SentinelOne v2 in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie SentinelOne v2 konfigurieren und in Google Security Operations einbinden.

Diese Integration unterstützt die SentinelOne API ab Version 2.0.

Wichtig: Auf der Google SecOps-Plattform heißt die Integration für SentinelOne v2 SentinelOneV2.

Diese Integration verwendet eine oder mehrere Open-Source-Komponenten. Sie können eine ZIP-Datei des vollständigen Quellcodes dieser Integration aus dem Cloud Storage-Bucket herunterladen.

Anwendungsfälle

Die SentinelOne-Integration kann Ihnen bei den folgenden Anwendungsfällen helfen:

1. Infizierte Endpunkte eindämmen: Verwenden Sie die Funktionen von Google SecOps, um einen infizierten Host zu isolieren und laterale Bewegungen und Daten-Exfiltration zu verhindern.

2. Detaillierte Endpunktinformationen abrufen: Verwenden Sie die Funktionen von Google SecOps, um Vorfalldaten mit einer detaillierten Hostanalyse anzureichern, um den Kontext zu verbessern und fundierte Entscheidungen zu treffen. Sie können SentinelOne automatisch nach detaillierten Informationen zu einem Endpunkt abfragen, der an einer Benachrichtigung beteiligt ist, einschließlich Agent-Version, Betriebssystem und Netzwerkschnittstellen.

3. Deep Visibility-Scans initiieren: Verwenden Sie Google SecOps-Funktionen, um auf verdächtigen Computern nach Bedrohungen und versteckter Malware zu suchen. Wenn verdächtige Aktivitäten wie ungewöhnliche Dateiänderungen oder Registry-Änderungen erkannt werden, können Sie mit SentinelOne einen vollständigen Laufwerksscan starten.

4. Bedrohungen mit Threat Intelligence untersuchen: Verwenden Sie Google SecOps-Funktionen, um die Genauigkeit zu verbessern, indem Sie SentinelOne-Warnungen mit Threat Intelligence-Daten korrelieren. Leiten Sie verdächtige Hashes, Dateipfade oder IP-Adressen, die in SentinelOne-Warnungen gefunden wurden, an Threat Intelligence-Plattformen weiter.

5. Malware-Triage: Verwenden Sie die Funktionen von Google SecOps, um Malware mit statischen Analysetools automatisch zu klassifizieren und so die Incident Response zu optimieren. Sie können Proben von infizierten Endpunkten extrahieren, die Analyse in Ihrer Umgebung auslösen und eine Klassifizierung der Malware basierend auf der statischen Analyse erhalten.

Hinweis

Um die Verbindung zwischen Google SecOps und Ihrer SentinelOne-Instanz zu authentifizieren, müssen Sie ein gültiges SentinelOne-API-Token angeben.

Sie können in Ihrer SentinelOne-Verwaltungskonsole ein persönliches API-Token generieren.

Eine ausführliche Anleitung zum Generieren und Verwalten von Tokens finden Sie im SentinelOne-Kundenportal.

Integrationsparameter

Für die SentinelOne v2-Integration sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
API root	Pflichtangabe. Der SentinelOne-API-Stamm. Der Standardwert ist https://{server}.SentinelOne.net/.
API Token	Pflichtangabe. Das SentinelOne-API-Token. Weitere Informationen zum Generieren des API-Tokens für die Integration finden Sie unter Vorbereitung. Gemäß der SentinelOne-Sicherheitsrichtlinie müssen Sie alle sechs Monate ein neues API-Token erstellen.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Sentinel-Server hergestellt wird. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Bedrohungshinweis hinzufügen

Verwenden Sie die Aktion Bedrohungshinweis hinzufügen, um der Bedrohung in SentinelOne einen Hinweis hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Bedrohungsvermerk hinzufügen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Pflichtangabe. Die ID der Bedrohung, der eine Notiz hinzugefügt werden soll.
Note	Pflichtangabe. Eine Notiz, die der Bedrohung hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Bedrohungshinweis hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Bedrohungsvermerk hinzufügen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added note to the threat THREAT_ID in SentinelOne. Action wasn't able to add a note to the threat THREAT_ID in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Add Threat Note". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Bedrohungsvermerk hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Regel für die Gerätesteuerung erstellen

Verwenden Sie die Aktion Gerätesteuerungsregel erstellen, um eine Gerätesteuerungsregel in SentinelOne zu erstellen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Gerätesteuerungsregel erstellen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Rule JSON	Pflichtangabe. Das JSON-Objekt, das die Konfiguration der Gerätesteuerungsregel darstellt. Der Standardwert ist: { "ruleName": "String", "interface": "String", "ruleType": "String", "action": "String", "accessPermission": "String", "deviceClass": "String", "status": "String" }
Scope JSON	Pflichtangabe. Das JSON-Objekt, das die Konfiguration der Bereichsregel darstellt. Der Standardwert ist: { "accountIds": "String", "groupIds": "String", "siteIds": "String" }

Aktionsausgaben

Die Aktion Gerätesteuerungsregel erstellen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Gerätesteuerungsregel erstellen empfangen werden:

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}

Ausgabenachrichten

Die Aktion Gerätesteuerungsregel erstellen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully created a Device Control Rule in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Create Device Control Rule". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Gerätesteuerungsregel erstellen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Hash-Sperrlisteneintrag erstellen

Verwenden Sie die Aktion Create Hash Black List Record, um Hashes zu einer Sperrliste in SentinelOne hinzuzufügen.

Diese Aktion unterstützt nur SHA-1-Hashes.

Diese Aktion wird für die Google SecOps-Entität Hash ausgeführt.

Aktionseingaben

Für die Aktion Create Hash Black List Record sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Operating System	Pflichtangabe. Ein Betriebssystem für den Hash. Folgende Werte sind möglich: windows windows_legacy macos linux Der Standardwert ist windows.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, die an die Sperrliste gesendet werden sollen.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, die an die Sperrliste gesendet werden sollen.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, die auf die Sperrliste gesetzt werden sollen.
Description	Optional. Zusätzliche Informationen zu einem Hash. Der Standardwert ist "".
Add to global blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, wird der Hash durch die Aktion einer globalen Sperrliste hinzugefügt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs ignoriert.

Aktionsausgaben

Die Aktion Hash-Sperrlisteneintrag erstellen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Create Hash Black List Record erhalten:

[
    {
        "Entity": "ENTITY_ID",
        "EntityResult": [{
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.678280Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.678690Z"
        }, {
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group 2",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.683858Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.684677Z"
        }]
    }
]

Ausgabenachrichten

Die Aktion Hash-Sperrlisteneintrag erstellen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added the following hashes to the blocklist in SentinelOne: ENTITY_ID. The following hashes were already a part of blocklist in SentinelOne: ENTITY_ID. Action wasn't able to add the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were added to the blocklist in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Create Hash Black List Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Hash-Sperrlisteneintrag erstellen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Hash-Ausschlusseintrag erstellen

Verwenden Sie die Aktion Hash-Ausschlusseintrag erstellen, um der Ausschlussliste in SentinelOne einen Hash hinzuzufügen.

Diese Aktion unterstützt nur SHA-1-Hashes.

Diese Aktion wird für die Google SecOps-Entität Hash ausgeführt.

Aktionseingaben

Für die Aktion Hash-Ausschlusseintrag erstellen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Operation System	Pflichtangabe. Ein Betriebssystem für den Hash. Folgende Werte sind möglich: windows windows_legacy macos linux Der Standardwert ist windows.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, um den Hash an die Ausschlussliste zu senden. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, um den Hash an die Ausschlussliste zu senden. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, um den Hash an die Ausschlussliste zu senden.
Description	Optional. Zusätzliche Informationen zum Hash.
Add to global exclusion list	Optional. Wenn diese Option ausgewählt ist, wird der globalen Ausschlussliste ein Hash hinzugefügt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs ignoriert.

Aktionsausgaben

Die Aktion Hash-Ausschlusseintrag erstellen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Create Hash Exclusion Record erhalten:

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Ausgabenachrichten

Die Aktion Hash-Ausschlusseintrag erstellen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added the following hashes to the exclusion list in SentinelOne: HASH_ID The following hashes were already a part of exclusion list in SentinelOne: HASH_ID Action wasn't able to add the following hashes to the exclusion list in SentinelOne: HASH_ID No hashes were added to the exclusion list in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Create Hash Exclusion Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Hash-Ausschlusseintrag erstellen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Pfadausschluss-Eintrag erstellen

Verwenden Sie die Aktion Pfadausschluss-Eintrag erstellen, um der Ausschlussliste in SentinelOne einen Pfad hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Pfadausschluss-Eintrag erstellen sind die folgenden Parameter erforderlich:

Der Standardwert ist Suppress Alerts.

Parameter	Beschreibung
Path	Pflichtangabe. Ein Pfad, der der Ausschlussliste hinzugefügt werden soll.
Operation System	Pflichtangabe. Ein Betriebssystem für den Hash. Folgende Werte sind möglich: windows windows_legacy macos linux Der Standardwert ist windows.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, um den Hash an die Ausschlussliste zu senden. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, um den Hash an die Ausschlussliste zu senden. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, um den Hash an die Ausschlussliste zu senden.
Description	Optional. Zusätzliche Informationen zum Hash.
Add to global exclusion list	Optional. Wenn diese Option ausgewählt ist, wird der globalen Ausschlussliste ein Hash hinzugefügt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs ignoriert.
Include Subfolders	Optional. Wenn diese Option ausgewählt ist, umfasst die Aktion Unterordner für den angegebenen Pfad. Dieser Parameter gilt nur, wenn Sie im Parameter Path einen Ordnerpfad konfigurieren.
Mode	Optional. Ein Modus, der für den ausgeschlossenen Pfad verwendet werden soll. Folgende Werte sind möglich: Suppress Alerts Interoperability Interoperability - Extended Performance Focus Performance Focus - Extended

Aktionsausgaben

Die Aktion Pfadausschluss-Eintrag erstellen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Pfadausschluss-Datensatz erstellen verwenden:

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Ausgabenachrichten

Die Aktion Pfadausschluss-Eintrag erstellen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added the following path to the exclusion list in SentinelOne: PATH The following paths were already a part of exclusion list in SentinelOne: PATH_LIST Action wasn't able to add the following paths to the exclusion list in SentinelOne: PATH No paths were added to the exclusion list in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Create Path Exclusion Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Pfadausschlusseintrag erstellen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Gerätesteuerungsregel löschen

Mit der Aktion Gerätesteuerungsregel löschen können Sie eine Gerätesteuerungsregel in SentinelOne löschen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Delete Device Control Rule (Gerätesteuerungsregel löschen) sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Rule ID	Pflichtangabe. Die ID der zu löschenden Regel.
Scope Type	Optional. Die Organisationsebene, auf der die Benachrichtigung sichtbar oder anwendbar ist. Folgende Werte sind möglich: Account Site Group Der Standardwert ist Account.
Scope ID	Pflichtangabe. Die ID des Bereichs.

Aktionsausgaben

Die Aktion Gerätesteuerungsregel löschen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Delete Device Control Rule kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully deleted a Device Control Rule with ID RULE_DEVICE_ID in SentinelOne. Rule RULE_DEVICE_ID wasn't found in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Delete Device Control Rule". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Delete Device Control Rule verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Hash-Sperrlisteneintrag löschen

Mit der Aktion Delete Hash Blacklist Record können Sie Hashes aus einer Sperrliste in SentinelOne löschen.

Diese Aktion unterstützt nur SHA-1-Hashes.

Diese Aktion wird für die Google SecOps-Entität Hash ausgeführt.

Aktionseingaben

Für die Aktion Delete Hash Blacklist Record sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, für die der Hash entfernt werden soll.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, für die der Hash entfernt werden soll.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, für die der Hash entfernt werden soll.
Remove from global black list	Optional. Wenn diese Option ausgewählt ist, wird der Hash aus der globalen Sperrliste entfernt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs ignoriert.

Aktionsausgaben

Die Aktion Delete Hash Blacklist Record liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Delete Hash Blacklist Record kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully removed the following hashes from the blocklist in SentinelOne: ENTITY_ID. The following hashes were not found in a blocklist in SentinelOne: ENTITY_ID. Action wasn't able to remove the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were removed from the blocklist in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Delete Hash Blacklist Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Delete Hash Blacklist Record verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Agent vom Netzwerk trennen

Verwenden Sie die Aktion Agent vom Netzwerk trennen, um einen Agenten über seinen Hostnamen oder seine IP-Adresse vom Netzwerk zu trennen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agent vom Netzwerk trennen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agent vom Netzwerk trennen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Bedrohungsdatei herunterladen

Mit der Aktion Bedrohungsdatei herunterladen können Sie eine Datei herunterladen, die mit einer Bedrohung in SentinelOne zusammenhängt.

Zum Abrufen von Bedrohungsdateien in SentinelOne benötigen Sie eine der folgenden Rollen:

• Admin
• IR Team
• SOC

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Einschränkungen hinsichtlich Aktionen

Bei der Aktion Bedrohungsdatei herunterladen kann es zu einer Zeitüberschreitung kommen, wenn SentinelOne eine Datei abruft, aber keine Download-URL bereitstellt.

Rufen Sie die Zeitachse der Bedrohung auf, um die Ursache für die Zeitüberschreitung zu untersuchen.

Aktionseingaben

Für die Aktion Bedrohungsdatei herunterladen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Pflichtangabe. Die ID der Bedrohung, um eine Datei herunterzuladen.
Password	Pflichtangabe. Ein Passwort für den ZIP-Ordner, der die Bedrohungsdatei enthält. Es gelten die folgenden Passwortanforderungen: Mindestens 10 Zeichen lang sein. Enthält Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen. Die maximale Länge für das Passwort beträgt 256 Zeichen.
Download Folder Path	Pflichtangabe. Ein Pfad zu einem Ordner, in dem die Bedrohungsdatei gespeichert werden soll.
Overwrite	Pflichtangabe. Wenn diese Option ausgewählt ist, wird eine Datei mit demselben Namen überschrieben. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Bedrohungsdatei herunterladen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Bedrohungsdatei herunterladen erhalten:

{
    "absolute_path": "ABSOLUTE_PATH"
}

Ausgabenachrichten

Die Aktion Bedrohungsdatei herunterladen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully downloaded the file related to threat THREAT_ID in SentinelOne. Action wasn't able to download the file related to threat THREAT_ID. Reason: The action was able to initiate the downloading of the file, but SentinelOne didn't return a download URL. Waiting for the download link to appear in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Download Threat File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Bedrohungsdatei herunterladen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Endpunkte anreichern

Verwenden Sie die Aktion Endpunkte anreichern, um Informationen zum Endpunkt mithilfe der IP-Adresse oder des Hostnamens anzureichern.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Endpunkte anreichern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Create Insight	Optional. Wenn diese Option ausgewählt ist, wird durch die Aktion eine Statistik mit Informationen zu Endpunkten erstellt.
Only Infected Endpoints Insights	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion nur Statistiken für infizierte Endpunkte erstellt.

Aktionsausgaben

Die Aktion Endpunkte anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Endpunkte anreichern empfangen wird:

{
    "accountId": "ACCOUNT_ID",
    "accountName": "SentinelOne",
    "activeDirectory": {
        "computerDistinguishedName": "CN=LP-EXAMPLE,CN=Computers,DC=EXAMPLE,DC=LOCAL",
        "computerMemberOf": [],
        "lastUserDistinguishedName": "CN=Example,OU=Users,OU=PS,OU=IL,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
        "lastUserMemberOf": [
            "CN=esx.cs,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Backup Operators,CN=Builtin,DC=EXAMPLE,DC=LOCAL",
            "CN=esx.product,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=EXAMPLE_Admins,OU=QA,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Local Admin,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=CSM,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Event Log Readers,CN=Builtin,DC=EXAMPLE,DC=LOCAL"
        ]
    },
    "activeThreats": 0,
    "agentVersion": "4.1.4.82",
    "allowRemoteShell": false,
    "appsVulnerabilityStatus": "patch_required",
    "computerName": "LP-EXAMPLE",
    "consoleMigrationStatus": "N/A",
    "coreCount": 8,
    "cpuCount": 8,
    "cpuId": "Intel(R) Core(TM) i7-8650U CPU @ 1.90GHz",
    "createdAt": "2020-05-31T07:22:14.695136Z",
    "domain": "EXAMPLE",
    "encryptedApplications": false,
    "externalId": "",
    "externalIp": "192.0.2.91",
    "groupId": "863712577864500060",
    "groupIp": "192.0.2.0",
    "groupName": "Test Group",
    "id": "ID",
    "inRemoteShellSession": false,
    "infected": false,
    "installerType": ".msi",
    "isActive": false,
    "isDecommissioned": false,
    "isPendingUninstall": false,
    "isUninstalled": false,
    "isUpToDate": true,
    "lastActiveDate": "2021-01-12T12:59:43.143066Z",
    "lastIpToMgmt": "192.0.2.20",
    "lastLoggedInUserName": "EXAMPLE",
    "licenseKey": "",
    "locationType": "fallback",
    "locations": [
        {
            "id": "ID",
            "name": "Fallback",
            "scope": "global"
        }
    ],
    "machineType": "laptop",
    "mitigationMode": "protect",
    "mitigationModeSuspicious": "protect",
    "modelName": "Dell Inc. - Latitude 7490",
    "networkInterfaces": [
        {
            "id": "ID",
            "inet": [
                "192.0.2.20"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2",
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "Wi-Fi",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "192.168.193.193"
            ],
            "inet6": [
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "vEthernet (Default Switch)",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "201.0.113.1"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2"
            ],
            "name": "vEthernet (DockerNAT)",
            "physical": "MAC_ADDRESS"
        }
    ],
    "networkStatus": "connecting",
    "osArch": "64 bit",
    "osName": "Windows 10 Pro",
    "osRevision": "18363",
    "osStartTime": "2021-01-03T15:38:32Z",
    "osType": "windows",
    "osUsername": null,
    "rangerStatus": "NotApplicable",
    "rangerVersion": null,
    "registeredAt": "2020-05-31T07:22:14.691561Z",
    "scanAbortedAt": null,
    "scanFinishedAt": "2020-05-31T09:28:53.867014Z",
    "scanStartedAt": "2020-05-31T07:25:37.814972Z",
    "scanStatus": "finished",
    "siteId": "SITE_ID",
    "siteName": "example.com",
    "threatRebootRequired": false,
    "totalMemory": 16263,
    "updatedAt": "2021-01-18T13:33:43.834618Z",
    "userActionsNeeded": [],
    "uuid": "UUID"
}

Ausgabenachrichten

Die Aktion Endpunkte anreichern kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved information about the following endpoints from SentinelOne: ENTITY_ID Action wasn't able to retrieve information about the following endpoints from SentinelOne: ENTITY_ID No information was retrieved for provided entities.	Die Aktion war erfolgreich.
Error executing action "Enrich Endpoints". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Endpunkte anreichern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Agentenstatus abrufen

Verwenden Sie die Aktion Agentenstatus abrufen, um Informationen zum Status von Agenten auf den Endpunkten basierend auf der angegebenen Entität abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agentenstatus abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Agentenstatus abrufen zurückgegeben wird:

{
"status": "Not active"
}

Ausgabenachrichten

Die Aktion Agentenstatus abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved information about agent status for the following endpoints: ENTITY_ID Action wasn't able to retrieve information about agent status for the following endpoints: ENTITY_ID No information about agent status was found for the provided endpoints.	Die Aktion war erfolgreich.
Error executing action "Get Agent Status". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agentenstatus abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Anwendungsliste für Endpunkt abrufen

Verwenden Sie die Aktion Anwendungsliste für Endpunkt abrufen, um Informationen zu verfügbaren Anwendungen auf einem Endpunkt mithilfe der bereitgestellten Entitäten abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Anwendungsliste für Endpunkt abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Max Applications To Return	Optional. Die maximale Anzahl der zurückzugebenden Anwendungen. Wenn Sie keine Zahl festlegen, gibt die Aktion alle verfügbaren Anwendungen zurück.

Aktionsausgaben

Die Aktion Anwendungsliste für Endpunkt abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Anwendungsliste für Endpunkt abrufen verwenden:

{
    "data": [
        {
            "installedDate": "2021-01-06T08:55:56.762000Z",
            "name": "Mozilla Firefox 84.0.1 (x64 en-US)",
            "publisher": "Mozilla",
            "size": 211562,
            "version": "84.0.1"
        }
    ]
}

Ausgabenachrichten

Die Aktion Anwendungsliste für Endpunkt abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved available applications for the following endpoints: ENTITY_ID. Action wasn't able to retrieve available applications for the following endpoints: ENTITY_ID. No applications were retrieved for provided endpoints.	Die Aktion war erfolgreich.
Error executing action "Get Application List for Endpoint". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Anwendungsliste für Endpunkt abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Sperrliste abrufen

Verwenden Sie die Aktion Sperrliste abrufen, um eine Liste aller in der Sperrliste in SentinelOne verfügbaren Elemente abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Sperrliste abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Hash	Optional. Eine durch Kommas getrennte Liste von Hashes, die in der Sperrliste geprüft werden sollen. Die Aktion gibt nur Hashes zurück, die gefunden wurden. Wenn Sie Hash festlegen, wird der Parameter Limit von der Aktion ignoriert.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, für die Sperrlistenelemente zurückgegeben werden sollen.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, für die Sperrlistenelemente zurückgegeben werden sollen.
Account Ids	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, für die Sperrlistenelemente zurückgegeben werden sollen.
Limit	Optional. Eine Anzahl von Sperrlistenelementen, die zurückgegeben werden sollen. Wenn Sie den Parameter Hash festlegen, wird dieser Parameter von der Aktion ignoriert. Der Höchstwert ist 1000. Der Standardwert ist 50.
Query	Optional. Eine Abfrage zum Filtern von Ergebnissen.
Use Global Blacklist	Optional. Wenn diese Option ausgewählt ist, gibt die Aktion Hashes aus einer globalen Sperrliste zurück. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Sperrliste abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Sperrliste abrufen kann die folgende Tabelle zurückgeben:

Tabellenname: Blocklist Hashes

Tabellenspalten:

• Hash
• Bereich
• Beschreibung
• Betriebssystem
• Nutzer

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Sperrliste abrufen erhalten:

[
    {
        "userName": "Example",
        "description": "test",
        "userId": "USER_ID",
        "scopeName": "Example.com",
        "value": "cf23df2207d99a74fbe169e3eba035e633bxxxxx",
        "source": "user",
        "updatedAt": "2020-02-27T15:02:54.686991Z",
        "osType": "windows",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "8353960925573xxxxx",
        "createdAt": "2020-02-27T15:02:54.687675Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "3395856ce81f2b7382dee72602f798b642fxxxxx",
        "source": "cloud",
        "updatedAt": "2020-03-18T14:42:02.730095Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-03-18T14:42:02.730449Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "df531d66173235167ac502b867f3cae2170xxxxx",
        "source": "cloud",
        "updatedAt": "2020-04-08T07:27:35.686775Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-04-08T07:27:35.687168Z"
    }
]

Ausgabenachrichten

Die Aktion Sperrliste abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved blocklisted hashes based on the provided filter criteria in SentinelOne. No blocklisted hashes were found for the provided criteria in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Get Blacklist". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Sperrliste abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Abfrageergebnis für Deep Visibility abrufen

Verwenden Sie die Aktion Get Deep Visibility Query Result, um Informationen zu den Deep Visibility-Abfrageergebnissen abzurufen.

Führen Sie diese Aktion in Kombination mit der Aktion Deep Visibility-Abfrage initiieren aus.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Get Deep Visibility Query Result sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query ID	Pflichtangabe. Die ID der Abfrage, für die Ergebnisse zurückgegeben werden sollen. Der ID-Wert ist im JSON-Ergebnis der Aktion Deep Visibility-Abfrage initiieren als Parameter query_id verfügbar.
Limit	Optional. Die Anzahl der zurückzugebenden Ereignisse. Der Höchstwert ist 100. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Get Deep Visibility Query Result liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Get Deep Visibility Query Result kann die folgende Tabelle zurückgeben:

Tabellenname: SentinelOne Events

Tabellenspalten:

• Ereignistyp
• Websitename
• Zeit
• Agent-Betriebssystem
• Prozess-ID
• Prozess-UID
• Prozessname
• MD5
• SHA256

Ausgabenachrichten

Die Aktion Get Deep Visibility Query Result kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found events for query: QUERY_ID.	Die Aktion war erfolgreich.
Error executing action "Get Deep Visibility Query Result". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get Deep Visibility Query Result verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ereignisse für Endpunkt der letzten Stunden abrufen

Verwenden Sie die Aktion Ereignisse für Endpunktstunden abrufen, um Informationen zu den neuesten Ereignissen auf einem Endpunkt abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Ereignisse für Endpunktstunden abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Hours Back	Pflichtangabe. Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Ereignisse abgerufen werden sollen.
Events Amount Limit	Optional. Die maximale Anzahl von Ereignissen, die für jeden Ereignistyp zurückgegeben werden sollen. Der Standardwert ist 50.
Include File Events Information	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion Informationen zu file-Ereignissen abgefragt.
Include Indicator Events Information	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion Informationen zu indicator-Ereignissen abgefragt.
Include DNS Events Information	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion Informationen zu DNS-Ereignissen abgefragt.
Include Network Actions Events Information	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion Informationen zu den network actions-Ereignissen abgefragt.
Include URL Events Information	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion Informationen zu URL-Ereignissen abgefragt.
Include Registry Events Information	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion Informationen zu registry-Ereignissen abgefragt.
Include Scheduled Task Events Information	Optional. Wenn diese Option ausgewählt ist, fragt die Aktion Informationen zu scheduled task-Ereignissen ab.

Aktionsausgaben

Die Aktion Ereignisse für Endpunktstunden zurück abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Get Events for Endpoint Hours Back verwenden:

{
    "data": [
        {
            "activeContentFileId": null,
            "activeContentHash": null,
            "activeContentPath": null,
            "activeContentSignedStatus": null,
            "activeContentType": null,
            "agentDomain": "",
            "agentGroupId": "GROUP_ID",
            "agentId": "ID",
            "agentInfected": false,
            "agentIp": "192.0.2.160",
            "agentIsActive": true,
            "agentIsDecommissioned": false,
            "agentMachineType": "server",
            "agentName": "ip-203-0-113-205",
            "agentNetworkStatus": "connected",
            "agentOs": "linux",
            "agentTimestamp": "2020-03-19T08:17:01.575Z",
            "agentUuid": "UUID",
            "agentVersion": "3.3.1.14",
            "attributes": [
                {
                    "display": "Created At",
                    "display_attribute": false,
                    "field_id": "agentTimestamp",
                    "priority": 3,
                    "queryable": false,
                    "section": "Main Attributes",
                    "value": "2020-03-19T08:17:01.575Z"
                },{
                    "display": "Site ID",
                    "display_attribute": false,
                    "field_id": "siteId",
                    "priority": 7,
                    "queryable": true,
                    "section": "Endpoint Info",
                    "value": null
                }
            ],
            "containerId": null,
            "containerImage": null,
            "containerLabels": null,
            "containerName": null,
            "createdAt": "2020-03-19T08:17:01.575000Z",
            "eventType": "Process Creation",
            "hasParent": true,
            "id": "ID",
            "k8sCluame": null,
            "k8sControllerLabels": null,
            "k8sControllerName": null,
            "k8sControllerType": null,
            "k8sNamespace": null,
            "k8sNamespaceLabels": null,
            "k8sNode": null,
            "k8sPodLabels": null,
            "k8sPodName": null,
            "md5": null,
            "objectType": "process",
            "parentPid": "32461",
            "parentProcessName": "dash",
            "parentProcessStartTime": "2020-03-19T08:17:01.785Z",
            "parentProcessUniqueKey": "KEY",
            "pid": "32462",
            "processCmd": " run-parts --report /etc/cron.hourly",
            "processDisplayName": null,
            "processGroupId": "GROUP_ID",
            "processImagePath": "/bin/run-parts",
            "processImageSha1Hash": "66df74a1f7cc3509c87d6a190ff90ac86caf440d",
            "processIntegrityLevel": "INTEGRITY_LEVEL_UNKNOWN",
            "processIsRedirectedCommandProcessor": "False",
            "processIsWow64": "False",
            "processName": "run-parts",
            "processRoot": "False",
            "processSessionId": "0",
            "processStartTime": "2020-03-19T08:17:01.787Z",
            "processSubSystem": "SUBSYSTEM_UNKNOWN",
            "processUniqueKey": "KEY",
            "publisher": null,
            "relatedToThreat": "False",
            "sha256": null,
            "signatureSignedInvalidReason": null,
            "signedStatus": "unsigned",
            "siteName": "example.com",
            "trueContext": "c98a4557-94b5-da31-5074-fe6360f17228",
            "user": "unknown",
            "verifiedStatus": null
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 632
    }
}

Ausgabenachrichten

Die Aktion Ereignisse für Endpunktstunden abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved information about the events for the following endpoints: ENDPOINT_ID. Action wasn't able to find any events for the following endpoints: ENDPOINT_ID. No information events for the provided endpoints.	Die Aktion war erfolgreich.
Error executing action "Get Events for Endpoint Hours Back". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Ereignisse für Endpunktstunden abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Gruppendetails abrufen

Verwenden Sie die Aktion Gruppendetails abrufen, um detaillierte Informationen zu den angegebenen Gruppen abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Gruppendetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group Names	Pflichtangabe. Gruppennamen, um Details abzurufen. Dieser Parameter akzeptiert mehrere Werte als eine durch Kommas getrennte Liste.

Aktionsausgaben

Die Aktion Gruppendetails abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Gruppendetails abrufen kann die folgende Tabelle zurückgeben:

Tabellenname: SentinelOne Groups

Tabellenspalten:

• ID
• Name
• Typ
• Rang
• Creator
• Erstellungszeit

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Gruppendetails abrufen zurückgegeben wird:

[
    {
        "GROUP_NAME":"UNEDITABLE_VARIABLERESPONSE_DATA"
    }
]

Ausgabenachrichten

Die Aktion Gruppendetails abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved information about the following groups in SentinelOne: GROUP_NAME. Action wasn't able to retrieve information about the following groups in SentinelOne: GROUP_NAME. No information about provided groups was found.	Die Aktion war erfolgreich.
Error executing action "Get Group Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Gruppendetails abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Hash-Reputation abrufen

(Eingestellt) Verwenden Sie die Aktion Hash-Reputation abrufen, um Informationen zu Hashes von SentinelOne abzurufen.

Diese Aktion wird für die Google SecOps-Entität Hash ausgeführt.

Aktionseingaben

Für die Aktion Hash-Reputation abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Reputation Threshold	Optional. Ein Reputationsschwellenwert, um eine Entität als verdächtig zu markieren. Wenn Sie keinen Wert festlegen, wird keine Entität als verdächtig markiert. Der Höchstwert ist 10. Der Standardwert ist 5.
Create Insight	Optional. Wenn diese Option ausgewählt ist, wird durch die Aktion eine Statistik erstellt, die Informationen zur Reputation enthält.
Only Suspicious Hashes Insight	Optional. Wenn diese Option ausgewählt ist, wird nur eine Statistik für Hashes erstellt, deren Bewertung den Wert Reputation Threshold überschreitet oder ihm entspricht.

Aktionsausgaben

Die Aktion Get Hash Reputation liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Nicht verfügbar
Scriptergebnis	Verfügbar

Anreicherungstabelle

Mit der Aktion Get Hash Reputation können die folgenden Felder angereichert werden:

Name des Anreicherungsfelds	Gültigkeit
SENO_reputation	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get Hash Reputation verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Prozessliste für Endpunkt abrufen – eingestellt

Eingestellt : Diese Aktion wird nicht mehr unterstützt. Verwenden Sie stattdessen die Aktion Anwendungsliste für Endpunkt abrufen.

Site-Agenten abrufen

Verwenden Sie die Aktion Get Site Agents, um Informationen zu einer bestimmten Website in SentinelOne abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Get Site Agents sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Site Name	Pflichtangabe. Die ID der zurückzugebenden Benachrichtigung.
Max Agents To Return	Pflichtangabe. Die maximale Anzahl der zurückzugebenden Agenten. Der Höchstwert ist 1000. Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Get Site Agents liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Site Agents empfangen wird:

[
    {
        "accountId": "0000000000000000000",
        "accountName": "Customer_Company_Name",
        "activeDirectory": {
            "computerDistinguishedName": null,
            "computerMemberOf": [],
            "lastUserDistinguishedName": null,
            "lastUserMemberOf": [],
            "userPrincipalName": null
        },
        "activeProtection": [
            "edr"
        ],
        "activeThreats": 27,
        "agentVersion": "XX.X.X.X",
        "allowRemoteShell": true,
        "appsVulnerabilityStatus": "not_applicable",
        "cloudProviders": {
            "Google Cloud": {
                "cloudAccount": "customer-edr-agents-yyyy",
                "cloudImage": "debian-image-name-vYYYYMMDD",
                "cloudInstanceId": "0000000000000000000",
                "cloudInstanceSize": "e2-medium",
                "cloudLocation": "us-region-x",
                "cloudNetwork": "private-network-name",
                "cloudTags": [
                    "corelight-ingress",
                    "Endpoint does not have sufficient permissions to fetch labels"
                ],
                "gcpServiceAccount": "[e-mail]"
            }
        },
        "computerName": "virtual-machine-name-1",
        "consoleMigrationStatus": "N/A",
        "containerizedWorkloadCounts": null,
        "coreCount": 2,
        "cpuCount": 1,
        "cpuId": "Intel(R) Xeon(R) CPU @ X.XGHz",
        "createdAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "detectionState": null,
        "domain": "us-region-x.c.customer-edr-agents-yyyy.internal",
        "encryptedApplications": false,
        "externalId": "",
        "externalIp": "000.000.000.000",
        "firewallEnabled": false,
        "firstFullModeTime": null,
        "fullDiskScanLastUpdatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "groupId": "0000000000000000000",
        "groupIp": "000.000.000.0",
        "groupName": "Default Group",
        "hasContainerizedWorkload": false,
        "id": "0000000000000000000",
        "inRemoteShellSession": false,
        "infected": true,
        "installerType": ".deb",
        "isActive": true,
        "isAdConnector": false,
        "isDecommissioned": false,
        "isHyperAutomate": null,
        "isPendingUninstall": false,
        "isUninstalled": false,
        "isUpToDate": true,
        "lastActiveDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "lastIpToMgmt": "000.000.000.000",
        "lastLoggedInUserName": "",
        "lastSuccessfulScanDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "licenseKey": "",
        "locationEnabled": false,
        "locationType": "not_supported",
        "locations": null,
        "machineSid": null,
        "machineType": "server",
        "missingPermissions": [],
        "mitigationMode": "detect",
        "mitigationModeSuspicious": "detect",
        "modelName": "Google Google Compute Engine",
        "networkInterfaces": [
            {
                "gatewayIp": "000.000.000.000",
                "gatewayMacAddress": "XX:XX:XX:XX:XX:XX",
                "id": "0000000000000000000",
                "inet": [
                    "000.000.000.000"
                ],
                "inet6": [
                    "fe80::0000:0000:0000:0"
                ],
                "name": "ens4",
                "physical": "XX:XX:XX:XX:XX:XX"
            },
            {
                "gatewayIp": null,
                "gatewayMacAddress": null,
                "id": "0000000000000000000",
                "inet": [
                    "172.17.0.1"
                ],
                "inet6": [],
                "name": "docker0",
                "physical": "XX:XX:XX:XX:XX:XX"
            }
        ],
        "networkQuarantineEnabled": false,
        "networkStatus": "connected",
        "operationalState": "na",
        "operationalStateExpiration": null,
        "osArch": "64 bit",
        "osName": "Linux",
        "osRevision": "Debian GNU/11 (bullseye) X.X.X.X-cloud-amd64",
        "osStartTime": "YYYY-MM-DDTHH:MM:SSZ",
        "osType": "linux",
        "osUsername": "user",
        "proxyStates": null,
        "rangerStatus": "Disabled",
        "rangerVersion": null,
        "registeredAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "remoteProfilingState": "disabled",
        "remoteProfilingStateExpiration": null,
        "scanAbortedAt": null,
        "scanFinishedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStartedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStatus": "finished",
        "serialNumber": null,
        "showAlertIcon": false,
        "siteId": "0000000000000000000",
        "siteName": "SITE_NAME",
        "storageName": null,
        "storageType": null,
        "tags": {
            "sentinelone": [
                {
                    "assignedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
                    "assignedBy": "[e-mail]",
                    "assignedById": "0000000000000000000",
                    "id": "0000000000000000000",
                    "key": "MD_Containment_Allowlist",
                    "value": "No Value"
                }
            ]
        },
        "threatRebootRequired": false,
        "totalMemory": 3930,
        "updatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "userActionsNeeded": [],
        "uuid": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy"
    }
]

Ausgabenachrichten

Die Aktion Get Site Agents kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned information about the hosts from Site SITE_NAME in SentinelOne. No hosts are associated with Site SITE_NAME in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Get Site Agents". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Standort-Agents abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Systemstatus abrufen

Verwenden Sie die Aktion Systemstatus abrufen, um den Status eines Systems abzurufen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Systemstatus abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Nicht verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Systemstatus abrufen empfangen wird:

{
    "system_status": {
        "data": {
            "health": "ok"
        }},
    "db_status": {
        "data": {
            "health": "ok"
        }},
    "cache_status": {
        "data": {
            "health": "ok"
        }
    }
}

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Systemstatus abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Systemversion abrufen

Verwenden Sie die Aktion Systemversion abrufen, um die Version eines Systems abzurufen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Systemversion abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Systemversion abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Bedrohungen abrufen

Verwenden Sie die Aktion Bedrohungen abrufen, um Informationen zu Bedrohungen in SentinelOne abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Bedrohungen abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Mitigation Status	Optional. Eine durch Kommas getrennte Liste von Bedrohungsstatus. Die Aktion gibt nur Bedrohungen zurück, die den konfigurierten Status entsprechen. Folgende Werte sind möglich: mitigated active blocked suspicious suspicious_resolved
Created until	Optional. Die Endzeit für die Bedrohungen, z. B. 2020-03-02T21:30:13.014874Z.
Created from	Optional. Die Startzeit für die Bedrohungen, z. B. 2020-03-02T21:30:13.014874Z.
Resolved Threats	Optional. Wenn diese Option ausgewählt ist, gibt die Aktion nur behobene Bedrohungen zurück.
Threat Display Name	Optional. Ein Anzeigename der Bedrohung, die zurückgegeben werden soll.
Limit	Optional. Eine Anzahl von Bedrohungen, die zurückgegeben werden sollen. Der Standardwert ist 10.
API Version	Optional. Die Version der API, die für die Aktion verwendet werden soll. Die API-Version wirkt sich auf die JSON-Ergebnisstruktur aus. Wir empfehlen, die neueste unterstützte API-Version für Ihre Umgebung zu verwenden. Wichtig: Version 2.1 oder höher ist erforderlich, um private und interne IP-Adressdaten (agentDetectionInfo_agentIpV4) abzurufen. Der Standardwert ist 2.0.

Aktionsausgaben

Die Aktion Bedrohungen abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Bedrohungen abrufen empfangen wird:

{
            "accountId": "ACCOUNT_ID",
            "accountName": "ACCOUNT_NAME",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "192.0.2.176",
            "agentIsActive": false,
            "agentIsDecommissioned": false,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connected",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "838490132723152335",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "external_ticket_id": null,
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "THREAT_ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "0BB46E119EF0AE51",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": true,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": "sent"
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-07-07T17:19:48.260119Z",
            "username": "DESKTOP-example\\ddiserens",
            "whiteningOptions": []
}

Ausgabenachrichten

Die Aktion Bedrohungen abrufen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved information about the available threats in SentinelOne. No information about threats was found based on the provided criteria.	Die Aktion war erfolgreich.
Error executing action "Get Threats". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Bedrohungen abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Deep Visibility-Abfrage starten

Verwenden Sie die Aktion Deep Visibility-Abfrage initiieren, um eine Deep Visibility-Abfragesuche zu starten.

Diese Aktion gibt den Abfrage-ID-Wert zurück, der für die Aktion Get Deep Visibility Query Result erforderlich ist.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Deep Visibility-Abfrage initiieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query	Pflichtangabe. Eine Suchanfrage. Weitere Informationen zur Abfragesyntax finden Sie im SentinelOne Deep Visibility Cheat Sheet.
Start Date	Optional. Ein Startdatum für die Suche. Wenn Sie keinen Wert festlegen, werden standardmäßig Ereignisse abgerufen, die 30 Tage vor dem aktuellen Zeitpunkt liegen.
End Date	Optional. Ein Enddatum für die Suche. Wenn Sie keinen Wert festlegen, wird die aktuelle Zeit verwendet.

Aktionsausgaben

Die Aktion Deep Visibility-Abfrage initiieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Deep Visibility-Abfrage initiieren verwenden:

[
    {
        "query_id": "QUERY_ID"
    }
]

Ausgabenachrichten

Die Aktion Deep Visibility-Abfrage initiieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully created a Deep Visibility query. Query ID: QUERY_ID. Failed to create a Deep Visibility query.	Die Aktion war erfolgreich.
Error executing action "Initiate Deep Visibility Query". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Deep Visibility-Abfrage initiieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Vollständigen Scan starten

Verwenden Sie die Aktion Vollständigen Scan starten, um einen vollständigen Laufwerksscan auf einem Endpunkt in SentinelOne zu starten.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Vollständigen Scan initiieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Vollständigen Scan starten kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully started the full disk scan on the following endpoints in SentinelOne: ENTITY_ID. Action wasn't able to start a full disk scan on the following endpoints in SentinelOne: ENTITY_ID. No full disk scans were initiated.	Die Aktion war erfolgreich.
Error executing action "Initiate Full Scan". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Vollständigen Scan starten verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Websites auflisten

Verwenden Sie die Aktion Websites auflisten, um verfügbare Websites in SentinelOne aufzulisten.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Standorte auflisten sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Filter Key	Optional. Der Schlüssel zum Filtern von Websites. Folgende Werte sind möglich: Select One Name ID Der Standardwert ist Select One.
Filter Logic	Optional. Die anzuwendende Filterlogik. Die Filterlogik verwendet den im Parameter Filter Key festgelegten Wert. Folgende Werte sind möglich: Not Specified Equal Contains Der Standardwert ist Not Specified.
Filter Value	Optional. Der Wert, der im Filter verwendet werden soll. Die Filterlogik verwendet den im Parameter Filter Key festgelegten Wert. Wenn Sie im Parameter Filter Logic die Option Equal auswählen, sucht die Aktion nach der genauen Übereinstimmung in den Ergebnissen. Wenn Sie im Parameter Filter Logic die Option Contains auswählen, sucht die Aktion nach Ergebnissen, die den angegebenen Teilstring enthalten. Wenn Sie keinen Wert festlegen, wird der Filter von der Aktion ignoriert.
Max Records To Return	Optional. Die Anzahl der zurückzugebenden Datensätze. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Websites auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Websites auflisten kann die folgende Tabelle zurückgeben:

Tabellenname: Verfügbare Websites

Tabellenspalten:

• Name
• ID
• Creator
• Ablaufdatum
• Typ
• Bundesland

Ausgabenachrichten

Die Aktion Websites auflisten kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found sites for the provided criteria in SentinelOne. No sites were found for the provided criteria in SentinelOne. The filter was not applied, because parameter "Filter Value" has an empty value.	Die Aktion war erfolgreich.
Error executing action "List Sites". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Websites auflisten verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Als Bedrohung markieren

Verwenden Sie die Aktion Als Bedrohung markieren, um verdächtige Bedrohungen in SentinelOne als richtig positive Bedrohungen zu markieren.

Wenn Sie Bedrohungen in SentinelOne markieren möchten, benötigen Sie eine der folgenden Rollen:

• Admin
• IR Team
• SOC

Sie können nur verdächtige Erkennungen als Bedrohungen markieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Als Bedrohung markieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat IDs	Pflichtangabe. Eine durch Kommas getrennte Liste von Erkennungs-IDs, die als Bedrohungen markiert werden sollen.

Aktionsausgaben

Die Aktion Als Bedrohung markieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Als Bedrohung markieren verwenden:

[
    {
        "ID": "DETECTION_ID",
        "marked_as_threat": "true"
    }
]

Ausgabenachrichten

Die Aktion Als Bedrohung markieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully marked the following threats in SentinelOne: THREAT_ID. Action wasn't able to mark the following threats in SentinelOne: THREAT_ID. No threats were marked.	Die Aktion war erfolgreich.
Error executing action "Mark as Threat". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Als Bedrohung markieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Bedrohung abwehren

Verwenden Sie die Aktion Bedrohung minimieren, um in SentinelOne Maßnahmen zur Minimierung von Bedrohungen auszuführen.

Zum Minimieren von Bedrohungen in SentinelOne benötigen Sie eine der folgenden Rollen:

• Admin
• IR Team
• SOC

Das Rollback gilt nur für Windows. Die Bedrohungsbehebung gilt nur für macOS und Windows.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Bedrohung minimieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Mitigation action	Pflichtangabe. Eine Maßnahme zur Risikominimierung für die erkannten Bedrohungen. Folgende Werte sind möglich: quarantine kill un-quarantine remediate rollback-remediate Der Standardwert ist quarantine.
Threat IDs	Pflichtangabe. Eine durch Kommas getrennte Liste von Bedrohungs-IDs, die minimiert werden sollen.

Aktionsausgaben

Die Aktion Bedrohung minimieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Bedrohung minimieren erhalten:

[
        {
            "mitigated": true,
            "mitigation_action": "quarantine",
            "Threat_ID": "THREAT_ID"
        }
]

Ausgabenachrichten

Die Aktion Bedrohung minimieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully mitigated the following threats in SentinelOne: THREAT_ID. Action wasn't able to mitigate the following threats in SentinelOne: THREAT_ID. No threats were mitigated.	Die Aktion war erfolgreich.
Error executing action "Mitigate Threat". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Bedrohung minimieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

KI-Agenten verschieben

Verwenden Sie die Aktion Agents verschieben, um Agents von derselben Website in die angegebene Gruppe zu verschieben.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Move Agents sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group ID	Optional. Die ID der Gruppe, in die die Agenten verschoben werden sollen.
Group Name	Optional. Der Name der Gruppe, in die KI-Agenten verschoben werden sollen. Wenn Sie sowohl den Parameter Group ID als auch die Parameter Group Name konfigurieren, hat der Parameter Group ID Vorrang.

Aktionsausgaben

Die Aktion Agenten verschieben liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Agenten verschieben kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully moved the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. Action wasn't able to move the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. No endpoints were moved to the group ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Move Agents". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agenten verschieben verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu testen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Ping verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Agent wieder mit dem Netzwerk verbinden

Verwenden Sie die Aktion Agent wieder mit dem Netzwerk verbinden, um einen getrennten Endpunkt wieder mit einem Netzwerk zu verbinden.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agent wieder mit dem Netzwerk verbinden liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agent wieder mit dem Netzwerk verbinden verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Bedrohung beheben

Verwenden Sie die Aktion Bedrohung beheben, um Bedrohungen in SentinelOne zu beheben.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Bedrohung beheben sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat IDs	Pflichtangabe. Eine durch Kommas getrennte Liste von Bedrohungs-IDs, die behoben werden sollen.
Annotation	Optional. Eine Begründung für die Behebung der Bedrohung.

Aktionsausgaben

Die Aktion Bedrohung beheben liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Bedrohung beheben erhalten:

[
    {
        "resolved": false,
        "Threat_ID": "THREAT_ID"
        }
]

Ausgabenachrichten

Die Aktion Bedrohung beheben kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully resolved the following threats in SentinelOne: THREAT_ID. Action wasn't able to resolve the following threats in SentinelOne: THREAT_ID. No threats were resolved.	Die Aktion war erfolgreich.
Error executing action "Resolve Threat". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Bedrohung beheben verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Benachrichtigung ändern

Verwenden Sie die Aktion Benachrichtigung aktualisieren, um die Benachrichtigung zur Bedrohung in SentinelOne zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Benachrichtigung aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Pflichtangabe. Die ID der zu aktualisierenden Benachrichtigung.
Status	Optional. Der Status der Benachrichtigung. Folgende Werte sind möglich: Unresolved In Progress Resolved
Verdict	Optional. Das Ergebnis für die Benachrichtigung. Folgende Werte sind möglich: True Positive False Positive Suspicious

Aktionsausgaben

Die Aktion Benachrichtigung aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Benachrichtigung aktualisieren empfangen werden:

{
           "agentDetectionInfo": {
               "accountId": "1727154225040260868",
               "machineType": "server",
               "name": "windows-server-20230913",
               "osFamily": "windows",
               "osName": "Windows Server 2019 Datacenter",
               "osRevision": "17763",
               "siteId": "1727154229628829519",
               "uuid": "da943d26318e46a8b3f6fc480c02636d",
               "version": "23.1.2.400"
           },
           "agentRealtimeInfo": {
               "id": "1896661984701699721",
               "infected": true,
               "isActive": true,
               "isDecommissioned": false,
               "machineType": "server",
               "name": "windows-server-20230913",
               "os": "windows",
               "uuid": "da943d26318e46a8b3f6fc480c02636d"
           },
           "alertInfo": {
               "alertId": "1947486263439640318",
               "analystVerdict": "Undefined",
               "createdAt": "2024-05-11T00:27:23.135000Z",
               "dnsRequest": null,
               "dnsResponse": null,
               "dstIp": null,
               "dstPort": null,
               "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
               "eventType": "REGVALUEMODIFIED",
               "hitType": "Events",
               "incidentStatus": "Unresolved",
               "indicatorCategory": null,
               "indicatorDescription": null,
               "indicatorName": null,
               "isEdr": true,
               "loginAccountDomain": null,
               "loginAccountSid": null,
               "loginIsAdministratorEquivalent": null,
               "loginIsSuccessful": null,
               "loginType": null,
               "loginsUserName": null,
               "modulePath": null,
               "moduleSha1": null,
               "netEventDirection": null,
               "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryOldValue": "0060030100000000",
               "registryOldValueType": "BINARY",
               "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryValue": "0070030100000000",
               "reportedAt": "2024-05-11T00:27:33.873767Z",
               "source": "STAR",
               "srcIp": null,
               "srcMachineIp": null,
               "srcPort": null,
               "tiIndicatorComparisonMethod": null,
               "tiIndicatorSource": null,
               "tiIndicatorType": null,
               "tiIndicatorValue": null,
               "updatedAt": "2025-05-12T18:41:08.366615Z"
           },
           "containerInfo": {
               "id": null,
               "image": null,
               "labels": null,
               "name": null
           },
           "kubernetesInfo": {
               "cluster": null,
               "controllerKind": null,
               "controllerLabels": null,
               "controllerName": null,
               "namespace": null,
               "namespaceLabels": null,
               "node": null,
               "pod": null,
               "podLabels": null
           },
           "ruleInfo": {
               "description": null,
               "id": "1763599692710649014",
               "name": "Registry Value Modified",
               "queryLang": "1.0",
               "queryType": "events",
               "s1ql": "EventType = \"Registry Value Modified\"",
               "scopeLevel": "account",
               "severity": "Critical",
               "treatAsThreat": "UNDEFINED"
           },
           "sourceParentProcessInfo": {
               "commandline": "C:\\Windows\\system32\\services.exe",
               "effectiveUser": null,
               "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
               "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
               "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
               "filePath": "C:\\Windows\\System32\\services.exe",
               "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "services.exe",
               "pid": "896",
               "pidStarttime": "2024-04-26T17:33:41.962000Z",
               "realUser": null,
               "storyline": "DD880F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "DC880F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "sourceProcessInfo": {
               "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
               "effectiveUser": null,
               "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
               "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
               "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
               "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
               "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "cyserver.exe",
               "pid": "3204",
               "pidStarttime": "2024-04-26T17:34:17.273000Z",
               "realUser": null,
               "storyline": "74890F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "73890F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "targetProcessInfo": {
               "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
               "tgtFileHashSha1": null,
               "tgtFileHashSha256": null,
               "tgtFileId": null,
               "tgtFileIsSigned": "signed",
               "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
               "tgtFileOldPath": null,
               "tgtFilePath": null,
               "tgtProcCmdLine": null,
               "tgtProcImagePath": null,
               "tgtProcIntegrityLevel": "unknown",
               "tgtProcName": null,
               "tgtProcPid": null,
               "tgtProcSignedStatus": null,
               "tgtProcStorylineId": null,
               "tgtProcUid": null,
               "tgtProcessStartTime": "1970-01-01T00:00:00Z"
           }
       }

Ausgabenachrichten

Die Aktion Benachrichtigung aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated alert with ID ALERT_ID in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Update Alert". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Benachrichtigung aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Analystenurteil aktualisieren

Verwenden Sie die Aktion Analystenurteil aktualisieren, um das Analystenurteil der Bedrohung in SentinelOne zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Update Analyst Verdict sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Pflichtangabe. Eine durch Kommas getrennte Liste von Bedrohungs-IDs, für die das Analystenurteil aktualisiert werden soll.
Analyst Verdict	Pflichtangabe. Ein Analystenurteil. Folgende Werte sind möglich: True Positive False Positive Suspicious Undefined Der Standardwert ist Undefined.

Aktionsausgaben

Die Aktion Update Analyst Verdict liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Update Analyst Verdict kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the provided threats in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Update Analyst Verdict". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Analystenurteil aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Gerätesteuerungsregel aktualisieren

Verwenden Sie die Aktion Gerätesteuerungsregel aktualisieren, um eine Gerätesteuerungsregel in SentinelOne zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Gerätesteuerungsregel aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Rule ID	Pflichtangabe. Die ID der zu aktualisierenden Regel.
Rule JSON	Pflichtangabe. Das JSON-Objekt, das die Konfiguration der Gerätesteuerungsregel darstellt. Der Standardwert ist: { "ruleName": "String", "interface": "String", "ruleType": "String", "action": "String", "accessPermission": "String", "deviceClass": "String", "status": "String" }

Aktionsausgaben

Die Aktion Gerätesteuerungsregel aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Gerätesteuerungsregel aktualisieren empfangen werden:

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}

Ausgabenachrichten

Die Aktion Update Device Control Rule kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated a Device Control Rule with ID DEVICE_CONTROL_ID in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Update Device Control Rule". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Gerätesteuerungsregel aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Vorfallstatus aktualisieren

Verwenden Sie die Aktion Vorfallsstatus aktualisieren, um den Status von Bedrohungsvorfällen in SentinelOne zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Vorfallsstatus aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Pflichtangabe. Eine durch Kommas getrennte Liste von Bedrohungs-IDs, für die der Vorfallstatus aktualisiert werden soll.
Status	Pflichtangabe. Ein Vorfallstatus. Folgende Werte sind möglich: Unresolved In Progress Resolved Der Standardwert ist Resolved.

Aktionsausgaben

Die Aktion Vorfallstatus aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Vorfallsstatus aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the provided threats in SentinelOne.	Die Aktion war erfolgreich.
Error executing action "Update Incident Status". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Vorfallsstatus aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Hinweis: Um Datenverlust zu vermeiden, verwenden Connectors Ereignis-Flattening. Wenn eine Rohbenachrichtigung eine Liste von Entitäten enthält (z. B. mehrere E-Mail-Adressen, Hostnamen oder IP-Adressen), werden diese von Connectors automatisch in separate, eindeutige Ereignisse aufgeteilt.

Beispiel: Eine einzelne Rohbenachrichtigung mit drei verschiedenen E-Mail-Adressen wird als drei separate Ereignisse aufgenommen, die jeweils eine eindeutige E-Mail-Adresse enthalten.

So wird sichergestellt, dass jede Entität korrekt als eindeutiges Asset indexiert wird, sodass sie in Playbooks vollständig durchsuchbar und nutzbar ist.

SentinelOne – Alerts Connector

Verwenden Sie den SentinelOne – Alerts Connector, um Benachrichtigungen von SentinelOne aufzunehmen.

Mit dem Connector können Sie Benachrichtigungen mithilfe einer dynamischen Liste basierend auf dem Parameter ruleInfo.name filtern. Das Verhalten dieser Liste hängt vom Parameter Use dynamic list as a blocklist ab.

• Wenn Sie Use dynamic list as a blocklist nicht auswählen:

  Die dynamische Liste fungiert als Zulassungsliste. Der Connector nimmt nur Benachrichtigungen auf, deren ruleInfo.name mit einem Wert in der Liste übereinstimmt. Wenn die Liste leer ist, werden keine Benachrichtigungen aufgenommen.

• Wenn Sie Use dynamic list as a blocklist auswählen:

  Die dynamische Liste fungiert als Sperrliste. Der Connector nimmt alle Benachrichtigungen auf, mit Ausnahme derer, deren ruleInfo.name mit einem Wert in der Liste übereinstimmt. Wenn die Liste leer ist, werden alle Benachrichtigungen aufgenommen.

Connector-Parameter

Für den SentinelOne – Alerts Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist ruleInfo_name.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung. Der Standardwert ist .*.
PythonProcessTimeout	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Der API-Stamm der SentinelOne-Instanz.
API Token	Pflichtangabe. Das SentinelOne-API-Token.
Status Filter	Optional. Eine durch Kommas getrennte Liste der zu erfassenden Benachrichtigungsstatus. Folgende Werte sind möglich: Unresolved In Progress Resolved Wenn kein Wert angegeben ist, ruft der Connector Benachrichtigungen mit den Status Unresolved und In Progress ab.
Case Name Template	Optional. Eine Vorlage zum Definieren eines benutzerdefinierten Fallnamens. Der Connector fügt dem Ereignis den Schlüssel custom_case_name hinzu. Sie können Platzhalter im Format FIELD_NAME verwenden, die mit den Stringwerten des ersten Ereignisses gefüllt werden. Beispiel: Phishing - EVENT_MAILBOX.
Alert Name Template	Optional. Eine Vorlage zum Definieren des Benachrichtigungsnamens. Sie können Platzhalter im Format FIELD_NAME verwenden, die mit den Stringwerten des ersten Ereignisses gefüllt werden. Beispiel: Phishing - EVENT_MAILBOX. Wenn kein Wert angegeben ist oder die Vorlage ungültig ist, verwendet der Connector einen Standardnamen für die Benachrichtigung.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: Info Low Medium High Critical Wenn kein Wert angegeben ist, werden alle Schweregrade aufgenommen.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor der aktuellen Uhrzeit, für die Benachrichtigungen abgerufen werden sollen. Der Standardwert ist 24.
Max Alerts To Fetch	Pflichtangabe. Die maximale Anzahl von Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 100. Der Standardwert ist 10.
Use dynamic list as a blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht aktiviert.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig nicht aktiviert.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum SentinelOne-Server hergestellt wird. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

Struktur der Benachrichtigung

In der folgenden Tabelle wird die Zuordnung von SentinelOne-Benachrichtigungsfeldern zu Google SecOps-Benachrichtigungsfeldern beschrieben:

Siemplify-Benachrichtigungsfeld	SentinelOne-Benachrichtigungsfeld (JSON-Schlüssel aus API)
SourceSystemName	Wird vom Framework ausgefüllt.
TicketId	alertInfo.alertId
DisplayId	SentinelOne_Alert_{alertInfo.alertId}
Name	SentinelOne Alert: {ruleInfo.name}
Reason	ruleInfo.s1q1
Description	ruleInfo.description
DeviceVendor	Hartcodiert: SentinelOne
DeviceProduct	Fallback-Wert: Alerts
Priority	Von ruleInfo.severity zugeordnet
RuleGenerator	SentinelOne Alert: {ruleInfo.name}
SourceGroupingIdentifier	ruleInfo.name
Severity	Von ruleInfo.severity zugeordnet
Risk Score	Ganzzahldarstellung des Schweregrads
StartTime	Aus alertInfo.createdAt konvertiert
EndTime	Aus alertInfo.createdAt konvertiert
Siemplify Alert - Extensions	–
Siemplify Alert - Attachments	–

Connector-Ereignisse

Hier ist ein Beispiel für ein Connector-Ereignis:

{
    "agentDetectionInfo": {
        "accountId": "1727154225040260868",
        "machineType": "server",
        "name": "windows-server-20230913",
        "osFamily": "windows",
        "osName": "Windows Server 2019 Datacenter",
        "osRevision": "17763",
        "siteId": "1727154229628829519",
        "uuid": "da943d26318e46a8b3f6fc480c02636d",
        "version": "23.1.2.400"
    },
    "agentRealtimeInfo": {
        "id": "1896661984701699721",
        "infected": true,
        "isActive": true,
        "isDecommissioned": false,
        "machineType": "server",
        "name": "windows-server-20230913",
        "os": "windows",
        "uuid": "da943d26318e46a8b3f6fc480c02636d"
    },
    "alertInfo": {
        "alertId": "1947486263439640318",
        "analystVerdict": "Undefined",
        "createdAt": "2024-05-11T00:27:23.135000Z",
        "dnsRequest": null,
        "dnsResponse": null,
        "dstIp": null,
        "dstPort": null,
        "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
        "eventType": "REGVALUEMODIFIED",
        "hitType": "Events",
        "incidentStatus": "Unresolved",
        "indicatorCategory": null,
        "indicatorDescription": null,
        "indicatorName": null,
        "isEdr": true,
        "loginAccountDomain": null,
        "loginAccountSid": null,
        "loginIsAdministratorEquivalent": null,
        "loginIsSuccessful": null,
        "loginType": null,
        "loginsUserName": null,
        "modulePath": null,
        "moduleSha1": null,
        "netEventDirection": null,
        "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryOldValue": "0060030100000000",
        "registryOldValueType": "BINARY",
        "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryValue": "0070030100000000",
        "reportedAt": "2024-05-11T00:27:33.873767Z",
        "source": "STAR",
        "srcIp": null,
        "srcMachineIp": null,
        "srcPort": null,
        "tiIndicatorComparisonMethod": null,
        "tiIndicatorSource": null,
        "tiIndicatorType": null,
        "tiIndicatorValue": null,
        "updatedAt": "2025-05-12T18:41:08.366615Z"
    },
    "containerInfo": {
        "id": null,
        "image": null,
        "labels": null,
        "name": null
    },
    "kubernetesInfo": {
        "cluster": null,
        "controllerKind": null,
        "controllerLabels": null,
        "controllerName": null,
        "namespace": null,
        "namespaceLabels": null,
        "node": null,
        "pod": null,
        "podLabels": null
    },
    "ruleInfo": {
        "description": null,
        "id": "1763599692710649014",
        "name": "Registry Value Modified",
        "queryLang": "1.0",
        "queryType": "events",
        "s1ql": "EventType = \"Registry Value Modified\"",
        "scopeLevel": "account",
        "severity": "Critical",
        "treatAsThreat": "UNDEFINED"
    },
    "sourceParentProcessInfo": {
        "commandline": "C:\\Windows\\system32\\services.exe",
        "effectiveUser": null,
        "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
        "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
        "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
        "filePath": "C:\\Windows\\System32\\services.exe",
        "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "services.exe",
        "pid": "896",
        "pidStarttime": "2024-04-26T17:33:41.962000Z",
        "realUser": null,
        "storyline": "DD880F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "DC880F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "sourceProcessInfo": {
        "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
        "effectiveUser": null,
        "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
        "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
        "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
        "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
        "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "cyserver.exe",
        "pid": "3204",
        "pidStarttime": "2024-04-26T17:34:17.273000Z",
        "realUser": null,
        "storyline": "74890F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "73890F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "targetProcessInfo": {
        "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
        "tgtFileHashSha1": null,
        "tgtFileHashSha256": null,
        "tgtFileId": null,
        "tgtFileIsSigned": "signed",
        "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
        "tgtFileOldPath": null,
        "tgtFilePath": null,
        "tgtProcCmdLine": null,
        "tgtProcImagePath": null,
        "tgtProcIntegrityLevel": "unknown",
        "tgtProcName": null,
        "tgtProcPid": null,
        "tgtProcSignedStatus": null,
        "tgtProcStorylineId": null,
        "tgtProcUid": null,
        "tgtProcessStartTime": "1970-01-01T00:00:00Z"
    }
}

SentinelOne – Threats Connector

Verwenden Sie den SentinelOne – Threats Connector, um Bedrohungen von SentinelOne aufzunehmen.

Mit dem Connector können Sie Benachrichtigungen anhand dynamischer Listen filtern.

Der SentinelOne – Threats Connector filtert Benachrichtigungen mithilfe des Parameters alert_name.

Wenn Sie den Parameter Use whitelist as a blacklist auswählen, werden nur Benachrichtigungen aufgenommen, deren alert_name mit keinem Wert in der dynamischen Liste übereinstimmt.

Wenn Sie in der dynamischen Liste keine alert_name-Werte konfigurieren, werden alle Benachrichtigungen vom Connector aufgenommen.

Wenn Sie den Parameter Use whitelist as a blacklist nicht auswählen, werden nur Benachrichtigungen aufgenommen, deren alert_name mit einem Wert in der dynamischen Liste übereinstimmt.

Connector-Eingaben

Für den SentinelOne – Threats Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert siemplify_event in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Eine ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist siemplify_event.
Event Field Name	Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist threatinfo_classification.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Der SentinelOne-API-Stamm. Der Standardwert ist https://usea1-partners.sentinelone.net/.
API Token	Pflichtangabe. Das SentinelOne-API-Token.
API Version	Optional. Die Version der SentinelOne API, die der Connector verwenden soll. Wichtig: Version 2.1 oder höher ist erforderlich, um private und interne IP-Adressen (agentDetectionInfo_agentIpV4) aufzunehmen. Version 2.0 ruft nur öffentliche IP-Adressen ab. Der Standardwert ist 2.0.
Fetch Max Days Backwards	Optional. Die Anzahl der Tage vor dem aktuellen Datum, für die Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel. Der Standardwert ist 1.
Max Alerts Per Cycle	Optional. Die maximale Anzahl von Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 25.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig nicht ausgewählt.
Use whitelist as a blacklist	Pflichtangabe. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht ausgewählt.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum SentinelOne-Server hergestellt wird. Standardmäßig ausgewählt.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.
Event Object Type Filter	Optional. Eine durch Kommas getrennte Liste von Ereignisobjekten, die mit den Bedrohungsinformationen zurückgegeben werden sollen. Der Connector verwendet diesen Parameter als Filter, um nur bestimmte Objekte wie process, ip, indicators zurückzugeben. Wenn Sie keinen Wert festlegen, werden alle Ereignisobjekttypen vom Connector aufgenommen.
Event Type Filter	Optional. Eine durch Kommas getrennte Liste von Ereignistypen, die mit den Bedrohungsinformationen zurückgegeben werden sollen. Der Connector verwendet diesen Parameter als Filter, um nur bestimmte Ereignistypen wie Process Creation, Behavioral Indicators zurückzugeben.
Max Events To Return	Optional. Die Anzahl der Ereignisse, die für jede Bedrohung zurückgegeben werden sollen. Der Höchstwert ist 199. Der Standardwert ist 199.

Connector-Regeln

Der Connector unterstützt Proxys.

Der Connector unterstützt Zulassungs- und Sperrlisten.

Connector-Ereignisse

Hier ein Beispiel für ein Connector-Ereignis:

{
    "data": [
        {
            "accountId": "ACCOUNT_ID",
            "accountName": "SentinelOne",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "203.0.113.180",
            "agentIsActive": false,
            "agentIsDecommissioned": true,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connecting",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "annotationUrl": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "COLLECTION_ID",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "MALICED_GROUP_ID",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": false,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": null
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-04-02T14:51:21.901754Z",
            "username": "DESKTOP-example\\username",
            "whiteningOptions": [
                "hash"
            ]
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 161
    }
}

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

SentinelOneV2 – Warnungen synchronisieren

Verwenden Sie den Job SentinelOneV2 - Sync Alerts, um Warnungsstatus und Analystenurteile bidirektional zwischen Google SecOps und SentinelOne zu synchronisieren.

Jobanforderungen

Damit der Job die richtigen Daten identifiziert und synchronisiert, müssen die folgenden Bedingungen erfüllt sein:

• Der Google SecOps-Fall muss das Tag SentinelOne Alert enthalten.

• Wenn die Benachrichtigung nicht vom SentinelOne – Alerts Connector stammt, müssen Sie der Benachrichtigung einen Alert_ID-Kontextwert hinzufügen, damit der Job den richtigen SentinelOne-Eintrag identifizieren kann.

Betriebslogik

Der Job führt die Synchronisierung in zwei Phasen aus. Zuerst von Google SecOps zu SentinelOne und dann von SentinelOne zu Google SecOps.

Beim Schließen von Fällen in SentinelOne gilt die folgende Logik:

• Wenn der Grund für die Schließung in Google SecOps Malicious ist, wird das Urteil in SentinelOne auf True Positive gesetzt.

• Wenn der Grund für die Schließung in Google SecOps Not Malicious ist, wird das Urteil in SentinelOne auf False Positive gesetzt.

• Bei allen anderen Gründen für die Schließung wird die Benachrichtigung in SentinelOne als Resolved markiert, ohne dass ein Urteil festgelegt wird.

• Wenn eine SentinelOne-Benachrichtigung als undefined markiert ist, wird der entsprechende Google SecOps-Fall mit dem Grund Inconclusive geschlossen.

Jobparameter

Für den Job SentinelOne V2 – Sync Alerts sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Environment Name	Optional. Der Name der Umgebung, aus der Benachrichtigungen synchronisiert werden sollen. Der Standardwert ist Default Environment.
API Root	Pflichtangabe. Der API-Stamm der SentinelOne-Instanz.
API Token	Pflichtangabe. Das API-Token, das für die Authentifizierung bei SentinelOne verwendet wird.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor der aktuellen Zeit, für die Benachrichtigungen während der ersten Jobiteration synchronisiert werden sollen. Der Standardwert ist 24.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum SentinelOne-Server hergestellt wird. Standardmäßig aktiviert.

SentinelOneV2 – Bedrohungen synchronisieren

Verwenden Sie den Job SentinelOneV2 – Sync Threats, um Kommentare und Status bidirektional zwischen Google SecOps-Benachrichtigungen und SentinelOne-Bedrohungen zu synchronisieren.

Jobanforderungen

Damit der Job die richtigen Daten identifiziert und synchronisiert, müssen die folgenden Bedingungen erfüllt sein:

• Der Google SecOps-Fall muss das Tag SentinelOne Threat enthalten.

• Wenn die Benachrichtigung nicht vom SentinelOne – Threats Connector stammt, müssen Sie der Benachrichtigung einen Threat_ID-Kontextwert hinzufügen, damit der Job den richtigen SentinelOne-Eintrag identifizieren kann.

Betriebslogik

Der Job synchronisiert Daten in zwei Phasen. In der ersten Phase werden SentinelOne-Bedrohungsdaten mit Google SecOps-Benachrichtigungen synchronisiert. In der zweiten Phase werden Google SecOps-Benachrichtigungsdaten mit SentinelOne-Bedrohungen synchronisiert.

Der Job verwendet Max Hours Backwards für die erste Iteration. Bei allen nachfolgenden Anfragen verwendet der Job die start_time der zuletzt verarbeiteten Benachrichtigung.

Logik für die Synchronisierung von Kommentaren

Der Job verwendet die last_update_time, um Kommentare zu filtern und doppelte Einträge zu vermeiden. Synchronisierte Kommentare verwenden die folgenden Strukturen:

• Von SentinelOne gesendet: SentinelOne {threat_id}: {comment}
• Von Google SecOps gesendet: Google SecOps {case_id}: {comment}

Zuordnung von Status und Urteil

Wenn eine Benachrichtigung in Google SecOps geschlossen wird, aktualisiert der Job die SentinelOne-Bedrohung anhand der folgenden Zuordnung:

• Wenn der Grund für die Schließung Malicious ist, wird der SentinelOne-Status auf Resolved und das Urteil auf True Positive gesetzt.

• Wenn der Grund für die Schließung Not Malicious ist, wird der SentinelOne-Status auf Resolved und das Urteil auf False Positive gesetzt.

• Bei allen anderen Schließungsgründen wird der SentinelOne-Status ohne Urteil auf Resolved gesetzt.

Jobparameter

Für den Job SentinelOneV2 - Sync Threats sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Environment Name	Pflichtangabe. Der Name der Umgebung, in der der Job nach Bedrohungen sucht. Der Standardwert ist Default Environment.
API Root	Pflichtangabe. Der API-Stamm der SentinelOne-Instanz.
API Token	Pflichtangabe. Das API-Token, das für die Authentifizierung bei SentinelOne verwendet wird.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor der aktuellen Zeit, die Bedrohungen während der ersten Jobiteration synchronisiert werden sollen. Der Standardwert ist 24.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum SentinelOne-Server hergestellt wird. Standardmäßig aktiviert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten