Diese Seite wurde von der Cloud Translation API übersetzt.

SCCM

Integrationsversion: 15.0

SCCM für die Verwendung mit Google Security Operations konfigurieren

SCCM mit Linux verbinden

Um die SCCM-Integration auf dem CentOS-Server auszuführen, installieren Sie zuerst WMI:

rpm -Uvh http://www6.atomicorp.com/channels/atomic/centos/7/x86_64/RPMS/wmi-1.3.14-4.el7.art.x86_64.rpm
yum install wmi

Anschließend können Sie die Integration konfigurieren und verwenden.

SCCM-Integration in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Instanzname	String	–	Nein	Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung	String	–	Nein	Beschreibung der Instanz.
Serveradresse	String	x.x.x.x	Ja	Die IP-Adresse oder der DNS-Name des Microsoft SCCM-Servers, zu dem eine Verbindung hergestellt werden soll.
Domain	String	Domain	Ja	Microsoft SCCM-Serverdomain.
Nutzername	String	–	Ja	Der Nutzername für die Verbindung mit Microsoft SCCM.
Passwort	Passwort	–	Ja	Das Passwort für die Verbindung mit Microsoft SCCM.
Remote ausführen	Kästchen	Deaktiviert	Nein	Aktivieren Sie das Feld, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Kästchen angekreuzt haben, wird die Option zum Auswählen des Remote-Nutzers (Kundenservicemitarbeiters) angezeigt.

Aktionen

Computereigenschaften abrufen

Beschreibung

Computerattribute aus der Microsoft SCCM-Instanz abrufen und die erhaltenen Informationen verwenden, um die bereitgestellte Google SecOps-Hostentität zu erweitern.

Parameter

–

Anwendungsbereiche

Informationen zum Host aus dem Google SecOps-Playbook von Microsoft SCCM abrufen und diese Daten zur Anreicherung verwenden.

Ausführen am

Diese Aktion wird für die Hostname-Entität ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann anwenden?
ClientEdition	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SMSInstalledSites	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
MDMDeviceCategoryID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ManagementAuthority	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IPAddresses	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
EASDeviceID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ResourceType	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
DeviceOwner	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IsWriteFilterCapable	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
HardwareID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IsMachineChangesPersisted	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SMBIOSGUID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
NetbiosName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
Build	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
AgentSite	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IPv6Addresses	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ResourceNames	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
PrimaryGroupID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ClientVersion	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ClientType	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
PreviousSMSUUID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ResourceId	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IPv6Prefixes	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ObjectGUID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SMSAssignedSites	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SMSResidentSites	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IsPortableOperatingSystem	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
MDMComplianceStatus	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
WTGUniqueKey	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
AMTStatus	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SystemGroupName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
AgentName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
Aktiv	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SNMPCommunityName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ADSiteName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IsClientAMT30Compatible	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IsVirtualMachine	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
AlwaysInternet	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
Außer Betrieb genommen	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
Name	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SystemOUName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SuppressAutoProvision	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SMSUniqueIdentifier	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
ResourceDomainORWorkgroup	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
UserAccountControl	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
LastLogonTimestamp	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
AMTFullVersion	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
OperatingSystemNameandVersion	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
PublisherDeviceID	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SystemContainerName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
LastLogonUserName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
InternetEnabled	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SMSUUIDChangeDate	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
AgentTime	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IsAssignedToUser	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
WipeStatus	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SecurityGroupName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
DistinguishedName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SystemRoles	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
Veraltet	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
SerialNumber	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
FullDomainName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IsAOACCapable	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
MACAddresses	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
IPSubnets	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
VirtualMachineType	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
CPUType	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
CreationDate	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
VirtualMachineHostName	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
OSBranch	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
LastLogonUserDomain	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_enriched	Wahr/falsch	is_enriched:False

JSON-Ergebnis

[
    {
        "EntityResult": {
            "ClientEdition": "None",
            "SMSInstalledSites": "()",
            "MDMDeviceCategoryID": "None",
            "ManagementAuthority": "None",
            "IPAddresses": "(u'1.1.1.1', u'1.1.1.1')",
            "EASDeviceID": "None",
            "ResourceType": "5",
            "Unknown": "None",
            "SID": "S-1-5-21-2485274276-3947876705-1900992244-1487",
            "DeviceOwner": "None",
            "IsWriteFilterCapable": "None",
            "HardwareID": "None",
            "IsMachineChangesPersisted": "None",
            "SMBIOSGUID": "None",
            "NetbiosName": "PC_01",
            "Build": "None",
            "AgentSite": "(u'001',)",
            "IPv6Addresses": "()",
            "Client": "None",
            "ResourceNames": "(u'PC-01.DOMAIN.COM',)",
            "PrimaryGroupID": "515",
            "ClientVersion": "None",
            "ClientType": "None",
            "PreviousSMSUUID": "None",
            "ResourceId": "2097152157",
            "IPv6Prefixes": "()",
            "ObjectGUID": "(189, 112, 106, 52, 65, 87, 150, 71, 166, 96, 209, 16, 161, 133, 38, 242)",
            "SMSAssignedSites": "(u'001',)",
            "SMSResidentSites": "(u'001',)",
            "IsPortableOperatingSystem": "None",
            "MDMComplianceStatus": "None",
            "WTGUniqueKey": "None",
            "AMTStatus": "None",
            "SystemGroupName": "()",
            "AgentName": "(u'SMS_AD_SYSTEM_DISCOVERY_AGENT',)",
            "Active": "None",
            "SNMPCommunityName": "None",
            "ADSiteName": "Default-First-Site-Name",
            "IsClientAMT30Compatible": "None",
            "IsVirtualMachine": "None",
            "AlwaysInternet": "None",
            "Decommissioned": "0",
            "Name": "PC-01",
            "SystemOUName": "()",
            "SuppressAutoProvision": "None",
            "SMSUniqueIdentifier": "None",
            "ResourceDomainORWorkgroup": "DOMAIN",
            "UserAccountControl": "4096",
            "LastLogonTimestamp": "20190203084427.000000+***",
            "AMTFullVersion": "None",
            "OperatingSystemNameandVersion": "Microsoft Windows NT Workstation 10.0", "PublisherDeviceID": "None",
            "SystemContainerName": "(u'DOMAIN\\\\\\\\COMPUTERS',)",
            "LastLogonUserName": "None",
            "InternetEnabled": "None",
            "SMSUUIDChangeDate": "None",
            "AgentTime": "(u'20190207115148.000000+***',)",
            "IsAssignedToUser": "None",
            "WipeStatus": "None",
            "SecurityGroupName": "()",
            "SystemRoles": "()",
            "DistinguishedName": "CN=PC-01,CN=Computers,DC=DOMAIN,DC=COM",
            "Obsolete": "None",
            "SerialNumber": "None",
            "FullDomainName": "DOMAIN.COM",
            "IsAOACCapable": "None",
            "MACAddresses": "()",
            "IPSubnets": "()",
            "VirtualMachineType": "None",
            "CPUType": "None",
            "CreationDate": "20190128134818.000000+***",
            "VirtualMachineHostName": "None",
            "OSBranch": "None",
            "LastLogonUserDomain": "None"
        },
        "Entity": "PC_01"
    }
]

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Wenn einige oder alle angegebenen Entitäten angereichert wurden: print "Following entities were enriched with SCCM data:\n {0}".format([entity list]) Wenn einige der angegebenen Elemente nicht angereichert wurden: print "SCCM data for the following entities was not found:\n {0}".format([entity list]) Wenn nicht alle angegebenen Entitäten angereichert wurden: print "No entities were enriched" Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei kritischen Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: print "Failed to connect to the Microsoft SCCM instance! Fehler: {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname:Microsoft SCCM-Abfrageergebnisse für {0}.entity.Identifier Tabelleninhalt:Der Inhalt ist dynamisch und basiert auf den Abfrageergebnissen.	Entität

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabemeldung*

Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden:

Wenn einige oder alle angegebenen Entitäten angereichert wurden:

print "Following entities were enriched with SCCM data:\n {0}".format([entity list])

Wenn einige der angegebenen Elemente nicht angereichert wurden:

print "SCCM data for the following entities was not found:\n {0}".format([entity list])

Wenn nicht alle angegebenen Entitäten angereichert wurden:

print "No entities were enriched"

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei kritischen Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung:

print "Failed to connect to the Microsoft SCCM instance! Fehler: {0}".format(exception.stacktrace).

Allgemein

Tabelle

Tabellenname:Microsoft SCCM-Abfrageergebnisse für {0}.entity.Identifier

Tabelleninhalt:Der Inhalt ist dynamisch und basiert auf den Abfrageergebnissen.

Entität

Anmeldeverlauf abrufen

Beschreibung

Rufen Sie den Anmeldeverlauf des Nutzers aus der Microsoft SCCM-Instanz basierend auf der bereitgestellten Google SecOps-Nutzeridentität ab.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Anzahl der zurückzugebenden Datensätze	Ganzzahl	100	Ja	Maximale Anzahl der Datensätze, die in der Aktion zurückgegeben werden sollen.

Anwendungsbereiche

Rufen Sie die Nutzeranmeldeinformationen aus SCCM im Playbook ab.

Ausführen am

Diese Aktion wird für die Nutzerentität ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann anwenden?
Nutzername	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
LoginCount	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist
LastLoggedIn	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "EntityResult": [
            {
                "Username": "pc-01\\\\local_users",
                "LoginCount": 22,
                "LastLoggedIn": "20170815103710.000000+***"
            }
        ],
        "Entity": "pc-01"
    }
]

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Wenn Sie Daten für einige oder alle angegebenen Rechtssubjekte haben: print "Found SCCM information on the following entities;:\n {0}".format([entity list]) Wenn einige der angegebenen Entitäten in SCCM nicht gefunden wurden: print "SCCM data for the following entities was not found:\n {0}".format([entity list]) Wenn keine Daten für alle angegebenen Entitäten gefunden werden: print "No results were found." Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei kritischen Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: print "Failed to connect to the Microsoft SCCM instance! Fehler: {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname:Microsoft SCCM-Anmeldeverlauf für {0}.format(entity.Identifier) Tabelleninhalt:Der Inhalt ist dynamisch und basiert auf den Abfrageergebnissen.	Entität

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabemeldung*

Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden:

Wenn Sie Daten für einige oder alle angegebenen Rechtssubjekte haben:

print "Found SCCM information on the following entities;:\n {0}".format([entity list])

Wenn einige der angegebenen Entitäten in SCCM nicht gefunden wurden:

print "SCCM data for the following entities was not found:\n {0}".format([entity list])

Wenn keine Daten für alle angegebenen Entitäten gefunden werden:

print "No results were found."

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei kritischen Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung:

print "Failed to connect to the Microsoft SCCM instance! Fehler: {0}".format(exception.stacktrace).

Allgemein

Tabelle

Tabellenname:Microsoft SCCM-Anmeldeverlauf für {0}.format(entity.Identifier)

Tabelleninhalt:Der Inhalt ist dynamisch und basiert auf den Abfrageergebnissen.

Entität

Entitäten anreichern

Beschreibung

Google SecOps-Entitäten für Host, IP oder Nutzer mit Informationen aus Microsoft SCCM anreichern.

Parameter

–

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

Nutzer
Host
IP-Adresse

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

Beispiel für die Rückgabe für die Host-Entität. Die Anfrage wurde in PowerShell gestellt:

    __GENUS                       : 2
    __CLASS                       : SMS_R_System
    __SUPERCLASS                  : SMS_Resource
    __DYNASTY                     : SMS_BaseClass
    __RELPATH                     : SMS_R_System.ResourceId=16777219
    __PROPERTY_COUNT              : 77
    __DERIVATION                  : {SMS_Resource, SMS_BaseClass}
    __SERVER                      : SCCM-SCCM
    __NAMESPACE                   : ROOT\SMS\site_SCM
    __PATH                        : \\SCCM-SCCM\ROOT\SMS\site_SCM:SMS_R_System.ResourceId=16777219
    AADDeviceID                   : 00000000-0000-0000-0000-000000000000
    AADTenantID                   : 00000000-0000-0000-0000-000000000000
    Active                        : 1
    ADSiteName                    : Default-First-Site-Name
    AgentName                     : {SMS_AD_SYSTEM_DISCOVERY_AGENT, SMS_AD_SECURITY_GROUP_DISCOVERY_AGENT, MP_ClientRegistration, Heartbeat Discovery}
    AgentSite                     : {SCM, SCM, SCM, SCM}
    AgentTime                     : {20200730230502.000000+***, 20200415051330.000000+***, 20200415055902.000000+***, 20200730231034.000000+***}
    AlwaysInternet                : 0
    AMTFullVersion                :
    AMTStatus                     :
    Build                         : 10.0.18363
    BuildExt                      : 10.0.18363.900
    Client                        : 1
    ClientEdition                 : 0
    ClientType                    : 1
    ClientVersion                 : 5.00.8790.1007
    CPUType                       : Intel64 Family 6 Model 63 Stepping 2
    CreationDate                  : 20200415121334.000000+***
    Decommissioned                : 0
    DeviceOwner                   : 1
    DistinguishedName             : CN=SCCM-W10,OU=Workstations,OU=SCCM,DC=sccm-lab,DC=local
    EASDeviceID                   :
    FullDomainName                : SCCM-LAB.LOCAL
    HardwareID                    : 2:39AC2A8E6794B559B4F8D5677EFE804D834DE6FF
    InternetEnabled               : 0
    IPAddresses                   : {172.30.202.92, fe80::4cca:c991:272d:24c3}
    IPSubnets                     : {172.30.202.0}
    IPv6Addresses                 : {}
    IPv6Prefixes                  : {}
    IsAOACCapable                 : False
    IsAssignedToUser              : False
    IsClientAMT30Compatible       :
    IsMachineChangesPersisted     : True
    IsPortableOperatingSystem     : False
    IsVirtualMachine              : True
    IsWriteFilterCapable          : False
    LastLogonTimestamp            : 20200731060204.000000+***
    LastLogonUserDomain           : SCCM-LAB
    LastLogonUserName             : Administrator
    MACAddresses                  : {00:50:56:A2:D7:A8}
    ManagementAuthority           : 0
    MDMComplianceStatus           :
    MDMDeviceCategoryID           :
    Name                          : SCCM-W10
    NetbiosName                   : SCCM-W10
    ObjectGUID                    : {230, 152, 150, 13...}
    Obsolete                      : 0
    OperatingSystemNameandVersion : Microsoft Windows NT Workstation 10.0
    OSBranch                      : 0
    PreviousSMSUUID               : Unknown
    PrimaryGroupID                : 515
    PublisherDeviceID             :
    ResourceDomainORWorkgroup     : SCCM-LAB
    ResourceId                    : 16777219
    ResourceNames                 : {SCCM-W10.sccm-lab.local}
    ResourceType                  : 5
    SecurityGroupName             : {SCCM-LAB\Domain Computers}
    SerialNumber                  :
    SID                           : S-1-5-21-3004247314-75612377-2250890222-1104
    SMBIOSGUID                    : 8ABD2242-1FEF-CCCE-12F5-77021D40BE0E
    SMSAssignedSites              : {SCM}
    SMSInstalledSites             : {SCM}
    SMSResidentSites              : {SCM}
    SMSUniqueIdentifier           : GUID:778CB685-B19A-40CD-9257-E9883A0E4AD3
    SMSUUIDChangeDate             : 20200701090912.000000+***
    SNMPCommunityName             :
    SuppressAutoProvision         :
    SystemContainerName           : {}
    SystemGroupName               : {SCCM-LAB\Domain Computers}
    SystemOUName                  : {SCCM-LAB.LOCAL/SCCM, SCCM-LAB.LOCAL/SCCM/WORKSTATIONS}
    SystemRoles                   : {}
    Unknown                       :
    UserAccountControl            : 4096
    VirtualMachineHostName        :
    VirtualMachineType            : 0
    WipeStatus                    :
    WTGUniqueKey                  :
    PSComputerName                : SCCM-SCCM

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Wenn einige oder alle angegebenen Entitäten angereichert wurden: „Die folgenden Entitäten wurden mit SCCM-Daten angereichert:\n {0}“.format([entity list]) Wenn einige der bereitgestellten Entitäten nicht angereichert wurden: „SCCM-Daten für die folgenden Entitäten wurden nicht gefunden:\n {0}“.format([entity list]) Wenn nicht alle angegebenen Entitäten angereichert wurden: „No entities were enriched“ (Keine Entitäten wurden angereichert) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei schwerwiegenden Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden. Fehler: {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname:Microsoft SCCM-Anreicherungsergebnisse für {0}.format(entity.Identifier) Tabelleninhalt:Der Inhalt ist dynamisch und basiert auf den Abfrageergebnissen.	Entität

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabemeldung*

Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden:

Wenn einige oder alle angegebenen Entitäten angereichert wurden: „Die folgenden Entitäten wurden mit SCCM-Daten angereichert:\n {0}“.format([entity list])

Wenn einige der bereitgestellten Entitäten nicht angereichert wurden: „SCCM-Daten für die folgenden Entitäten wurden nicht gefunden:\n {0}“.format([entity list])

Wenn nicht alle angegebenen Entitäten angereichert wurden: „No entities were enriched“ (Keine Entitäten wurden angereichert)

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei schwerwiegenden Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden. Fehler: {0}".format(exception.stacktrace).

Allgemein

Tabelle

Tabellenname:Microsoft SCCM-Anreicherungsergebnisse für {0}.format(entity.Identifier)

Tabelleninhalt:Der Inhalt ist dynamisch und basiert auf den Abfrageergebnissen.

Entität

WQL-Abfrage ausführen

Beschreibung

Führen Sie eine beliebige WQL-Abfrage (Windows Management Instrumentation Query Language) für die Microsoft SCCM-Instanz aus.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Auszuführende Abfrage	String	SELECT UniqueUserName,LastLoginTime,LoginCount,ResourceName from SMS_UserMachineIntelligence JOIN SMS_R_User ON SMS_UserMachineIntelligence.UniqueUserName = SMS_R_User.UniqueUserName WHERE SMS_R_User.UserPrincipalName = "sccm_user@sccm-domain.com"	Ja	Geben Sie die auszuführende WQL-Abfrage an. Sehen Sie sich die Standardbeispielanfrage als Referenz an.
Anzahl der zurückzugebenden Datensätze	Ganzzahl	100	Ja	Maximale Anzahl der Datensätze, die in der Aktion zurückgegeben werden sollen.

Anwendungsbereiche

Führen Sie beliebige Abfragen für Microsoft SCCM-Instanzen aus, um die erforderlichen Daten basierend auf der Analyse von Benachrichtigungen in Google SecOps abzurufen.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

Beispiel für die Rückgabe für die Host-Entität. Die Anfrage wurde in PowerShell gestellt:

    __GENUS                       : 2
    __CLASS                       : SMS_R_System
    __SUPERCLASS                  : SMS_Resource
    __DYNASTY                     : SMS_BaseClass
    __RELPATH                     : SMS_R_System.ResourceId=16777219
    __PROPERTY_COUNT              : 77
    __DERIVATION                  : {SMS_Resource, SMS_BaseClass}
    __SERVER                      : SCCM-SCCM
    __NAMESPACE                   : ROOT\SMS\site_SCM
    __PATH                        : \\SCCM-SCCM\ROOT\SMS\site_SCM:SMS_R_System.ResourceId=16777219
    AADDeviceID                   : 00000000-0000-0000-0000-000000000000
    AADTenantID                   : 00000000-0000-0000-0000-000000000000
    Active                        : 1
    ADSiteName                    : Default-First-Site-Name
    AgentName                     : {SMS_AD_SYSTEM_DISCOVERY_AGENT, SMS_AD_SECURITY_GROUP_DISCOVERY_AGENT, MP_ClientRegistration, Heartbeat Discovery}
    AgentSite                     : {SCM, SCM, SCM, SCM}
    AgentTime                     : {20200730230502.000000+***, 20200415051330.000000+***, 20200415055902.000000+***, 20200730231034.000000+***}
    AlwaysInternet                : 0
    AMTFullVersion                :
    AMTStatus                     :
    Build                         : 10.0.18363
    BuildExt                      : 10.0.18363.900
    Client                        : 1
    ClientEdition                 : 0
    ClientType                    : 1
    ClientVersion                 : 5.00.8790.1007
    CPUType                       : Intel64 Family 6 Model 63 Stepping 2
    CreationDate                  : 20200415121334.000000+***
    Decommissioned                : 0
    DeviceOwner                   : 1
    DistinguishedName             : CN=SCCM-W10,OU=Workstations,OU=SCCM,DC=sccm-lab,DC=local
    EASDeviceID                   :
    FullDomainName                : SCCM-LAB.LOCAL
    HardwareID                    : 2:39AC2A8E6794B559B4F8D5677EFE804D834DE6FF
    InternetEnabled               : 0
    IPAddresses                   : {172.30.202.92, fe80::4cca:c991:272d:24c3}
    IPSubnets                     : {172.30.202.0}
    IPv6Addresses                 : {}
    IPv6Prefixes                  : {}
    IsAOACCapable                 : False
    IsAssignedToUser              : False
    IsClientAMT30Compatible       :
    IsMachineChangesPersisted     : True
    IsPortableOperatingSystem     : False
    IsVirtualMachine              : True
    IsWriteFilterCapable          : False
    LastLogonTimestamp            : 20200731060204.000000+***
    LastLogonUserDomain           : SCCM-LAB
    LastLogonUserName             : Administrator
    MACAddresses                  : {00:50:56:A2:D7:A8}
    ManagementAuthority           : 0
    MDMComplianceStatus           :
    MDMDeviceCategoryID           :
    Name                          : SCCM-W10
    NetbiosName                   : SCCM-W10
    ObjectGUID                    : {230, 152, 150, 13...}
    Obsolete                      : 0
    OperatingSystemNameandVersion : Microsoft Windows NT Workstation 10.0
    OSBranch                      : 0
    PreviousSMSUUID               : Unknown
    PrimaryGroupID                : 515
    PublisherDeviceID             :
    ResourceDomainORWorkgroup     : SCCM-LAB
    ResourceId                    : 16777219
    ResourceNames                 : {SCCM-W10.sccm-lab.local}
    ResourceType                  : 5
    SecurityGroupName             : {SCCM-LAB\Domain Computers}
    SerialNumber                  :
    SID                           : S-1-5-21-3004247314-75612377-2250890222-1104
    SMBIOSGUID                    : 8ABD2242-1FEF-CCCE-12F5-77021D40BE0E
    SMSAssignedSites              : {SCM}
    SMSInstalledSites             : {SCM}
    SMSResidentSites              : {SCM}
    SMSUniqueIdentifier           : GUID:778CB685-B19A-40CD-9257-E9883A0E4AD3
    SMSUUIDChangeDate             : 20200701090912.000000+***
    SNMPCommunityName             :
    SuppressAutoProvision         :
    SystemContainerName           : {}
    SystemGroupName               : {SCCM-LAB\Domain Computers}
    SystemOUName                  : {SCCM-LAB.LOCAL/SCCM, SCCM-LAB.LOCAL/SCCM/WORKSTATIONS}
    SystemRoles                   : {}
    Unknown                       :
    UserAccountControl            : 4096
    VirtualMachineHostName        :
    VirtualMachineType            : 0
    WipeStatus                    :
    WTGUniqueKey                  :
    PSComputerName                : SCCM-SCCM

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Wenn die Abfrage erfolgreich ist und Daten zurückgegeben werden: print "Query executed successfully and returned results". Wenn nichts gefunden wird: print "Query executed successfully, but did not return any results.". Bei Fehler: print "Query didn't complete due to error: {0}".format(exception.stacktrace). Wenn die Abfrageergebnisse gekürzt wurden: print "Query results exceeded limits and were truncated!". Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei kritischen Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: print "Failed to connect to the Microsoft SCCM instance! Fehler: {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname:WQL-Abfrageergebnisse Spalten:Spalten werden dynamisch auf Grundlage der Abfrageergebnisse generiert.	Allgemein
Anhänge	Run_WQL_query_response.json: Enthält technische JSON-Daten, die von der Aktion zurückgegeben werden.	Allgemein
JSON-Viewer	JSON-Viewer für das Abfrageergebnis anzeigen	Allgemein

Scan-Endpunktaufgabe erstellen

Beschreibung

Erstellen Sie auf dem Microsoft SCCM-Server eine Aufgabe für den Scan-Endpunkt für den Endpunkt. Es gibt zwei Arten von Scans: vollständig oder schnell. Die Aktion funktioniert mit Host- oder IP-Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Scantyp	DDL	Schnellsuchlauf	Ja	Geben Sie an, ob ein vollständiger oder ein schneller Scan ausgeführt werden soll.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung\*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Wenn die Aufgabe für einige oder alle angegebenen Entitäten erfolgreich erstellt wurde: „Die Scan-Endpunkt-Aufgabe wurde für die folgenden Entitäten erstellt:\n {0}“.format([entity list]) Wenn für einige der bereitgestellten Entitäten keine Scanendpunktaufgabe erstellt werden konnte, weil sie nicht angereichert wurden: „Failed to create scan endpoint task for the following entities:\n {0}“.format([entity list]) Wenn für alle angegebenen Einheiten keine Aufgabe erstellt werden kann: „Es wurden keine Aufgaben für den Endpunktscan erstellt. Weitere Informationen finden Sie im Aktionslog.“ Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei schwerwiegenden Fehlern wie falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden. Fehler: {0}".format(exception.stacktrace).	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabemeldung\*

Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden:

Wenn die Aufgabe für einige oder alle angegebenen Entitäten erfolgreich erstellt wurde: „Die Scan-Endpunkt-Aufgabe wurde für die folgenden Entitäten erstellt:\n {0}“.format([entity list])

Wenn für einige der bereitgestellten Entitäten keine Scanendpunktaufgabe erstellt werden konnte, weil sie nicht angereichert wurden: „Failed to create scan endpoint task for the following entities:\n {0}“.format([entity list])

Wenn für alle angegebenen Einheiten keine Aufgabe erstellt werden kann: „Es wurden keine Aufgaben für den Endpunktscan erstellt. Weitere Informationen finden Sie im Aktionslog.“

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Allgemein

Ping

Beschreibung

Testen Sie die Verbindung zur Microsoft SCCM-Instanz mit den Parametern, die auf der Seite für die Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Parameter

–

Anwendungsbereiche

Die Aktion wird verwendet, um die Konnektivität auf der Seite „Integrationskonfiguration“ auf dem Tab „Google Security Operations Marketplace“ zu testen. Sie kann als manuelle Aktion ausgeführt werden, die nicht Teil von Playbooks ist.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_succeed	Wahr/falsch	is_succeed:False

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg: „Successfully connected to the Microsoft SCCM instance with the provided connection parameters!“ (Es wurde erfolgreich eine Verbindung zur Microsoft SCCM-Instanz mit den angegebenen Verbindungsparametern hergestellt.) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn der Vorgang nicht erfolgreich ist: „Failed to connect to the Microsoft SCCM instance! Fehler: {0}".format(exception.stacktrace).	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabemeldung*

Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden:

Bei Erfolg: „Successfully connected to the Microsoft SCCM instance with the provided connection parameters!“ (Es wurde erfolgreich eine Verbindung zur Microsoft SCCM-Instanz mit den angegebenen Verbindungsparametern hergestellt.)

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn der Vorgang nicht erfolgreich ist: „Failed to connect to the Microsoft SCCM instance! Fehler: {0}".format(exception.stacktrace).

Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten