SCCM

En este documento, se proporcionan instrucciones para integrar SCCM en Google SecOps.

Configura SCCM para que funcione con Google Security Operations

Conecta SCCM a Linux

Para ejecutar la integración de SCCM en el servidor de Centos, primero instala wmi:

rpm -Uvh http://www6.atomicorp.com/channels/atomic/centos/7/x86_64/RPMS/wmi-1.3.14-4.el7.art.x86_64.rpm
yum install wmi

Después de eso, puedes configurar y usar la integración.

Configura la integración de SCCM en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la instancia String N/A No Es el nombre de la instancia para la que deseas configurar la integración.
Descripción String N/A No Es la descripción de la instancia.
Dirección del servidor String x.x.x.x Sí La dirección IP o el nombre de DNS del servidor de Microsoft SCCM al que se conectará.
Dominio String dominio Sí Dominio del servidor de Microsoft SCCM.
Nombre de usuario String N/A Sí Es el nombre de usuario que se usará para conectarse a Microsoft SCCM.
Contraseña Contraseña N/A Sí Es la contraseña que se usará para conectarse a Microsoft SCCM.
Ejecuta de forma remota Casilla de verificación Desmarcado No Marca el campo para ejecutar la integración configurada de forma remota. Una vez marcada, aparecerá la opción para seleccionar el usuario remoto (agente).

Acciones

Obtener propiedades de la computadora

Descripción

Obtén las propiedades de la computadora de la instancia de Microsoft SCCM y usa la información obtenida para enriquecer la entidad de host de Google SecOps proporcionada.

Parámetros

N/A

Casos de uso

Obtén información sobre el host en la guía de Google SecOps de Microsoft SCCM y usa estos datos para el enriquecimiento.

Ejecutar en

Esta acción se ejecuta en la entidad Hostname.

Resultados de la acción

Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarlas
ClientEdition Se devuelve si existe en el resultado JSON
SMSInstalledSites Se devuelve si existe en el resultado JSON
MDMDeviceCategoryID Se devuelve si existe en el resultado JSON
ManagementAuthority Se devuelve si existe en el resultado JSON
IPAddresses Se devuelve si existe en el resultado JSON
EASDeviceID Se devuelve si existe en el resultado JSON
ResourceType Se devuelve si existe en el resultado JSON
SID Se devuelve si existe en el resultado JSON
DeviceOwner Se devuelve si existe en el resultado JSON
IsWriteFilterCapable Se devuelve si existe en el resultado JSON
HardwareID Se devuelve si existe en el resultado JSON
IsMachineChangesPersisted Se devuelve si existe en el resultado JSON
SMBIOSGUID Se devuelve si existe en el resultado JSON
NetbiosName Se devuelve si existe en el resultado JSON
Compilación Se devuelve si existe en el resultado JSON
AgentSite Se devuelve si existe en el resultado JSON
IPv6Addresses Se devuelve si existe en el resultado JSON
ResourceNames Se devuelve si existe en el resultado JSON
PrimaryGroupID Se devuelve si existe en el resultado JSON
ClientVersion Se devuelve si existe en el resultado JSON
ClientType Se devuelve si existe en el resultado JSON
PreviousSMSUUID Se devuelve si existe en el resultado JSON
ResourceId Se devuelve si existe en el resultado JSON
IPv6Prefixes Se devuelve si existe en el resultado JSON
ObjectGUID Se devuelve si existe en el resultado JSON
SMSAssignedSites Se devuelve si existe en el resultado JSON
SMSResidentSites Se devuelve si existe en el resultado JSON
IsPortableOperatingSystem Se devuelve si existe en el resultado JSON
MDMComplianceStatus Se devuelve si existe en el resultado JSON
WTGUniqueKey Se devuelve si existe en el resultado JSON
AMTStatus Se devuelve si existe en el resultado JSON
SystemGroupName Se devuelve si existe en el resultado JSON
AgentName Se devuelve si existe en el resultado JSON
Activo Se devuelve si existe en el resultado JSON
SNMPCommunityName Se devuelve si existe en el resultado JSON
ADSiteName Se devuelve si existe en el resultado JSON
IsClientAMT30Compatible Se devuelve si existe en el resultado JSON
IsVirtualMachine Se devuelve si existe en el resultado JSON
AlwaysInternet Se devuelve si existe en el resultado JSON
Fuera de servicio Se devuelve si existe en el resultado JSON
Nombre Se devuelve si existe en el resultado JSON
SystemOUName Se devuelve si existe en el resultado JSON
SuppressAutoProvision Se devuelve si existe en el resultado JSON
SMSUniqueIdentifier Se devuelve si existe en el resultado JSON
ResourceDomainORWorkgroup Se devuelve si existe en el resultado JSON
UserAccountControl Se devuelve si existe en el resultado JSON
LastLogonTimestamp Se devuelve si existe en el resultado JSON
AMTFullVersion Se devuelve si existe en el resultado JSON
OperatingSystemNameandVersion Se devuelve si existe en el resultado JSON
PublisherDeviceID Se devuelve si existe en el resultado JSON
SystemContainerName Se devuelve si existe en el resultado JSON
LastLogonUserName Se devuelve si existe en el resultado JSON
InternetEnabled Se devuelve si existe en el resultado JSON
SMSUUIDChangeDate Se devuelve si existe en el resultado JSON
AgentTime Se devuelve si existe en el resultado JSON
IsAssignedToUser Se devuelve si existe en el resultado JSON
WipeStatus Se devuelve si existe en el resultado JSON
SecurityGroupName Se devuelve si existe en el resultado JSON
DistinguishedName Se devuelve si existe en el resultado JSON
SystemRoles Se devuelve si existe en el resultado JSON
Obsoleto Se devuelve si existe en el resultado JSON
SerialNumber Se devuelve si existe en el resultado JSON
FullDomainName Se devuelve si existe en el resultado JSON
IsAOACCapable Se devuelve si existe en el resultado JSON
MACAddresses Se devuelve si existe en el resultado JSON
IPSubnets Se devuelve si existe en el resultado JSON
VirtualMachineType Se devuelve si existe en el resultado JSON
CPUType Se devuelve si existe en el resultado JSON
CreationDate Se devuelve si existe en el resultado JSON
VirtualMachineHostName Se devuelve si existe en el resultado JSON
OSBranch Se devuelve si existe en el resultado JSON
LastLogonUserDomain Se devuelve si existe en el resultado JSON
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_enriched Verdadero o falso is_enriched:False
Resultado de JSON
[
    {
        "EntityResult": {
            "ClientEdition": "None",
            "SMSInstalledSites": "()",
            "MDMDeviceCategoryID": "None",
            "ManagementAuthority": "None",
            "IPAddresses": "(u'1.1.1.1', u'1.1.1.1')",
            "EASDeviceID": "None",
            "ResourceType": "5",
            "Unknown": "None",
            "SID": "S-1-5-21-2485274276-3947876705-1900992244-1487",
            "DeviceOwner": "None",
            "IsWriteFilterCapable": "None",
            "HardwareID": "None",
            "IsMachineChangesPersisted": "None",
            "SMBIOSGUID": "None",
            "NetbiosName": "PC_01",
            "Build": "None",
            "AgentSite": "(u'001',)",
            "IPv6Addresses": "()",
            "Client": "None",
            "ResourceNames": "(u'PC-01.DOMAIN.COM',)",
            "PrimaryGroupID": "515",
            "ClientVersion": "None",
            "ClientType": "None",
            "PreviousSMSUUID": "None",
            "ResourceId": "2097152157",
            "IPv6Prefixes": "()",
            "ObjectGUID": "(189, 112, 106, 52, 65, 87, 150, 71, 166, 96, 209, 16, 161, 133, 38, 242)",
            "SMSAssignedSites": "(u'001',)",
            "SMSResidentSites": "(u'001',)",
            "IsPortableOperatingSystem": "None",
            "MDMComplianceStatus": "None",
            "WTGUniqueKey": "None",
            "AMTStatus": "None",
            "SystemGroupName": "()",
            "AgentName": "(u'SMS_AD_SYSTEM_DISCOVERY_AGENT',)",
            "Active": "None",
            "SNMPCommunityName": "None",
            "ADSiteName": "Default-First-Site-Name",
            "IsClientAMT30Compatible": "None",
            "IsVirtualMachine": "None",
            "AlwaysInternet": "None",
            "Decommissioned": "0",
            "Name": "PC-01",
            "SystemOUName": "()",
            "SuppressAutoProvision": "None",
            "SMSUniqueIdentifier": "None",
            "ResourceDomainORWorkgroup": "DOMAIN",
            "UserAccountControl": "4096",
            "LastLogonTimestamp": "20190203084427.000000+***",
            "AMTFullVersion": "None",
            "OperatingSystemNameandVersion": "Microsoft Windows NT Workstation 10.0", "PublisherDeviceID": "None",
            "SystemContainerName": "(u'DOMAIN\\\\\\\\COMPUTERS',)",
            "LastLogonUserName": "None",
            "InternetEnabled": "None",
            "SMSUUIDChangeDate": "None",
            "AgentTime": "(u'20190207115148.000000+***',)",
            "IsAssignedToUser": "None",
            "WipeStatus": "None",
            "SecurityGroupName": "()",
            "SystemRoles": "()",
            "DistinguishedName": "CN=PC-01,CN=Computers,DC=DOMAIN,DC=COM",
            "Obsolete": "None",
            "SerialNumber": "None",
            "FullDomainName": "DOMAIN.COM",
            "IsAOACCapable": "None",
            "MACAddresses": "()",
            "IPSubnets": "()",
            "VirtualMachineType": "None",
            "CPUType": "None",
            "CreationDate": "20190128134818.000000+***",
            "VirtualMachineHostName": "None",
            "OSBranch": "None",
            "LastLogonUserDomain": "None"
        },
        "Entity": "PC_01"
    }
]
Muro de casos
Tipo de resultado Valor / Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si se enriquecieron algunas o todas las entidades proporcionadas, haz lo siguiente:

print "Following entities were enriched with SCCM data:\n {0}".format([entity list])

Si algunas de las entidades proporcionadas no se enriquecieron, haz lo siguiente:

print "SCCM data for the following entities was not found:\n {0}".format([entity list])

Si no se enriquecieron todas las entidades proporcionadas, haz lo siguiente:

print "No entities were enriched"

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas o problemas de conectividad de red, haz lo siguiente:

print "Failed to connect to the Microsoft SCCM instance! Error is {0}".format(exception.stacktrace).

 General
Tabla

Nombre de la tabla: Resultados de la consulta de Microsoft SCCM para {0}.entity.Identifier

Contenido de la tabla: El contenido es dinámico y se basa en los resultados de la consulta.

 Entidad

Obtener el historial de acceso

Descripción

Recupera el historial de acceso de los usuarios de la instancia de Microsoft SCCM según la entidad de usuario de Google SecOps proporcionada.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Cantidad de registros que se devolverán Número entero 100 Sí Es la cantidad máxima de registros que se devolverán en la acción.

Casos de uso

Obtener información de acceso del usuario de SCCM en la guía.

Ejecutar en

Esta acción se ejecuta en la entidad User.

Resultados de la acción

Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicar
Nombre de usuario Se devuelve si existe en el resultado JSON
LoginCount Se devuelve si existe en el resultado JSON
LastLoggedIn Se devuelve si existe en el resultado JSON
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success:False
Resultado de JSON
[
    {
        "EntityResult": [
            {
                "Username": "pc-01\\\\local_users",
                "LoginCount": 22,
                "LastLoggedIn": "20170815103710.000000+***"
            }
        ],
        "Entity": "pc-01"
    }
]
Muro de casos
Tipo de resultado Valor / Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si se obtuvieron datos para algunas o todas las entidades proporcionadas, haz lo siguiente:

print "Found SCCM information on the following entities;:\n {0}".format([entity list])

Si algunas de las entidades proporcionadas no se encontraron en SCCM, haz lo siguiente:

print "SCCM data for the following entities was not found:\n {0}".format([entity list])

Si no se encuentran datos para todas las entidades proporcionadas, ocurrirá lo siguiente:

print "No results were found."

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas o problemas de conectividad de red, haz lo siguiente:

print "Failed to connect to the Microsoft SCCM instance! Error is {0}".format(exception.stacktrace).

 General
Tabla

Nombre de la tabla: Historial de acceso de Microsoft SCCM para {0}.format(entity.Identifier)

Contenido de la tabla: El contenido es dinámico y se basa en los resultados de la consulta.

 Entidad

Enriquece entidades

Descripción

Enriquece las entidades de host, IP o usuario de Google SecOps según la información de Microsoft SCCM.

Parámetros

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Host
  • Dirección IP

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success:False
Resultado de JSON

Ejemplo de devolución para la entidad Host, la solicitud se realizó en Powershell:

    __GENUS                       : 2
    __CLASS                       : SMS_R_System
    __SUPERCLASS                  : SMS_Resource
    __DYNASTY                     : SMS_BaseClass
    __RELPATH                     : SMS_R_System.ResourceId=16777219
    __PROPERTY_COUNT              : 77
    __DERIVATION                  : {SMS_Resource, SMS_BaseClass}
    __SERVER                      : SCCM-SCCM
    __NAMESPACE                   : ROOT\SMS\site_SCM
    __PATH                        : \\SCCM-SCCM\ROOT\SMS\site_SCM:SMS_R_System.ResourceId=16777219
    AADDeviceID                   : 00000000-0000-0000-0000-000000000000
    AADTenantID                   : 00000000-0000-0000-0000-000000000000
    Active                        : 1
    ADSiteName                    : Default-First-Site-Name
    AgentName                     : {SMS_AD_SYSTEM_DISCOVERY_AGENT, SMS_AD_SECURITY_GROUP_DISCOVERY_AGENT, MP_ClientRegistration, Heartbeat Discovery}
    AgentSite                     : {SCM, SCM, SCM, SCM}
    AgentTime                     : {20200730230502.000000+***, 20200415051330.000000+***, 20200415055902.000000+***, 20200730231034.000000+***}
    AlwaysInternet                : 0
    AMTFullVersion                :
    AMTStatus                     :
    Build                         : 10.0.18363
    BuildExt                      : 10.0.18363.900
    Client                        : 1
    ClientEdition                 : 0
    ClientType                    : 1
    ClientVersion                 : 5.00.8790.1007
    CPUType                       : Intel64 Family 6 Model 63 Stepping 2
    CreationDate                  : 20200415121334.000000+***
    Decommissioned                : 0
    DeviceOwner                   : 1
    DistinguishedName             : CN=SCCM-W10,OU=Workstations,OU=SCCM,DC=sccm-lab,DC=local
    EASDeviceID                   :
    FullDomainName                : SCCM-LAB.LOCAL
    HardwareID                    : 2:39AC2A8E6794B559B4F8D5677EFE804D834DE6FF
    InternetEnabled               : 0
    IPAddresses                   : {172.30.202.92, fe80::4cca:c991:272d:24c3}
    IPSubnets                     : {172.30.202.0}
    IPv6Addresses                 : {}
    IPv6Prefixes                  : {}
    IsAOACCapable                 : False
    IsAssignedToUser              : False
    IsClientAMT30Compatible       :
    IsMachineChangesPersisted     : True
    IsPortableOperatingSystem     : False
    IsVirtualMachine              : True
    IsWriteFilterCapable          : False
    LastLogonTimestamp            : 20200731060204.000000+***
    LastLogonUserDomain           : SCCM-LAB
    LastLogonUserName             : Administrator
    MACAddresses                  : {00:50:56:A2:D7:A8}
    ManagementAuthority           : 0
    MDMComplianceStatus           :
    MDMDeviceCategoryID           :
    Name                          : SCCM-W10
    NetbiosName                   : SCCM-W10
    ObjectGUID                    : {230, 152, 150, 13...}
    Obsolete                      : 0
    OperatingSystemNameandVersion : Microsoft Windows NT Workstation 10.0
    OSBranch                      : 0
    PreviousSMSUUID               : Unknown
    PrimaryGroupID                : 515
    PublisherDeviceID             :
    ResourceDomainORWorkgroup     : SCCM-LAB
    ResourceId                    : 16777219
    ResourceNames                 : {SCCM-W10.sccm-lab.local}
    ResourceType                  : 5
    SecurityGroupName             : {SCCM-LAB\Domain Computers}
    SerialNumber                  :
    SID                           : S-1-5-21-3004247314-75612377-2250890222-1104
    SMBIOSGUID                    : 8ABD2242-1FEF-CCCE-12F5-77021D40BE0E
    SMSAssignedSites              : {SCM}
    SMSInstalledSites             : {SCM}
    SMSResidentSites              : {SCM}
    SMSUniqueIdentifier           : GUID:778CB685-B19A-40CD-9257-E9883A0E4AD3
    SMSUUIDChangeDate             : 20200701090912.000000+***
    SNMPCommunityName             :
    SuppressAutoProvision         :
    SystemContainerName           : {}
    SystemGroupName               : {SCCM-LAB\Domain Computers}
    SystemOUName                  : {SCCM-LAB.LOCAL/SCCM, SCCM-LAB.LOCAL/SCCM/WORKSTATIONS}
    SystemRoles                   : {}
    Unknown                       :
    UserAccountControl            : 4096
    VirtualMachineHostName        :
    VirtualMachineType            : 0
    WipeStatus                    :
    WTGUniqueKey                  :
    PSComputerName                : SCCM-SCCM
Muro de casos
Tipo de resultado Valor / Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si se enriquecieron algunas o todas las entidades proporcionadas: "Following entities were enriched with SCCM data:\n {0}".format([entity list])

Si algunas de las entidades proporcionadas no se enriquecieron: "No se encontraron datos de SCCM para las siguientes entidades:\n {0}".format([entity list])

Si no se enriqueció ninguna de las entidades proporcionadas: "No se enriqueció ninguna entidad"

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas o problemas de conectividad de red: "No se pudo establecer la conexión con la instancia de Microsoft SCCM. Error is {0}".format(exception.stacktrace).

 General
Tabla

Nombre de la tabla: Resultados del enriquecimiento de Microsoft SCCM para {0}.format(entity.Identifier)

Contenido de la tabla: El contenido es dinámico y se basa en los resultados de la consulta.

 Entidad

Ejecuta una consulta de WQL

Descripción

Ejecutar una consulta arbitraria de Windows Management Instrumentation Query Language (WQL) en la instancia de Microsoft SCCM

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Consulta que se ejecutará String SELECT UniqueUserName,LastLoginTime,LoginCount,ResourceName from SMS_UserMachineIntelligence JOIN SMS_R_User ON SMS_UserMachineIntelligence.UniqueUserName = SMS_R_User.UniqueUserName WHERE SMS_R_User.UserPrincipalName = "sccm_user@sccm-domain.com" Sí Especifica la consulta de WQL que se ejecutará. Considera la solicitud de ejemplo predeterminada como referencia.
Cantidad de registros que se devolverán Número entero 100 Sí Cantidad máxima de registros que se devolverán en la acción.

Casos de uso

Ejecuta consultas arbitrarias en instancias de Microsoft SCCM para obtener los datos necesarios según el análisis de alertas en Google SecOps.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success:False
Resultado de JSON

Ejemplo de devolución para la entidad Host, la solicitud se realizó en Powershell:

    __GENUS                       : 2
    __CLASS                       : SMS_R_System
    __SUPERCLASS                  : SMS_Resource
    __DYNASTY                     : SMS_BaseClass
    __RELPATH                     : SMS_R_System.ResourceId=16777219
    __PROPERTY_COUNT              : 77
    __DERIVATION                  : {SMS_Resource, SMS_BaseClass}
    __SERVER                      : SCCM-SCCM
    __NAMESPACE                   : ROOT\SMS\site_SCM
    __PATH                        : \\SCCM-SCCM\ROOT\SMS\site_SCM:SMS_R_System.ResourceId=16777219
    AADDeviceID                   : 00000000-0000-0000-0000-000000000000
    AADTenantID                   : 00000000-0000-0000-0000-000000000000
    Active                        : 1
    ADSiteName                    : Default-First-Site-Name
    AgentName                     : {SMS_AD_SYSTEM_DISCOVERY_AGENT, SMS_AD_SECURITY_GROUP_DISCOVERY_AGENT, MP_ClientRegistration, Heartbeat Discovery}
    AgentSite                     : {SCM, SCM, SCM, SCM}
    AgentTime                     : {20200730230502.000000+***, 20200415051330.000000+***, 20200415055902.000000+***, 20200730231034.000000+***}
    AlwaysInternet                : 0
    AMTFullVersion                :
    AMTStatus                     :
    Build                         : 10.0.18363
    BuildExt                      : 10.0.18363.900
    Client                        : 1
    ClientEdition                 : 0
    ClientType                    : 1
    ClientVersion                 : 5.00.8790.1007
    CPUType                       : Intel64 Family 6 Model 63 Stepping 2
    CreationDate                  : 20200415121334.000000+***
    Decommissioned                : 0
    DeviceOwner                   : 1
    DistinguishedName             : CN=SCCM-W10,OU=Workstations,OU=SCCM,DC=sccm-lab,DC=local
    EASDeviceID                   :
    FullDomainName                : SCCM-LAB.LOCAL
    HardwareID                    : 2:39AC2A8E6794B559B4F8D5677EFE804D834DE6FF
    InternetEnabled               : 0
    IPAddresses                   : {172.30.202.92, fe80::4cca:c991:272d:24c3}
    IPSubnets                     : {172.30.202.0}
    IPv6Addresses                 : {}
    IPv6Prefixes                  : {}
    IsAOACCapable                 : False
    IsAssignedToUser              : False
    IsClientAMT30Compatible       :
    IsMachineChangesPersisted     : True
    IsPortableOperatingSystem     : False
    IsVirtualMachine              : True
    IsWriteFilterCapable          : False
    LastLogonTimestamp            : 20200731060204.000000+***
    LastLogonUserDomain           : SCCM-LAB
    LastLogonUserName             : Administrator
    MACAddresses                  : {00:50:56:A2:D7:A8}
    ManagementAuthority           : 0
    MDMComplianceStatus           :
    MDMDeviceCategoryID           :
    Name                          : SCCM-W10
    NetbiosName                   : SCCM-W10
    ObjectGUID                    : {230, 152, 150, 13...}
    Obsolete                      : 0
    OperatingSystemNameandVersion : Microsoft Windows NT Workstation 10.0
    OSBranch                      : 0
    PreviousSMSUUID               : Unknown
    PrimaryGroupID                : 515
    PublisherDeviceID             :
    ResourceDomainORWorkgroup     : SCCM-LAB
    ResourceId                    : 16777219
    ResourceNames                 : {SCCM-W10.sccm-lab.local}
    ResourceType                  : 5
    SecurityGroupName             : {SCCM-LAB\Domain Computers}
    SerialNumber                  :
    SID                           : S-1-5-21-3004247314-75612377-2250890222-1104
    SMBIOSGUID                    : 8ABD2242-1FEF-CCCE-12F5-77021D40BE0E
    SMSAssignedSites              : {SCM}
    SMSInstalledSites             : {SCM}
    SMSResidentSites              : {SCM}
    SMSUniqueIdentifier           : GUID:778CB685-B19A-40CD-9257-E9883A0E4AD3
    SMSUUIDChangeDate             : 20200701090912.000000+***
    SNMPCommunityName             :
    SuppressAutoProvision         :
    SystemContainerName           : {}
    SystemGroupName               : {SCCM-LAB\Domain Computers}
    SystemOUName                  : {SCCM-LAB.LOCAL/SCCM, SCCM-LAB.LOCAL/SCCM/WORKSTATIONS}
    SystemRoles                   : {}
    Unknown                       :
    UserAccountControl            : 4096
    VirtualMachineHostName        :
    VirtualMachineType            : 0
    WipeStatus                    :
    WTGUniqueKey                  :
    PSComputerName                : SCCM-SCCM
Muro de casos
Tipo de resultado Valor / Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si la consulta se realiza correctamente y se obtienen datos, haz lo siguiente:

Imprime "Query executed successfully and returned results".

Si no se encuentra nada, haz lo siguiente:

print "Query executed successfully, but did not return any results.".

Si se produce un error, haz lo siguiente:

print "Query didn't complete due to error: {0}".format(exception.stacktrace).

Si se truncaron los resultados de la consulta, haz lo siguiente:

print "Query results exceeded limits and were truncated!".

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas o problemas de conectividad de red, haz lo siguiente:

print "Failed to connect to the Microsoft SCCM instance! Error is {0}".format(exception.stacktrace).

 General
Tabla

Nombre de la tabla: Resultados de la consulta de WQL

Columnas: Genera columnas de forma dinámica según los resultados de la consulta.

 General
Archivos adjuntos Run_WQL_query_response.json: Contiene los datos JSON técnicos que devuelve la acción. General
Visualizador de JSON Muestra el visor de JSON para el resultado de la consulta. General

Crea una tarea de análisis de extremos

Descripción

Crea una tarea de análisis de extremos en el servidor de Microsoft SCCM para el extremo. Hay dos tipos de análisis disponibles: completo o rápido. La acción funciona con las entidades de Google SecOps de host o IP.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Tipo de análisis DDL Búsqueda rápida Sí Especifica si deseas ejecutar un análisis completo o rápido.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success:False
Muro de casos
Tipo de resultado Valor / Descripción Tipo
Mensaje de salida\*

La acción no debería fallar ni detener la ejecución de la guía:

Si la tarea se creó correctamente para algunas o todas las entidades proporcionadas: "Se creó la tarea de análisis de extremos para las siguientes entidades:\n {0}".format([entity list])

Si no se pudo crear la tarea de análisis de extremos para algunas de las entidades proporcionadas que no se enriquecieron: "No se pudo crear la tarea de análisis de extremos para las siguientes entidades:\n {0}".format([entity list])

Si no se puede crear una tarea para todas las entidades proporcionadas: "No se crearon las tareas de análisis de extremos. Consulta el registro de acciones para obtener más detalles"

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas o problemas de conectividad de red: "No se pudo establecer la conexión con la instancia de Microsoft SCCM. Error is {0}".format(exception.stacktrace).

 General

Ping

Descripción

Prueba la conectividad a la instancia de Microsoft SCCM con los parámetros proporcionados en la página de configuración de la integración en la página de Google SecOps Content Hub.

Parámetros

N/A

Casos de uso

La acción se usa para probar la conectividad en la página de configuración de la integración en la página de Google SecOps Content Hub y se puede ejecutar como una acción manual, que no forma parte de las guías.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_succeed Verdadero o falso is_succeed:False

Muro de casos

Tipo de resultado Valor / Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si se realiza correctamente: "Se estableció correctamente la conexión con la instancia de Microsoft SCCM con los parámetros de conexión proporcionados".

La acción debería fallar y detener la ejecución de la guía:

Si no se realiza correctamente, aparecerá el mensaje "Failed to connect to the Microsoft SCCM instance! Error is {0}".format(exception.stacktrace).

 General

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.