SentinelOne を Google SecOps と統合する

このドキュメントでは、SentinelOne を構成して Google Security Operations（Google SecOps）と統合する方法について説明します。

ユースケース

  1. 脅威への自動対応: Google SecOps の機能を使用して、SentinelOne によって検出された脅威に自動的に対応し、セキュリティ運用に必要な時間と労力を削減します。

  2. 拡充されたインシデント コンテキスト: Google SecOps の機能を使用して、セキュリティ アナリストにセキュリティ インシデントに関するより多くのコンテキストを提供し、より多くの情報に基づいて決定を下すことができます。たとえば、影響を受けるエンドポイントや脅威に関する情報を使用して、インシデント データを自動的に拡充できます。

  3. オーケストレートされた修復アクション: Google SecOps の機能を使用して、SentinelOne のアクションと他のセキュリティ ツール（ネットワーク ファイアウォールや ID 管理システムなど）を組み合わせたハンドブックを自動的に実行し、脅威に対する連携した対応を確保して、影響を最小限に抑えます。

統合のパラメータ

SentinelOne の統合には、次のパラメータが必要です。

パラメータ 説明
Api root

必須。

SentinelOne API ルート。

デフォルト値は https://{server}.sentinelone.net/ です。
Username

必須。

認証に使用するユーザー名。
Password

必須。

認証に使用するパスワード。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

エージェントをネットワークから切断する

[Disconnect Agent From Network] アクションを使用して、エージェントをネットワーク接続から切断します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

なし

アクションの出力

[Disconnect Agent From Network] アクションの出力は次のとおりです。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Disconnect Agent From Network] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントを拡充する

[Enrich Endpoint] アクションを使用して、システムからの情報でエンドポイント エンティティを拡充します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

なし

アクションの出力

エンドポイントを拡充アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、エンドポイントを拡充アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

エージェントのステータスを取得する

Get Agent Status アクションを使用して、エージェントのステータスを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

なし

アクションの出力

Get Agent Status アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get Agent Status アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントのアプリケーション リストを取得する

[Get Application List for Endpoint] アクションを使用して、エンドポイントで使用されているアプリケーションのリストを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

なし

アクションの出力

Get Application List for Endpoint アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、エンドポイントのアプリケーション リストを取得するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントのイベントを時間別に取得する

[Get Events for Endpoint by Time] アクションを使用して、エンドポイントに関連するすべてのイベントを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

Get Events for Endpoint by Time アクションには、次のパラメータが必要です。

パラメータ 説明
Hours Back

省略可。

イベントを取得する現在時刻より前の時間数。
Events Amount Limit

省略可。

アクションの実行ごとに取得するイベントの数。

アクションの出力

Get Events for Endpoint by Time アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get Events for Endpoint by Time アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ハッシュの評価を取得する

[Get Hash Reputation] アクションを使用して、SHA-1 ハッシュのレピュテーションを取得します。

このアクションは、Google SecOps Filehash エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Get Hash Reputation アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get Hash Reputation アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントのプロセスリストを取得する

[Get Process List for Endpoint] アクションを使用して、エンドポイントのプロセスリストを取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

なし

アクションの出力

Get Process List for Endpoint アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、エンドポイントのプロセスリストを取得するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

システム ステータスを取得する

Get System Status アクションを使用して、SentinelOne システムの健全性ステータスを取得します。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Get System Status アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get System Status アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

システム バージョンを取得する

Get System Version アクションを使用して、SentinelOne のシステム バージョンを取得します。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Get System Version アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Get System Version アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

フルスキャンを開始する

[Initiate Full Scan] アクションを使用して、エンドポイントでディスクのフルスキャンを開始します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

なし

アクションの出力

Initiate Full Scan アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Initiate Full Scan] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

Ping

Ping アクションを使用して、SentinelOne への接続をテストします。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Ping アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

エージェントをネットワークに再接続する

[エージェントをネットワークに再接続する] アクションを使用して、切断されたエージェントをネットワークに再接続します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • IP Address
  • Hostname

アクションへの入力

なし

アクションの出力

[Reconnect Agent to the Network] アクションの出力は次のとおりです。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、[Reconnect Agent to the Network] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

除外リストの追加パスを更新する

既存の除外リストにパスを追加するには、[Update Exclusion List Add Path] アクションを使用します。

このアクションは、Windows、OSX、Linux、Android のオペレーティング システムをサポートしています。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクションへの入力

Update Exclusion List Add Path アクションには、次のパラメータが必要です。

パラメータ 説明
List Name

必須。

除外リストの名前。
Path

必須。

リストに追加するパス。
Operation System

必須。

オペレーティング システム。

値は次のいずれかになります。

  • windows
  • osx
  • linux
  • android

アクションの出力

Update Exclusion List Add Path アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能

スクリプトの結果

次の表に、Update Exclusion List Add Path アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。