SentinelOne in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie SentinelOne konfigurieren und in Google Security Operations (Google SecOps) einbinden.

Anwendungsfälle

  1. Automatisierte Bedrohungsabwehr: Mit den Funktionen von Google SecOps können Sie automatisch auf von SentinelOne erkannte Bedrohungen reagieren und so den Zeit- und Arbeitsaufwand für Sicherheitsvorgänge reduzieren.

  2. Angereicherter Vorfallskontext: Nutzen Sie die Funktionen von Google SecOps, um Sicherheitsanalysten mehr Kontext zu Sicherheitsvorfällen zu bieten und fundiertere Entscheidungen zu treffen. Sie können beispielsweise Vorfalldaten automatisch mit Informationen zu den betroffenen Endpunkten und Bedrohungen anreichern.

  3. Orchestrierte Abhilfemaßnahmen: Mit den Funktionen von Google SecOps können Sie automatisch Playbooks ausführen, die SentinelOne-Aktionen mit anderen Sicherheitstools wie Netzwerk-Firewalls oder Identitätsverwaltungssystemen kombinieren. So wird eine koordinierte Reaktion auf Bedrohungen sichergestellt und deren Auswirkungen werden minimiert.

Integrationsparameter

Für die SentinelOne-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Api root

Pflichtangabe.

Der SentinelOne-API-Stamm.

Der Standardwert ist https://{server}.sentinelone.net/.
Username

Pflichtangabe.

Der Nutzername für die Authentifizierung.
Password

Pflichtangabe.

Das Passwort für die Authentifizierung.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Agent vom Netzwerk trennen

Verwenden Sie die Aktion Agent vom Netzwerk trennen, um einen Agent von der Netzwerkverbindung zu trennen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agent vom Netzwerk trennen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agent vom Netzwerk trennen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Endpunkt anreichern

Verwenden Sie die Aktion Endpunkt anreichern, um eine Endpunktentität mit Informationen aus dem System anzureichern.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Endpunkt anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Endpunkt anreichern verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Agentenstatus abrufen

Verwenden Sie die Aktion Agentenstatus abrufen, um den Status eines Agenten abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agentenstatus abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agent-Status abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Anwendungsliste für Endpunkt abrufen

Verwenden Sie die Aktion Anwendungsliste für Endpunkt abrufen, um eine Liste der auf einem Endpunkt verwendeten Anwendungen abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Anwendungsliste für Endpunkt abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Anwendungsliste für Endpunkt abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Ereignisse für Endpunkt nach Zeit abrufen

Verwenden Sie die Aktion Ereignisse für Endpunkt nach Zeit abrufen, um alle Ereignisse abzurufen, die sich auf einen Endpunkt beziehen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Für die Aktion Ereignisse für Endpunkt nach Zeit abrufen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Hours Back

Optional.

Die Anzahl der Stunden vor der aktuellen Zeit, für die Ereignisse abgerufen werden sollen.
Events Amount Limit

Optional.

Die Anzahl der Ereignisse, die für jede Aktionsausführung abgerufen werden sollen.

Aktionsausgaben

Die Aktion Ereignisse für Endpunkt nach Zeit abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Ereignisse für Endpunkt nach Zeit abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Hash-Reputation abrufen

Verwenden Sie die Aktion Hash-Reputation abrufen, um die Reputation eines SHA-1-Hashs abzurufen.

Diese Aktion wird für die Google SecOps-Entität Filehash ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Get Hash Reputation liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get Hash Reputation verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Prozessliste für Endpunkt abrufen

Verwenden Sie die Aktion Prozessliste für Endpunkt abrufen, um die Prozessliste für einen Endpunkt abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Prozessliste für Endpunkt abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Prozessliste für Endpunkt abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Systemstatus abrufen

Verwenden Sie die Aktion Systemstatus abrufen, um den SentinelOne-Systemstatus abzurufen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Systemstatus abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Systemstatus abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Systemversion abrufen

Verwenden Sie die Aktion Systemversion abrufen, um die SentinelOne-Systemversion abzurufen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Systemversion abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Systemversion abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Vollständigen Scan starten

Verwenden Sie die Aktion Vollständigen Scan starten, um einen vollständigen Laufwerksscan auf einem Endpunkt zu starten.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Vollständigen Scan initiieren liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Vollständigen Scan starten verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu SentinelOne zu testen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Ping verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Agent wieder mit dem Netzwerk verbinden

Verwenden Sie die Aktion Agent wieder mit dem Netzwerk verbinden, um einen getrennten Agent wieder mit dem Netzwerk zu verbinden.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP Address
  • Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agent wieder mit dem Netzwerk verbinden liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agent wieder mit dem Netzwerk verbinden verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Pfad zum Hinzufügen von Ausschlusslisten aktualisieren

Verwenden Sie die Aktion Pfad zur Ausschlussliste hinzufügen, um einer vorhandenen Ausschlussliste einen Pfad hinzuzufügen.

Diese Aktion unterstützt die folgenden Betriebssysteme: Windows, OSX, Linux und Android.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Update Exclusion List Add Path sind die folgenden Parameter erforderlich:

Parameter Beschreibung
List Name

Pflichtangabe.

Der Name der Ausschlussliste.
Path

Pflichtangabe.

Der Pfad, der der Liste hinzugefügt werden soll.
Operation System

Pflichtangabe.

Das Betriebssystem.

Folgende Werte sind möglich:

  • windows
  • osx
  • linux
  • android

Aktionsausgaben

Die Aktion Pfad zur Ausschlussliste hinzufügen bietet die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Pfad zur Ausschlussliste hinzufügen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten