שילוב של SentinelOne עם Google SecOps

במאמר הזה מוסבר איך להגדיר ולשלב את SentinelOne עם Google Security Operations ‏ (Google SecOps).

תרחישים לדוגמה

  1. תגובה אוטומטית לאיומים: אפשר להשתמש ביכולות של Google SecOps כדי להגיב באופן אוטומטי לאיומים שמזוהים על ידי SentinelOne, וכך לצמצם את הזמן והמאמץ שנדרשים לפעולות אבטחה.

  2. הקשר עשיר יותר של האירוע: אפשר להשתמש ביכולות של Google SecOps כדי לספק לאנליסטים של אבטחה הקשר נוסף לגבי אירועי אבטחה, וכך לקבל החלטות מושכלות יותר. לדוגמה, אפשר להעשיר באופן אוטומטי את נתוני האירוע במידע על נקודות הקצה והאיומים שהושפעו.

  3. פעולות מתואמות לתיקון בעיות: אפשר להשתמש ביכולות של Google SecOps כדי להפעיל אוטומטית תרחישי שימוש שמשלבים פעולות של SentinelOne עם כלי אבטחה אחרים, כמו חומות אש ברשת או מערכות לניהול זהויות. כך אפשר להבטיח תגובה מתואמת לאיומים ולצמצם את ההשפעה שלהם.

פרמטרים של שילוב

השילוב עם SentinelOne דורש את הפרמטרים הבאים:

פרמטר תיאור
Api root

חובה.

הבסיס של SentinelOne API.

ערך ברירת המחדל הוא https://{server}.sentinelone.net/.
Username

חובה.

שם המשתמש לאימות.
Password

חובה.

הסיסמה לאימות.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות שממתינות לאישור ב-Your Workdesk ואיך מבצעים פעולה ידנית.

ניתוק הסוכן מהרשת

משתמשים בפעולה Disconnect Agent From Network (ניתוק הסוכן מהרשת) כדי לנתק סוכן מחיבור הרשת.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Disconnect Agent From Network מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Disconnect Agent From Network:

שם התוצאה של הסקריפט ערך
is_success True או False

Enrich Endpoint

משתמשים בפעולה Enrich Endpoint כדי להוסיף לפרטי נקודת הקצה מידע מהמערכת.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Enrich Endpoint מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Enrich Endpoint:

שם התוצאה של הסקריפט ערך
is_success True או False

קבלת סטטוס הנציג

משתמשים בפעולה Get Agent Status (קבלת סטטוס של סוכן) כדי לאחזר את הסטטוס של סוכן.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Get Agent Status מספקת את התוצאות הבאות:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Get Agent Status:

שם התוצאה של הסקריפט ערך
is_success True או False

קבלת רשימת אפליקציות לנקודת קצה

משתמשים בפעולה Get Application List for Endpoint כדי לקבל רשימה של אפליקציות שנעשה בהן שימוש בנקודת קצה.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Get Application List for Endpoint מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Get Application List for Endpoint:

שם התוצאה של הסקריפט ערך
is_success True או False

קבלת אירועים של נקודת קצה לפי זמן

משתמשים בפעולה Get Events for Endpoint by Time כדי לאחזר את כל האירועים שקשורים לנקודת קצה.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

הפעולה Get Events for Endpoint by Time דורשת את הפרמטרים הבאים:

פרמטר תיאור
Hours Back

זה שינוי אופציונלי.

מספר השעות לפני השעה הנוכחית שמהן יאוחזרו אירועים.
Events Amount Limit

זה שינוי אופציונלי.

מספר האירועים לאחזור בכל הפעלה של פעולה.

פלט של פעולות

הפעולה Get Events for Endpoint by Time מספקת את התוצאות הבאות:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Get Events for Endpoint by Time:

שם התוצאה של הסקריפט ערך
is_success True או False

קבלת מוניטין של גיבוב (hash)

משתמשים בפעולה קבלת מוניטין של גיבוב כדי לקבל את המוניטין של גיבוב SHA-1.

הפעולה הזו מופעלת בישות Filehash של Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Get Hash Reputation מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Get Hash Reputation:

שם התוצאה של הסקריפט ערך
is_success True או False

קבלת רשימת תהליכים לנקודת קצה

משתמשים בפעולה Get Process List for Endpoint כדי לאחזר את רשימת התהליכים של נקודת קצה.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Get Process List for Endpoint (קבלת רשימת תהליכים לנקודת קצה) מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Get Process List for Endpoint:

שם התוצאה של הסקריפט ערך
is_success True או False

קבלת סטטוס המערכת

משתמשים בפעולה Get System Status כדי לקבל את סטטוס התקינות של מערכת SentinelOne.

הפעולה הזו מופעלת בכל הישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Get System Status מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה קבלת סטטוס המערכת:

שם התוצאה של הסקריפט ערך
is_success True או False

קבלת גרסת המערכת

משתמשים בפעולה Get System Version כדי לקבל את גרסת המערכת של SentinelOne.

הפעולה הזו מופעלת בכל הישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה קבלת גרסת המערכת מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Get System Version:

שם התוצאה של הסקריפט ערך
is_success True או False

התחלת סריקה מלאה

משתמשים בפעולה Initiate Full Scan כדי להתחיל סריקה מלאה של הדיסק בנקודת קצה.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Initiate Full Scan (הפעלת סריקה מלאה) מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Initiate Full Scan:

שם התוצאה של הסקריפט ערך
is_success True או False

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-SentinelOne.

הפעולה הזו מופעלת בכל הישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט ערך
is_success True או False

חיבור מחדש של הסוכן לרשת

משתמשים בפעולה Reconnect Agent to the Network כדי לחבר מחדש סוכן מנותק לרשת.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

  • IP Address
  • Hostname

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Reconnect Agent to the Network (חיבור מחדש של הסוכן לרשת) מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Reconnect Agent to the Network:

שם התוצאה של הסקריפט ערך
is_success True או False

עדכון רשימת ההחרגות: הוספת נתיב

משתמשים בפעולה Update Exclusion List Add Path כדי להוסיף נתיב לרשימת החרגות קיימת.

הפעולה הזו תומכת במערכות ההפעלה הבאות: Windows,‏ OSX,‏ Linux ו-Android.

הפעולה הזו מופעלת בכל הישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Update Exclusion List Add Path (עדכון רשימת ההחרגות והוספת נתיב) דורשת את הפרמטרים הבאים:

פרמטר תיאור
List Name

חובה.

השם של רשימת ההחרגות.
Path

חובה.

הנתיב שיוסף לרשימה.
Operation System

חובה.

מערכת ההפעלה.

הערכים האפשריים הם:

  • windows
  • osx
  • linux
  • android

פלט של פעולות

הפעולה Update Exclusion List Add Path מספקת את התוצאות הבאות:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
תוצאת סקריפט יש גישה

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Update Exclusion List Add Path:

שם התוצאה של הסקריפט ערך
is_success True או False

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.