SentinelOne を Google SecOps と統合する

このドキュメントでは、SentinelOne を Google Security Operations（Google SecOps）と構成して統合する方法について説明します。

ユースケース

  1. 脅威への自動対応: Google SecOps の機能を使用して、SentinelOne によって検出された脅威に自動的に対応し、セキュリティ運用に必要な時間と労力を削減します。

  2. インシデント コンテキストの拡充: Google SecOps の機能を使用して、セキュリティ アナリストにセキュリティ インシデントに関するより多くのコンテキストを提供し、より多くの情報に基づいて意思決定を行います。たとえば、影響を受けるエンドポイントと脅威に関する情報でインシデント データを自動的に拡充できます。

  3. オーケストレートされた修復アクション: Google SecOps の機能を使用して、SentinelOne のアクションと他のセキュリティ ツール（ネットワーク ファイアウォールや ID 管理システムなど）を組み合わせたハンドブックを自動的に実行し、脅威に対する連携した対応を確保して影響を最小限に抑えます。

統合のパラメータ

SentinelOne の統合には、次のパラメータが必要です。

パラメータ 説明
Api root

必須。

SentinelOne API ルート。

デフォルト値は https://{server}.sentinelone.net/ です。
Username

必須。

認証に使用するユーザー名。
Password

必須。

認証に使用するパスワード。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応すると手動アクションを実行するをご覧ください。

Disconnect Agent From Network（ネットワークからエージェントを切断する）

[Disconnect Agent From Network] アクションを使用して、エージェントとネットワーク接続の接続を解除します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

なし

アクションの出力

[Disconnect Agent From Network] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Disconnect Agent From Network] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントを拡充する

エンドポイントの拡充アクションを使用して、システムからの情報でエンドポイント エンティティを拡充します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

なし

アクションの出力

[Enrich Endpoint] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[エンドポイントの強化] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

エージェントのステータスを取得する

エージェントのステータスを取得アクションを使用して、エージェントのステータスを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

なし

アクションの出力

[Get Agent Status] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、エージェントのステータスを取得アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントのアプリケーション リストを取得する

エンドポイントのアプリケーション リストを取得アクションを使用して、エンドポイントで使用されているアプリケーションのリストを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

なし

アクションの出力

[Get Application List for Endpoint] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get Application List for Endpoint アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントのイベントを時間で取得する

[Get Events for Endpoint by Time] アクションを使用して、エンドポイントに関連するすべてのイベントを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

Get Events for Endpoint by Time アクションには、次のパラメータが必要です。

パラメータ 説明
Hours Back

省略可。

イベントを取得する現在の時刻より前の時間数。
Events Amount Limit

省略可。

アクションの実行ごとに取得するイベントの数。

アクションの出力

[Get Events for Endpoint by Time] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Get Events for Endpoint by Time] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

ハッシュの評判を取得する

ハッシュの評判を取得アクションを使用して、SHA-1 ハッシュの評判を取得します。

このアクションは Google SecOps Filehash エンティティに対して実行されます。

アクション入力

なし

アクションの出力

[Get Hash Reputation] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get Hash Reputation アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントのプロセスリストを取得する

Get Process List for Endpoint アクションを使用して、エンドポイントのプロセス リストを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

なし

アクションの出力

[Get Process List for Endpoint] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get Process List for Endpoint アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

システム ステータスを取得する

システム ステータスの取得アクションを使用して、SentinelOne のシステム健全性ステータスを取得します。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクション入力

なし

アクションの出力

[Get System Status] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Get System Status] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

システム バージョンを取得する

Get System Version アクションを使用して、SentinelOne のシステム バージョンを取得します。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクション入力

なし

アクションの出力

[Get System Version] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Get System Version] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

フルスキャンを開始する

完全スキャンを開始アクションを使用して、エンドポイントでディスクの完全スキャンを開始します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

なし

アクションの出力

[Initiate Full Scan] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[完全スキャンを開始] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

Ping

Ping アクションを使用して、SentinelOne への接続をテストします。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクション入力

なし

アクションの出力

Ping アクションは次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

エージェントをネットワークに再接続する

エージェントをネットワークに再接続アクションを使用して、切断されたエージェントをネットワークに再接続します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクション入力

なし

アクションの出力

[エージェントをネットワークに再接続する] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Reconnect Agent to the Network] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

除外リストの追加パスを更新

除外リストの追加パスを更新アクションを使用して、既存の除外リストにパスを追加します。

このアクションは、Windows、OSX、Linux、Android のオペレーティング システムをサポートしています。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクション入力

[除外リストの更新 - パスの追加] アクションには、次のパラメータが必要です。

パラメータ 説明
List Name

必須。

除外リストの名前。
Path

必須。

リストに追加するパス。
Operation System

必須。

オペレーティング システム。

使用できる値は次のとおりです。

  • windows
  • osx
  • linux
  • android

アクションの出力

[除外リストの更新 - パスの追加] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、除外リストのパスを追加アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。