Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

SCCM

In diesem Dokument finden Sie eine Anleitung zum Einbinden von SCCM in Google SecOps.

SCCM für die Verwendung mit Google Security Operations konfigurieren

SCCM mit Linux verbinden

Wenn Sie die SCCM-Integration auf dem Centos-Server ausführen möchten, installieren Sie zuerst wmi:

rpm -Uvh http://www6.atomicorp.com/channels/atomic/centos/7/x86_64/RPMS/wmi-1.3.14-4.el7.art.x86_64.rpm
yum install wmi

Anschließend können Sie die Integration konfigurieren und verwenden.

SCCM-Integration in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Instanzname	String	–	Nein	Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung	String	–	Nein	Beschreibung der Instanz.
Serveradresse	String	x.x.x.x	Ja	Die IP-Adresse oder der DNS-Name des Microsoft SCCM-Servers, zu dem eine Verbindung hergestellt werden soll.
Domain	String	Domain	Ja	Microsoft SCCM-Serverdomain.
Nutzername	String	–	Ja	Der Nutzername, der für die Verbindung mit Microsoft SCCM verwendet werden soll.
Passwort	Passwort	–	Ja	Das Passwort für die Verbindung mit Microsoft SCCM.
Remote ausführen	Kästchen	Deaktiviert	Nein	Klicken Sie das Feld an, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Aktionen

Computerattribute abrufen

Beschreibung

Ruft Computereigenschaften aus der Microsoft SCCM-Instanz ab und verwendet die erhaltenen Informationen, um die bereitgestellte Google SecOps-Hostentität anzureichern.

Parameter

–

Anwendungsbereiche

Informationen zum Host im Google SecOps-Playbook von Microsoft SCCM abrufen und diese Daten zur Anreicherung verwenden.

Ausführen am

Diese Aktion wird für die Hostname-Entität ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann anwenden?
ClientEdition	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SMSInstalledSites	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
MDMDeviceCategoryID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ManagementAuthority	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IPAddresses	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
EASDeviceID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ResourceType	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
DeviceOwner	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IsWriteFilterCapable	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
HardwareID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IsMachineChangesPersisted	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SMBIOSGUID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
NetbiosName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Build	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
AgentSite	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IPv6Addresses	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ResourceNames	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
PrimaryGroupID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ClientVersion	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ClientType	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
PreviousSMSUUID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ResourceId	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IPv6Prefixes	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ObjectGUID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SMSAssignedSites	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SMSResidentSites	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IsPortableOperatingSystem	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
MDMComplianceStatus	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
WTGUniqueKey	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
AMTStatus	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SystemGroupName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
AgentName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Aktiv	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SNMPCommunityName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ADSiteName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IsClientAMT30Compatible	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IsVirtualMachine	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
AlwaysInternet	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Außer Betrieb genommen	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Name	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SystemOUName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SuppressAutoProvision	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SMSUniqueIdentifier	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ResourceDomainORWorkgroup	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
UserAccountControl	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
LastLogonTimestamp	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
AMTFullVersion	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
OperatingSystemNameandVersion	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
PublisherDeviceID	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SystemContainerName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
LastLogonUserName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
InternetEnabled	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SMSUUIDChangeDate	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
AgentTime	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IsAssignedToUser	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
WipeStatus	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SecurityGroupName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
DistinguishedName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SystemRoles	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Veraltet	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
SerialNumber	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
FullDomainName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IsAOACCapable	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
MACAddresses	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
IPSubnets	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
VirtualMachineType	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
CPUType	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
CreationDate	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
VirtualMachineHostName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
OSBranch	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
LastLogonUserDomain	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_enriched	Wahr/falsch	is_enriched:False

JSON-Ergebnis

[
    {
        "EntityResult": {
            "ClientEdition": "None",
            "SMSInstalledSites": "()",
            "MDMDeviceCategoryID": "None",
            "ManagementAuthority": "None",
            "IPAddresses": "(u'1.1.1.1', u'1.1.1.1')",
            "EASDeviceID": "None",
            "ResourceType": "5",
            "Unknown": "None",
            "SID": "S-1-5-21-2485274276-3947876705-1900992244-1487",
            "DeviceOwner": "None",
            "IsWriteFilterCapable": "None",
            "HardwareID": "None",
            "IsMachineChangesPersisted": "None",
            "SMBIOSGUID": "None",
            "NetbiosName": "PC_01",
            "Build": "None",
            "AgentSite": "(u'001',)",
            "IPv6Addresses": "()",
            "Client": "None",
            "ResourceNames": "(u'PC-01.DOMAIN.COM',)",
            "PrimaryGroupID": "515",
            "ClientVersion": "None",
            "ClientType": "None",
            "PreviousSMSUUID": "None",
            "ResourceId": "2097152157",
            "IPv6Prefixes": "()",
            "ObjectGUID": "(189, 112, 106, 52, 65, 87, 150, 71, 166, 96, 209, 16, 161, 133, 38, 242)",
            "SMSAssignedSites": "(u'001',)",
            "SMSResidentSites": "(u'001',)",
            "IsPortableOperatingSystem": "None",
            "MDMComplianceStatus": "None",
            "WTGUniqueKey": "None",
            "AMTStatus": "None",
            "SystemGroupName": "()",
            "AgentName": "(u'SMS_AD_SYSTEM_DISCOVERY_AGENT',)",
            "Active": "None",
            "SNMPCommunityName": "None",
            "ADSiteName": "Default-First-Site-Name",
            "IsClientAMT30Compatible": "None",
            "IsVirtualMachine": "None",
            "AlwaysInternet": "None",
            "Decommissioned": "0",
            "Name": "PC-01",
            "SystemOUName": "()",
            "SuppressAutoProvision": "None",
            "SMSUniqueIdentifier": "None",
            "ResourceDomainORWorkgroup": "DOMAIN",
            "UserAccountControl": "4096",
            "LastLogonTimestamp": "20190203084427.000000+***",
            "AMTFullVersion": "None",
            "OperatingSystemNameandVersion": "Microsoft Windows NT Workstation 10.0", "PublisherDeviceID": "None",
            "SystemContainerName": "(u'DOMAIN\\\\\\\\COMPUTERS',)",
            "LastLogonUserName": "None",
            "InternetEnabled": "None",
            "SMSUUIDChangeDate": "None",
            "AgentTime": "(u'20190207115148.000000+***',)",
            "IsAssignedToUser": "None",
            "WipeStatus": "None",
            "SecurityGroupName": "()",
            "SystemRoles": "()",
            "DistinguishedName": "CN=PC-01,CN=Computers,DC=DOMAIN,DC=COM",
            "Obsolete": "None",
            "SerialNumber": "None",
            "FullDomainName": "DOMAIN.COM",
            "IsAOACCapable": "None",
            "MACAddresses": "()",
            "IPSubnets": "()",
            "VirtualMachineType": "None",
            "CPUType": "None",
            "CreationDate": "20190128134818.000000+***",
            "VirtualMachineHostName": "None",
            "OSBranch": "None",
            "LastLogonUserDomain": "None"
        },
        "Entity": "PC_01"
    }
]

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn einige oder alle der angegebenen Entitäten angereichert wurden: print "Following entities were enriched with SCCM data:\n {0}".format([entity list]) Wenn einige der angegebenen Entitäten nicht angereichert wurden: print "SCCM data for the following entities was not found:\n {0}".format([entity list]) Wenn keine der angegebenen Entitäten angereichert wurde: print "No entities were enriched" Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei kritischen Fehlern, z. B. falschen Anmeldedaten oder Netzwerkverbindungsproblemen: print "Failed to connect to the Microsoft SCCM instance! Fehler ist {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname: Microsoft SCCM-Abfrageergebnisse für {0}.entity.Identifier Tabelleninhalt: Der Inhalt ist dynamisch und basiert auf Abfrageergebnissen.	Entität

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn einige oder alle der angegebenen Entitäten angereichert wurden:

print "Following entities were enriched with SCCM data:\n {0}".format([entity list])

Wenn einige der angegebenen Entitäten nicht angereichert wurden:

print "SCCM data for the following entities was not found:\n {0}".format([entity list])

Wenn keine der angegebenen Entitäten angereichert wurde:

print "No entities were enriched"

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei kritischen Fehlern, z. B. falschen Anmeldedaten oder Netzwerkverbindungsproblemen:

print "Failed to connect to the Microsoft SCCM instance! Fehler ist {0}".format(exception.stacktrace).

Allgemein

Tabelle

Tabellenname: Microsoft SCCM-Abfrageergebnisse für {0}.entity.Identifier

Tabelleninhalt: Der Inhalt ist dynamisch und basiert auf Abfrageergebnissen.

Entität

Anmeldeverlauf abrufen

Beschreibung

Ruft den Anmeldeverlauf des Nutzers aus der Microsoft SCCM-Instanz basierend auf der angegebenen Google SecOps-Nutzerentität ab.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Anzahl der zurückzugebenden Datensätze	Ganzzahl	100	Ja	Maximale Anzahl von Datensätzen, die in der Aktion zurückgegeben werden sollen.

Anwendungsbereiche

Rufen Sie im Playbook die Nutzeranmeldedaten aus SCCM ab.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann wird sie angewendet?
Nutzername	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
LoginCount	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
LastLoggedIn	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "EntityResult": [
            {
                "Username": "pc-01\\\\local_users",
                "LoginCount": 22,
                "LastLoggedIn": "20170815103710.000000+***"
            }
        ],
        "Entity": "pc-01"
    }
]

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn Daten für einige oder alle der bereitgestellten Entitäten abgerufen wurden: print "Found SCCM information on the following entities;:\n {0}".format([entity list]) Wenn einige der angegebenen Entitäten nicht im SCCM gefunden wurden: print "SCCM data for the following entities was not found:\n {0}".format([entity list]) Wenn für alle angegebenen Entitäten keine Daten gefunden werden: print "No results were found." Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei kritischen Fehlern, z. B. falschen Anmeldedaten oder Netzwerkverbindungsproblemen: print "Failed to connect to the Microsoft SCCM instance! Fehler ist {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname: Microsoft SCCM-Anmeldeverlauf für {0}.format(entity.Identifier) Tabelleninhalt: Der Inhalt ist dynamisch und basiert auf Abfrageergebnissen.	Entität

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn Daten für einige oder alle der bereitgestellten Entitäten abgerufen wurden:

print "Found SCCM information on the following entities;:\n {0}".format([entity list])

Wenn einige der angegebenen Entitäten nicht im SCCM gefunden wurden:

print "SCCM data for the following entities was not found:\n {0}".format([entity list])

Wenn für alle angegebenen Entitäten keine Daten gefunden werden:

print "No results were found."

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei kritischen Fehlern, z. B. falschen Anmeldedaten oder Netzwerkverbindungsproblemen:

print "Failed to connect to the Microsoft SCCM instance! Fehler ist {0}".format(exception.stacktrace).

Allgemein

Tabelle

Tabellenname: Microsoft SCCM-Anmeldeverlauf für {0}.format(entity.Identifier)

Tabelleninhalt: Der Inhalt ist dynamisch und basiert auf Abfrageergebnissen.

Entität

Entitäten anreichern

Beschreibung

Google SecOps-Host-, IP- oder Nutzerentitäten basierend auf den Informationen aus Microsoft SCCM anreichern.

Parameter

–

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

Nutzer
Host
IP-Adresse

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

Beispiel für die Rückgabe der Hostentität, die Anfrage wurde in PowerShell gestellt:

    __GENUS                       : 2
    __CLASS                       : SMS_R_System
    __SUPERCLASS                  : SMS_Resource
    __DYNASTY                     : SMS_BaseClass
    __RELPATH                     : SMS_R_System.ResourceId=16777219
    __PROPERTY_COUNT              : 77
    __DERIVATION                  : {SMS_Resource, SMS_BaseClass}
    __SERVER                      : SCCM-SCCM
    __NAMESPACE                   : ROOT\SMS\site_SCM
    __PATH                        : \\SCCM-SCCM\ROOT\SMS\site_SCM:SMS_R_System.ResourceId=16777219
    AADDeviceID                   : 00000000-0000-0000-0000-000000000000
    AADTenantID                   : 00000000-0000-0000-0000-000000000000
    Active                        : 1
    ADSiteName                    : Default-First-Site-Name
    AgentName                     : {SMS_AD_SYSTEM_DISCOVERY_AGENT, SMS_AD_SECURITY_GROUP_DISCOVERY_AGENT, MP_ClientRegistration, Heartbeat Discovery}
    AgentSite                     : {SCM, SCM, SCM, SCM}
    AgentTime                     : {20200730230502.000000+***, 20200415051330.000000+***, 20200415055902.000000+***, 20200730231034.000000+***}
    AlwaysInternet                : 0
    AMTFullVersion                :
    AMTStatus                     :
    Build                         : 10.0.18363
    BuildExt                      : 10.0.18363.900
    Client                        : 1
    ClientEdition                 : 0
    ClientType                    : 1
    ClientVersion                 : 5.00.8790.1007
    CPUType                       : Intel64 Family 6 Model 63 Stepping 2
    CreationDate                  : 20200415121334.000000+***
    Decommissioned                : 0
    DeviceOwner                   : 1
    DistinguishedName             : CN=SCCM-W10,OU=Workstations,OU=SCCM,DC=sccm-lab,DC=local
    EASDeviceID                   :
    FullDomainName                : SCCM-LAB.LOCAL
    HardwareID                    : 2:39AC2A8E6794B559B4F8D5677EFE804D834DE6FF
    InternetEnabled               : 0
    IPAddresses                   : {172.30.202.92, fe80::4cca:c991:272d:24c3}
    IPSubnets                     : {172.30.202.0}
    IPv6Addresses                 : {}
    IPv6Prefixes                  : {}
    IsAOACCapable                 : False
    IsAssignedToUser              : False
    IsClientAMT30Compatible       :
    IsMachineChangesPersisted     : True
    IsPortableOperatingSystem     : False
    IsVirtualMachine              : True
    IsWriteFilterCapable          : False
    LastLogonTimestamp            : 20200731060204.000000+***
    LastLogonUserDomain           : SCCM-LAB
    LastLogonUserName             : Administrator
    MACAddresses                  : {00:50:56:A2:D7:A8}
    ManagementAuthority           : 0
    MDMComplianceStatus           :
    MDMDeviceCategoryID           :
    Name                          : SCCM-W10
    NetbiosName                   : SCCM-W10
    ObjectGUID                    : {230, 152, 150, 13...}
    Obsolete                      : 0
    OperatingSystemNameandVersion : Microsoft Windows NT Workstation 10.0
    OSBranch                      : 0
    PreviousSMSUUID               : Unknown
    PrimaryGroupID                : 515
    PublisherDeviceID             :
    ResourceDomainORWorkgroup     : SCCM-LAB
    ResourceId                    : 16777219
    ResourceNames                 : {SCCM-W10.sccm-lab.local}
    ResourceType                  : 5
    SecurityGroupName             : {SCCM-LAB\Domain Computers}
    SerialNumber                  :
    SID                           : S-1-5-21-3004247314-75612377-2250890222-1104
    SMBIOSGUID                    : 8ABD2242-1FEF-CCCE-12F5-77021D40BE0E
    SMSAssignedSites              : {SCM}
    SMSInstalledSites             : {SCM}
    SMSResidentSites              : {SCM}
    SMSUniqueIdentifier           : GUID:778CB685-B19A-40CD-9257-E9883A0E4AD3
    SMSUUIDChangeDate             : 20200701090912.000000+***
    SNMPCommunityName             :
    SuppressAutoProvision         :
    SystemContainerName           : {}
    SystemGroupName               : {SCCM-LAB\Domain Computers}
    SystemOUName                  : {SCCM-LAB.LOCAL/SCCM, SCCM-LAB.LOCAL/SCCM/WORKSTATIONS}
    SystemRoles                   : {}
    Unknown                       :
    UserAccountControl            : 4096
    VirtualMachineHostName        :
    VirtualMachineType            : 0
    WipeStatus                    :
    WTGUniqueKey                  :
    PSComputerName                : SCCM-SCCM

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn einige oder alle der bereitgestellten Entitäten angereichert wurden: „Folgende Entitäten wurden mit SCCM-Daten angereichert:\n {0}“.format([Entitätenliste]) Wenn einige der angegebenen Entitäten nicht angereichert wurden: „SCCM-Daten für die folgenden Entitäten wurden nicht gefunden:\n {0}“.format([entity list]) Wenn keine der angegebenen Entitäten angereichert wurde: „Es wurden keine Entitäten angereichert“ Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei einem kritischen Fehler, z. B. falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden! Fehler ist {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname: Microsoft SCCM-Anreicherungsergebnisse für {0}.format(entity.Identifier) Tabelleninhalt: Der Inhalt ist dynamisch und basiert auf Abfrageergebnissen.	Entität

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn einige oder alle der bereitgestellten Entitäten angereichert wurden: „Folgende Entitäten wurden mit SCCM-Daten angereichert:\n {0}“.format([Entitätenliste])

Wenn einige der angegebenen Entitäten nicht angereichert wurden: „SCCM-Daten für die folgenden Entitäten wurden nicht gefunden:\n {0}“.format([entity list])

Wenn keine der angegebenen Entitäten angereichert wurde: „Es wurden keine Entitäten angereichert“

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei einem kritischen Fehler, z. B. falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden! Fehler ist {0}".format(exception.stacktrace).

Allgemein

Tabelle

Tabellenname: Microsoft SCCM-Anreicherungsergebnisse für {0}.format(entity.Identifier)

Tabelleninhalt: Der Inhalt ist dynamisch und basiert auf Abfrageergebnissen.

Entität

WQL-Abfrage ausführen

Beschreibung

Führen Sie eine beliebige WQL-Abfrage (Windows Management Instrumentation Query Language) für die Microsoft SCCM-Instanz aus.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Auszuführende Abfrage	String	SELECT UniqueUserName,LastLoginTime,LoginCount,ResourceName from SMS_UserMachineIntelligence JOIN SMS_R_User ON SMS_UserMachineIntelligence.UniqueUserName = SMS_R_User.UniqueUserName WHERE SMS_R_User.UserPrincipalName = "sccm_user@sccm-domain.com"	Ja	Geben Sie die auszuführende WQL-Abfrage an. Sehen Sie sich die Standardbeispielanfrage an.
Anzahl der zurückzugebenden Datensätze	Ganzzahl	100	Ja	Maximale Anzahl der Datensätze, die in der Aktion zurückgegeben werden sollen.

Anwendungsbereiche

Führen Sie beliebige Abfragen für Microsoft SCCM-Instanzen aus, um die erforderlichen Daten basierend auf der Benachrichtigungsanalyse in Google SecOps abzurufen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

Beispiel für die Rückgabe der Hostentität, die Anfrage wurde in PowerShell gestellt:

    __GENUS                       : 2
    __CLASS                       : SMS_R_System
    __SUPERCLASS                  : SMS_Resource
    __DYNASTY                     : SMS_BaseClass
    __RELPATH                     : SMS_R_System.ResourceId=16777219
    __PROPERTY_COUNT              : 77
    __DERIVATION                  : {SMS_Resource, SMS_BaseClass}
    __SERVER                      : SCCM-SCCM
    __NAMESPACE                   : ROOT\SMS\site_SCM
    __PATH                        : \\SCCM-SCCM\ROOT\SMS\site_SCM:SMS_R_System.ResourceId=16777219
    AADDeviceID                   : 00000000-0000-0000-0000-000000000000
    AADTenantID                   : 00000000-0000-0000-0000-000000000000
    Active                        : 1
    ADSiteName                    : Default-First-Site-Name
    AgentName                     : {SMS_AD_SYSTEM_DISCOVERY_AGENT, SMS_AD_SECURITY_GROUP_DISCOVERY_AGENT, MP_ClientRegistration, Heartbeat Discovery}
    AgentSite                     : {SCM, SCM, SCM, SCM}
    AgentTime                     : {20200730230502.000000+***, 20200415051330.000000+***, 20200415055902.000000+***, 20200730231034.000000+***}
    AlwaysInternet                : 0
    AMTFullVersion                :
    AMTStatus                     :
    Build                         : 10.0.18363
    BuildExt                      : 10.0.18363.900
    Client                        : 1
    ClientEdition                 : 0
    ClientType                    : 1
    ClientVersion                 : 5.00.8790.1007
    CPUType                       : Intel64 Family 6 Model 63 Stepping 2
    CreationDate                  : 20200415121334.000000+***
    Decommissioned                : 0
    DeviceOwner                   : 1
    DistinguishedName             : CN=SCCM-W10,OU=Workstations,OU=SCCM,DC=sccm-lab,DC=local
    EASDeviceID                   :
    FullDomainName                : SCCM-LAB.LOCAL
    HardwareID                    : 2:39AC2A8E6794B559B4F8D5677EFE804D834DE6FF
    InternetEnabled               : 0
    IPAddresses                   : {172.30.202.92, fe80::4cca:c991:272d:24c3}
    IPSubnets                     : {172.30.202.0}
    IPv6Addresses                 : {}
    IPv6Prefixes                  : {}
    IsAOACCapable                 : False
    IsAssignedToUser              : False
    IsClientAMT30Compatible       :
    IsMachineChangesPersisted     : True
    IsPortableOperatingSystem     : False
    IsVirtualMachine              : True
    IsWriteFilterCapable          : False
    LastLogonTimestamp            : 20200731060204.000000+***
    LastLogonUserDomain           : SCCM-LAB
    LastLogonUserName             : Administrator
    MACAddresses                  : {00:50:56:A2:D7:A8}
    ManagementAuthority           : 0
    MDMComplianceStatus           :
    MDMDeviceCategoryID           :
    Name                          : SCCM-W10
    NetbiosName                   : SCCM-W10
    ObjectGUID                    : {230, 152, 150, 13...}
    Obsolete                      : 0
    OperatingSystemNameandVersion : Microsoft Windows NT Workstation 10.0
    OSBranch                      : 0
    PreviousSMSUUID               : Unknown
    PrimaryGroupID                : 515
    PublisherDeviceID             :
    ResourceDomainORWorkgroup     : SCCM-LAB
    ResourceId                    : 16777219
    ResourceNames                 : {SCCM-W10.sccm-lab.local}
    ResourceType                  : 5
    SecurityGroupName             : {SCCM-LAB\Domain Computers}
    SerialNumber                  :
    SID                           : S-1-5-21-3004247314-75612377-2250890222-1104
    SMBIOSGUID                    : 8ABD2242-1FEF-CCCE-12F5-77021D40BE0E
    SMSAssignedSites              : {SCM}
    SMSInstalledSites             : {SCM}
    SMSResidentSites              : {SCM}
    SMSUniqueIdentifier           : GUID:778CB685-B19A-40CD-9257-E9883A0E4AD3
    SMSUUIDChangeDate             : 20200701090912.000000+***
    SNMPCommunityName             :
    SuppressAutoProvision         :
    SystemContainerName           : {}
    SystemGroupName               : {SCCM-LAB\Domain Computers}
    SystemOUName                  : {SCCM-LAB.LOCAL/SCCM, SCCM-LAB.LOCAL/SCCM/WORKSTATIONS}
    SystemRoles                   : {}
    Unknown                       :
    UserAccountControl            : 4096
    VirtualMachineHostName        :
    VirtualMachineType            : 0
    WipeStatus                    :
    WTGUniqueKey                  :
    PSComputerName                : SCCM-SCCM

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn die Abfrage erfolgreich ist und Daten zurückgegeben werden: print "Query executed successfully and returned results". Wenn nichts gefunden wurde: print "Query executed successfully, but did not return any results.". Bei einem Fehler: print "Query didn't complete due to error: {0}".format(exception.stacktrace). Wenn Abfrageergebnisse abgeschnitten wurden: print "Query results exceeded limits and were truncated!". Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei kritischen Fehlern, z. B. falschen Anmeldedaten oder Netzwerkverbindungsproblemen: print "Failed to connect to the Microsoft SCCM instance! Fehler ist {0}".format(exception.stacktrace).	Allgemein
Tabelle	Tabellenname: WQL-Abfrageergebnisse Spalten: Spalten werden dynamisch anhand der Abfrageergebnisse generiert.	Allgemein
Anhänge	Run_WQL_query_response.json – enthält die von der Aktion zurückgegebenen technischen JSON-Daten.	Allgemein
JSON-Viewer	JSON-Viewer für das Abfrageergebnis anzeigen.	Allgemein

Aufgabe zum Erstellen eines Scan-Endpunkts

Beschreibung

Erstellen Sie auf dem Microsoft SCCM-Server eine Aufgabe zum Scannen des Endpunkts. Es sind zwei Arten von Scans verfügbar: „Vollständig“ oder „Schnell“. Die Aktion funktioniert entweder mit Host- oder IP-Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Scantyp	DDL	Schnellscan	Ja	Geben Sie an, ob ein vollständiger oder ein schneller Scan ausgeführt werden soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht\*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn die Aufgabe für einige oder alle der angegebenen Entitäten erstellt wurde: „Scan endpoint task was created for the following entities:\n {0}".format([entity list]) Wenn die Aufgabe zum Erstellen des Scan-Endpunkts für einige der bereitgestellten Entitäten nicht angereichert wurde: „Failed to create scan endpoint task for the following entities:\n {0}“.format([entity list]) Wenn für alle angegebenen Entitäten keine Aufgabe erstellt werden kann: „Es wurden keine Aufgaben zum Scannen von Endpunkten erstellt. Weitere Informationen finden Sie im Aktionsprotokoll.“ Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei einem kritischen Fehler, z. B. falschen Anmeldedaten oder Problemen mit der Netzwerkverbindung: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden! Fehler ist {0}".format(exception.stacktrace).	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht\*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn die Aufgabe für einige oder alle der angegebenen Entitäten erstellt wurde: „Scan endpoint task was created for the following entities:\n {0}".format([entity list])

Wenn die Aufgabe zum Erstellen des Scan-Endpunkts für einige der bereitgestellten Entitäten nicht angereichert wurde: „Failed to create scan endpoint task for the following entities:\n {0}“.format([entity list])

Wenn für alle angegebenen Entitäten keine Aufgabe erstellt werden kann: „Es wurden keine Aufgaben zum Scannen von Endpunkten erstellt. Weitere Informationen finden Sie im Aktionsprotokoll.“

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Allgemein

Ping

Beschreibung

Testen Sie die Verbindung zur Microsoft SCCM-Instanz mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Anwendungsbereiche

Die Aktion wird verwendet, um die Konnektivität auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub zu testen. Sie kann als manuelle Aktion ausgeführt werden, die nicht Teil von Playbooks ist.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_succeed	Wahr/falsch	is_succeed:False

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Bei Erfolg: „Successfully connected to the Microsoft SCCM instance with the provided connection parameters!“ (Verbindung zur Microsoft SCCM-Instanz mit den angegebenen Verbindungsparametern erfolgreich hergestellt!) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn nicht erfolgreich: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden! Fehler ist {0}".format(exception.stacktrace).	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Bei Erfolg: „Successfully connected to the Microsoft SCCM instance with the provided connection parameters!“ (Verbindung zur Microsoft SCCM-Instanz mit den angegebenen Verbindungsparametern erfolgreich hergestellt!)

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn nicht erfolgreich: „Verbindung zur Microsoft SCCM-Instanz konnte nicht hergestellt werden! Fehler ist {0}".format(exception.stacktrace).

Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten