Integra SentinelOne con Google SecOps

Questo documento spiega come configurare e integrare SentinelOne con Google Security Operations (Google SecOps).

Casi d'uso

  1. Risposta automatizzata alle minacce: utilizza le funzionalità di Google SecOps per rispondere automaticamente alle minacce rilevate da SentinelOne, riducendo il tempo e l'impegno necessari per le operazioni di sicurezza.

  2. Contesto degli incidenti arricchito: utilizza le funzionalità di Google SecOps per fornire agli analisti della sicurezza un contesto più ampio sugli incidenti di sicurezza e prendere decisioni più informate. Ad esempio, puoi arricchire automaticamente i dati sugli incidenti con informazioni sugli endpoint e sulle minacce interessati.

  3. Azioni di correzione orchestrate: utilizza le funzionalità di Google SecOps per eseguire automaticamente playbook che combinano le azioni di SentinelOne con altri strumenti di sicurezza, come firewall di rete o sistemi di gestione delle identità, garantendo una risposta coordinata alle minacce e riducendone al minimo l'impatto.

Parametri di integrazione

L'integrazione di SentinelOne richiede i seguenti parametri:

Parametro Descrizione
Api root

Obbligatorio.

La radice dell'API SentinelOne.

Il valore predefinito è https://{server}.sentinelone.net/.
Username

Obbligatorio.

Il nome utente con cui eseguire l'autenticazione.
Password

Obbligatorio.

La password con cui eseguire l'autenticazione.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Scollega l'agente dalla rete

Utilizza l'azione Disconnetti l'agente dalla rete per disconnettere un agente dalla connessione di rete.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

Nessuno.

Output azione

L'azione Scollega l'agente dalla rete fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Scollega l'agente dalla rete:

Nome del risultato dello script Valore
is_success True o False

Endpoint di arricchimento

Utilizza l'azione Arricchisci endpoint per arricchire un'entità endpoint con informazioni provenienti dal sistema.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

Nessuno.

Output azione

L'azione Arricchisci endpoint fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Arricchisci endpoint:

Nome del risultato dello script Valore
is_success True o False

Ottieni lo stato dell'agente

Utilizza l'azione Recupera stato agente per recuperare lo stato di un agente.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

Nessuno.

Output azione

L'azione Get Agent Status fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Recupera stato agente:

Nome del risultato dello script Valore
is_success True o False

Ottieni l'elenco delle applicazioni per l'endpoint

Utilizza l'azione Get Application List for Endpoint per ottenere un elenco delle applicazioni utilizzate su un endpoint.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

Nessuno.

Output azione

L'azione Get Application List for Endpoint fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera l'elenco delle applicazioni per l'endpoint:

Nome del risultato dello script Valore
is_success True o False

Recupera gli eventi per l'endpoint in base all'ora

Utilizza l'azione Get Events for Endpoint by Time per recuperare tutti gli eventi correlati a un endpoint.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

L'azione Get Events for Endpoint by Time richiede i seguenti parametri:

Parametro Descrizione
Hours Back

Facoltativo.

Il numero di ore precedenti all'ora corrente per recuperare gli eventi.
Events Amount Limit

Facoltativo.

Il numero di eventi da recuperare per ogni esecuzione dell'azione.

Output azione

L'azione Recupera eventi per endpoint in base all'ora fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera eventi per endpoint in base all'ora:

Nome del risultato dello script Valore
is_success True o False

Ottieni reputazione hash

Utilizza l'azione Get Hash Reputation per ottenere la reputazione di un hash SHA-1.

Questa azione viene eseguita sull'entità Google SecOps Filehash.

Input azione

Nessuno.

Output azione

L'azione Get Hash Reputation fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Get Hash Reputation:

Nome del risultato dello script Valore
is_success True o False

Ottieni l'elenco dei processi per l'endpoint

Utilizza l'azione Get Process List for Endpoint per recuperare l'elenco dei processi per un endpoint.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

Nessuno.

Output azione

L'azione Get Process List for Endpoint (Ottieni elenco dei processi per l'endpoint) fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera l'elenco dei processi per l'endpoint:

Nome del risultato dello script Valore
is_success True o False

Recupera lo stato del sistema

Utilizza l'azione Recupera stato del sistema per ottenere lo stato di integrità del sistema SentinelOne.

Questa azione viene eseguita su tutte le entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ottieni stato del sistema fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni stato del sistema:

Nome del risultato dello script Valore
is_success True o False

Ottieni la versione del sistema

Utilizza l'azione Get System Version per ottenere la versione del sistema SentinelOne.

Questa azione viene eseguita su tutte le entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ottieni versione sistema fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Recupera versione di sistema:

Nome del risultato dello script Valore
is_success True o False

Avvia scansione completa

Utilizza l'azione Avvia scansione completa per avviare una scansione completa del disco su un endpoint.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

Nessuno.

Output azione

L'azione Avvia scansione completa fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Avvia scansione completa:

Nome del risultato dello script Valore
is_success True o False

Dindin

Utilizza l'azione Ping per verificare la connettività a SentinelOne.

Questa azione viene eseguita su tutte le entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script Valore
is_success True o False

Ricollega l'agente alla rete

Utilizza l'azione Riconnetti l'agente alla rete per riconnettere un agente disconnesso alla rete.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • IP Address
  • Hostname

Input azione

Nessuno.

Output azione

L'azione Riconnetti l'agente alla rete fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Riconnetti l'agente alla rete:

Nome del risultato dello script Valore
is_success True o False

Update Exclusion List Add Path

Utilizza l'azione Aggiorna percorso di aggiunta all'elenco di esclusione per aggiungere un percorso a un elenco di esclusione esistente.

Questa azione supporta i seguenti sistemi operativi: Windows, OSX, Linux e Android.

Questa azione viene eseguita su tutte le entità Google SecOps.

Input azione

L'azione Update Exclusion List Add Path richiede i seguenti parametri:

Parametro Descrizione
List Name

Obbligatorio.

Il nome dell'elenco di esclusione.
Path

Obbligatorio.

Il percorso da aggiungere all'elenco.
Operation System

Obbligatorio.

Il sistema operativo.

I valori possibili sono:

  • windows
  • osx
  • linux
  • android

Output azione

L'azione Update Exclusion List Add Path (Aggiorna elenco di esclusione aggiungi percorso) fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Risultato dello script Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Aggiorna percorso di aggiunta dell'elenco di esclusione:

Nome del risultato dello script Valore
is_success True o False

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.