensor_name2,sensor_name3	Vero

Azioni

Blocca IP

Descrizione

Blocca indirizzo IP.

Parametri

N/D

Run On

Questa azione viene eseguita sull'entità Indirizzo IP.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

Ottieni dati sulle informazioni sugli avvisi

Descrizione

Ottieni i dati degli avvisi per ID.

Parametri

Parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
ID avviso	Stringa	https://x.x.x.x/sdkapi/	Vero	N/D
Nome sensore	Stringa	N/D	Vero	N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
alert_json	N/D	N/D

Risultato JSON

{
    "name": "MALWARE: Blacklisted File Detected",
    "assignTo": "---",
    "description": {
        "definition": "A McAfee-maintained blacklist that is dynamically updated with Callback Detectors updates.",
        "signatures": [{
            "conditions": "null"
        }],
        "componentAttacks": "null",
        "target": "ServerOrClient",
        "reference": {
            "cveId": "[]",
            "certId": "null",
            "bugtraqId": "[]",
            "nspId": "0x4840c300",
            "microsoftId": "[]",
            "additionInfo": "null",
            "arachNidsId": "[]"
        },
        "protocals": "[smtp, ftp, http]",
        "comments": {
            "availableToChildDomains": "true",
            "parentDomainComments": "null",
            "comments": " "
        },
        "rfSB": "No",
        "attackCategory": "Malware",
        "attackSubCategory": "---",
        "protectionCategory": "[Malware/Bot]",
        "httpResponseAttack": "No",
        "btf": "Medium"
    },
    "summary": {
        "destination": "null",
        "zoombie": "null",
        "target": {
            "ipAddrs": "1.1.1.1",
            "risk": "N/A",
            "country": "India",
            "networkObject": "---",
            "hostName": "null",
            "vmName": "null",
            "proxyIP": "1.1.1.1",
            "user": "Unknown",
            "os": "---",
            "port": 41128
        },
        "attacker": {
            "ipAddrs": "1.1.1.1",
            "risk": "N/A",
            "country": "India",
            "networkObject": "---",
            "hostName": "null",
            "vmName": "null",
            "proxyIP": "1.1.1.1",
            "user": "Unknown",
            "os": "---",
            "port": 80
        },
        "cAndcServer": "null",
        "source": "null",
        "compromisedEndpoint": "null",
        "attackedHIPEndpoint": {
            "ipAddrs": "1.1.1.1",
            "risk": "N/A",
            "country": "India",
            "networkObject": "---",
            "hostName": "null",
            "vmName": "null",
            "proxyIP": "1.1.1.1",
            "user": "Unknown",
            "os": "---",
            "port": 41128
        },
        "fastFluxAgent": "null",
        "event": {
            "domain": "My Company",
            "protocol": "http",
            "zone": "null",
            "alertId": "2246015847757997493",
            "attackCount": 1,
            "vlan": "-11",
            "direction": "Inbound",
            "detection": "Signature",
            "application": "HTTP",
            "device": "NS9100-50",
            "result": "Inconclusive",
            "time": "Jan 04, 2016 09:50:39",
            "relevance": "Unknown",
            "matchedPolicy": "CustomFP_Engine_With_AlertOnly",
            "interface": "G3/1-G3/2"
        }},
    "details": {
        "malwareFile": {
            "engine": "Manager Blacklist",
            "fileHash": "3f3f7c3b9722912ddeddf006cff9d9d0",
            "malwareConfidence": "Very High",
            "malwareName": "null",
            "fileName": "/Firewall.cpl",
            "size": "6144 bytes"
        },
        "exceededThreshold": "null",
        "callbackDetectors": "null",
        "layer7": {
            "httpReturnCode": 200,
            "httpURI": "/Firewall.cpl",
            "httpRequestMethod": "GET",
            "httpServerType": "Apache/2.2.13 (Fedora) Last - Modified: Wed, 10 Oct 2012 05: 19: 15 GMT",
            "httpHostHeader": "null",
            "httpUserAgent": "Wget/1.11.4 (Red Hat modified)"
        },
        "portScan": "null",
        "sqlInjection": "null",
        "triggeredComponentAttacks": "null",
        "hostSweep": "null",
        "matchedSignature": "null",
        "communicationRuleMatch": "null",
        "fastFlux": "null"
    },
    "alertState": "UnAcknowledged",
    "uniqueAlertId": "6245941293374080682"
}

Is IP Blocked

Descrizione

Controlla se un indirizzo IP è bloccato.

Parametri

N/D

Run On

Questa azione viene eseguita sull'entità Indirizzo IP.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

Dindin

Descrizione

Testa la connettività.

Parametri

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

IP in quarantena

Descrizione

Mettere in quarantena un indirizzo IP specifico.

Parametri

N/D

Run On

Questa azione viene eseguita sull'entità Indirizzo IP.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

N/A

Sblocca IP

Descrizione

Sbloccare un indirizzo IP specifico.

Parametri

N/D

Run On

Questa azione viene eseguita sull'entità Indirizzo IP.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[{
   "EntityResult":
     [{
        "EPOEvents.ThreatCategory": "av.detect",
        "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
        "EPOEvents.TargetPort": "None",
        "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
        "EPOEvents.TargetIPV4": -1979711347,
        "EPOEvents.ThreatName": "EICAR test file",
        "EPOEvents.SourceUserName": "None",
        "EPOEvents.TargetProcessName": "None",
        "EPOEvents.SourceProcessName": "None",
        "EPOEvents.ThreatType": "test",
        "EPOEvents.SourceIPV4": -1979711347,
        "EPOEvents.TargetProtocol": "None",
        "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
        "EPOEvents.SourceURL": "None",
        "EPOEvents.ThreatActionTaken": "deleted",
        "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
        "EPOEvents.ThreatHandled": "True",
        "EPOEvents.SourceHostName": "_"
      }, {
        "EPOEvents.ThreatCategory": "av.detect",
        "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
        "EPOEvents.TargetPort": "None",
        "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
        "EPOEvents.TargetIPV4": -1979711347,
        "EPOEvents.ThreatName": "EICAR test file",
        "EPOEvents.SourceUserName": "None",
        "EPOEvents.TargetProcessName": "None",
        "EPOEvents.SourceProcessName": "None",
        "EPOEvents.ThreatType": "test",
        "EPOEvents.SourceIPV4": -1979711347,
        "EPOEvents.TargetProtocol": "None",
        "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
        "EPOEvents.SourceURL": "None",
        "EPOEvents.ThreatActionTaken": "deleted",
        "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
        "EPOEvents.ThreatHandled": "True",
        "EPOEvents.SourceHostName": "_"
      }],
  "Entity": "44d88612fea8a8f36de82e1278abb02f"
}]

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.