Esta página foi traduzida pela API Cloud Translation.

McAfee NSM

Versão da integração: 6.0

Visão geral

Configurar a integração do McAfee NSM no Google Security Operations

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Parâmetro	Tipo	Valor padrão	É obrigatório
Raiz da API	String	https://x.x.x.x/sdkapi/	Verdadeiro
Nome de usuário	String	N/A	Verdadeiro
Senha	Senha	N/A	Verdadeiro
ID do domínio	String	N/A	Verdadeiro
Nome da política do Siemplify	String	N/A	Verdadeiro
Lista de nomes de sensores separados por vírgula	String	sensor_name1,sensor_name2,sensor_name3	Verdadeiro

Ações

Bloquear IP

Descrição

Bloquear endereço IP.

Parâmetros

N/A

Executar em

Essa ação é executada na entidade "Endereço IP".

Resultados da ação

Enriquecimento de entidades

N/A

Insights

N/A

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

N/A

Receber dados de informações de alerta

Descrição

Recebe dados de alertas por ID.

Parâmetros

Parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Código de alerta	String	https://x.x.x.x/sdkapi/	Verdadeiro	N/A
Nome do sensor	String	N/A	Verdadeiro	N/A

Executar em

Essa ação é executada em todas as entidades.

Resultados da ação

Enriquecimento de entidades

N/A

Insights

N/A

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
alert_json	N/A	N/A

Resultado do JSON

{
    "name": "MALWARE: Blacklisted File Detected",
    "assignTo": "---",
    "description": {
        "definition": "A McAfee-maintained blacklist that is dynamically updated with Callback Detectors updates.",
        "signatures": [{
            "conditions": "null"
        }],
        "componentAttacks": "null",
        "target": "ServerOrClient",
        "reference": {
            "cveId": "[]",
            "certId": "null",
            "bugtraqId": "[]",
            "nspId": "0x4840c300",
            "microsoftId": "[]",
            "additionInfo": "null",
            "arachNidsId": "[]"
        },
        "protocals": "[smtp, ftp, http]",
        "comments": {
            "availableToChildDomains": "true",
            "parentDomainComments": "null",
            "comments": " "
        },
        "rfSB": "No",
        "attackCategory": "Malware",
        "attackSubCategory": "---",
        "protectionCategory": "[Malware/Bot]",
        "httpResponseAttack": "No",
        "btf": "Medium"
    },
    "summary": {
        "destination": "null",
        "zoombie": "null",
        "target": {
            "ipAddrs": "1.1.1.1",
            "risk": "N/A",
            "country": "India",
            "networkObject": "---",
            "hostName": "null",
            "vmName": "null",
            "proxyIP": "1.1.1.1",
            "user": "Unknown",
            "os": "---",
            "port": 41128
        },
        "attacker": {
            "ipAddrs": "1.1.1.1",
            "risk": "N/A",
            "country": "India",
            "networkObject": "---",
            "hostName": "null",
            "vmName": "null",
            "proxyIP": "1.1.1.1",
            "user": "Unknown",
            "os": "---",
            "port": 80
        },
        "cAndcServer": "null",
        "source": "null",
        "compromisedEndpoint": "null",
        "attackedHIPEndpoint": {
            "ipAddrs": "1.1.1.1",
            "risk": "N/A",
            "country": "India",
            "networkObject": "---",
            "hostName": "null",
            "vmName": "null",
            "proxyIP": "1.1.1.1",
            "user": "Unknown",
            "os": "---",
            "port": 41128
        },
        "fastFluxAgent": "null",
        "event": {
            "domain": "My Company",
            "protocol": "http",
            "zone": "null",
            "alertId": "2246015847757997493",
            "attackCount": 1,
            "vlan": "-11",
            "direction": "Inbound",
            "detection": "Signature",
            "application": "HTTP",
            "device": "NS9100-50",
            "result": "Inconclusive",
            "time": "Jan 04, 2016 09:50:39",
            "relevance": "Unknown",
            "matchedPolicy": "CustomFP_Engine_With_AlertOnly",
            "interface": "G3/1-G3/2"
        }},
    "details": {
        "malwareFile": {
            "engine": "Manager Blacklist",
            "fileHash": "3f3f7c3b9722912ddeddf006cff9d9d0",
            "malwareConfidence": "Very High",
            "malwareName": "null",
            "fileName": "/Firewall.cpl",
            "size": "6144 bytes"
        },
        "exceededThreshold": "null",
        "callbackDetectors": "null",
        "layer7": {
            "httpReturnCode": 200,
            "httpURI": "/Firewall.cpl",
            "httpRequestMethod": "GET",
            "httpServerType": "Apache/2.2.13 (Fedora) Last - Modified: Wed, 10 Oct 2012 05: 19: 15 GMT",
            "httpHostHeader": "null",
            "httpUserAgent": "Wget/1.11.4 (Red Hat modified)"
        },
        "portScan": "null",
        "sqlInjection": "null",
        "triggeredComponentAttacks": "null",
        "hostSweep": "null",
        "matchedSignature": "null",
        "communicationRuleMatch": "null",
        "fastFlux": "null"
    },
    "alertState": "UnAcknowledged",
    "uniqueAlertId": "6245941293374080682"
}

Is IP Blocked

Descrição

Verifique se um endereço IP está bloqueado.

Parâmetros

N/A

Executar em

Essa ação é executada na entidade "Endereço IP".

Resultados da ação

Enriquecimento de entidades

N/A

Insights

N/A

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

N/A

Ping

Descrição

Teste a conectividade.

Parâmetros

N/A

Executar em

Essa ação é executada em todas as entidades.

Resultados da ação

Enriquecimento de entidades

N/A

Insights

N/A

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

N/A

Colocar IP em quarentena

Descrição

Colocar um endereço IP específico em quarentena.

Parâmetros

N/A

Executar em

Essa ação é executada na entidade "Endereço IP".

Resultados da ação

Enriquecimento de entidades

N/A

Insights

N/A

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

N/A

Desbloquear IP

Descrição

Desbloquear um endereço IP específico.

Parâmetros

N/A

Executar em

Essa ação é executada na entidade "Endereço IP".

Resultados da ação

Enriquecimento de entidades

N/A

Insights

N/A

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

[{
   "EntityResult":
     [{
        "EPOEvents.ThreatCategory": "av.detect",
        "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
        "EPOEvents.TargetPort": "None",
        "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
        "EPOEvents.TargetIPV4": -1979711347,
        "EPOEvents.ThreatName": "EICAR test file",
        "EPOEvents.SourceUserName": "None",
        "EPOEvents.TargetProcessName": "None",
        "EPOEvents.SourceProcessName": "None",
        "EPOEvents.ThreatType": "test",
        "EPOEvents.SourceIPV4": -1979711347,
        "EPOEvents.TargetProtocol": "None",
        "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
        "EPOEvents.SourceURL": "None",
        "EPOEvents.ThreatActionTaken": "deleted",
        "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
        "EPOEvents.ThreatHandled": "True",
        "EPOEvents.SourceHostName": "_"
      }, {
        "EPOEvents.ThreatCategory": "av.detect",
        "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
        "EPOEvents.TargetPort": "None",
        "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
        "EPOEvents.TargetIPV4": -1979711347,
        "EPOEvents.ThreatName": "EICAR test file",
        "EPOEvents.SourceUserName": "None",
        "EPOEvents.TargetProcessName": "None",
        "EPOEvents.SourceProcessName": "None",
        "EPOEvents.ThreatType": "test",
        "EPOEvents.SourceIPV4": -1979711347,
        "EPOEvents.TargetProtocol": "None",
        "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
        "EPOEvents.SourceURL": "None",
        "EPOEvents.ThreatActionTaken": "deleted",
        "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
        "EPOEvents.ThreatHandled": "True",
        "EPOEvents.SourceHostName": "_"
      }],
  "Entity": "44d88612fea8a8f36de82e1278abb02f"
}]

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.