Integrar o SentinelOne ao Google SecOps

Este documento explica como configurar e integrar o SentinelOne ao Google Security Operations (Google SecOps).

Casos de uso

  1. Resposta automatizada a ameaças: use os recursos do Google SecOps para responder automaticamente às ameaças detectadas pelo SentinelOne, reduzindo o tempo e o esforço necessários para as operações de segurança.

  2. Contexto de incidente enriquecido: use os recursos do Google SecOps para fornecer aos analistas de segurança mais contexto sobre incidentes de segurança e tomar decisões mais informadas. Por exemplo, é possível enriquecer automaticamente os dados de incidentes com informações sobre os endpoints e as ameaças afetados.

  3. Ações de correção orquestradas: use os recursos do Google SecOps para executar automaticamente playbooks que combinam ações do SentinelOne com outras ferramentas de segurança, como firewalls de rede ou sistemas de gerenciamento de identidade, garantindo uma resposta coordenada às ameaças e minimizando o impacto delas.

Parâmetros de integração

A integração do SentinelOne requer os seguintes parâmetros:

Parâmetro Descrição
Api root

Obrigatório.

A raiz da API do SentinelOne.

O valor padrão é https://{server}.sentinelone.net/.
Username

Obrigatório.

O nome de usuário para autenticação.
Password

Obrigatório.

A senha para autenticação.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Desconectar o agente da rede

Use a ação Desconectar agente da rede para desconectar um agente da conexão de rede.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

Nenhuma.

Saídas da ação

A ação Desconectar agente da rede fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Desconectar o agente da rede:

Nome do resultado do script Valor
is_success True ou False

Endpoint de enriquecimento

Use a ação Enrich Endpoint para enriquecer uma entidade de endpoint com informações do sistema.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

Nenhuma.

Saídas da ação

A ação Enrich Endpoint fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Enrich Endpoint:

Nome do resultado do script Valor
is_success True ou False

Receber status do agente

Use a ação Get Agent Status para recuperar o status de um agente.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

Nenhuma.

Saídas da ação

A ação Get Agent Status fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Agent Status:

Nome do resultado do script Valor
is_success True ou False

Receber lista de aplicativos para endpoint

Use a ação Get Application List for Endpoint para receber uma lista de aplicativos usados em um endpoint.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

Nenhuma.

Saídas da ação

A ação Get Application List for Endpoint fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Application List for Endpoint:

Nome do resultado do script Valor
is_success True ou False

Receber eventos para endpoint por horário

Use a ação Receber eventos para endpoint por horário para recuperar todos os eventos relacionados a um endpoint.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

A ação Receber eventos para endpoint por horário requer os seguintes parâmetros:

Parâmetro Descrição
Hours Back

Opcional.

O número de horas antes do horário atual para recuperar eventos.
Events Amount Limit

Opcional.

O número de eventos a serem recuperados para cada execução de ação.

Saídas da ação

A ação Receber eventos para endpoint por horário fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Receber eventos para endpoint por horário:

Nome do resultado do script Valor
is_success True ou False

Receber reputação de hash

Use a ação Get Hash Reputation para conferir a reputação de um hash SHA-1.

Essa ação é executada na entidade Filehash do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Get Hash Reputation fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Hash Reputation:

Nome do resultado do script Valor
is_success True ou False

Receber lista de processos para o endpoint

Use a ação Get Process List for Endpoint para recuperar a lista de processos de um endpoint.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

Nenhuma.

Saídas da ação

A ação Get Process List for Endpoint fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Process List for Endpoint:

Nome do resultado do script Valor
is_success True ou False

Ver status do sistema

Use a ação Get System Status para conferir o status de integridade do sistema SentinelOne.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Get System Status fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get System Status:

Nome do resultado do script Valor
is_success True ou False

Receber versão do sistema

Use a ação Get System Version para acessar a versão do sistema SentinelOne.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Get System Version fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get System Version:

Nome do resultado do script Valor
is_success True ou False

Iniciar verificação completa

Use a ação Iniciar verificação completa para iniciar uma verificação completa de disco em um endpoint.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

Nenhuma.

Saídas da ação

A ação Iniciar verificação completa fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Iniciar verificação completa:

Nome do resultado do script Valor
is_success True ou False

Ping

Use a ação Ping para testar a conectividade com o SentinelOne.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Reconectar o agente à rede

Use a ação Reconectar agente à rede para reconectar um agente desconectado à rede.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas da ação

Nenhuma.

Saídas da ação

A ação Reconectar o agente à rede fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Reconectar o agente à rede:

Nome do resultado do script Valor
is_success True ou False

Atualizar o caminho de adição da lista de exclusão

Use a ação Atualizar caminho de adição da lista de exclusão para adicionar um caminho a uma lista de exclusão atual.

Essa ação é compatível com os seguintes sistemas operacionais: Windows, OSX, Linux e Android.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Atualizar caminho de adição da lista de exclusão requer os seguintes parâmetros:

Parâmetro Descrição
List Name

Obrigatório.

O nome da lista de exclusão.
Path

Obrigatório.

O caminho a ser adicionado à lista.
Operation System

Obrigatório.

O sistema operacional.

Os valores possíveis são os seguintes:

  • windows
  • osx
  • linux
  • android

Saídas da ação

A ação Atualizar caminho de adição da lista de exclusão fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Resultado do script Disponível

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Atualizar lista de exclusão: adicionar caminho:

Nome do resultado do script Valor
is_success True ou False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.