SentinelOne v2 in Google SecOps einbinden

Integrationsversion: 37.0

In diesem Dokument wird beschrieben, wie Sie SentinelOne v2 mit Google Security Operations (Google SecOps) konfigurieren und einbinden.

Für diese Integration wird die SentinelOne API 2.0 verwendet.

Wichtig :In der Google SecOps-Plattform wird die Integration für SentinelOne v2 als SentinelOneV2 bezeichnet.

In dieser Integration werden eine oder mehrere Open-Source-Komponenten verwendet. Sie können eine gezippte Kopie des vollständigen Quellcodes dieser Integration aus dem Cloud Storage-Bucket herunterladen.

Anwendungsfälle

Die SentinelOne-Integration kann Ihnen bei den folgenden Anwendungsfällen helfen:

1. Infizierte Endpunkte eindämmen: Verwenden Sie die Google SecOps-Funktionen, um einen infizierten Host zu isolieren und laterale Bewegungen und Daten-Exfiltration zu verhindern.

2. Detaillierte Endpunktinformationen abrufen: Mit den Google SecOps-Funktionen können Sie Vorfalldaten mit detaillierten Hostanalysen anreichern, um einen besseren Kontext zu erhalten und fundiertere Entscheidungen zu treffen. Sie können SentinelOne automatisch nach detaillierten Informationen zu einem Endpunkt abfragen, der an einer Benachrichtigung beteiligt ist, einschließlich Agent-Version, Betriebssystem und Netzwerkschnittstellen.

3. Deep Visibility-Scans starten: Mit den Google SecOps-Funktionen können Sie auf verdächtigen Computern nach Bedrohungen und verborgener Malware suchen und einen vollständigen Festplattenscan mit SentinelOne starten, wenn verdächtige Aktivitäten erkannt werden, z. B. ungewöhnliche Dateimodifikationen oder Registrierungsänderungen.

4. Bedrohungen mit Threat Intelligence untersuchen: Nutzen Sie die Funktionen von Google SecOps, um die Genauigkeit zu verbessern, indem Sie SentinelOne-Benachrichtigungen mit Threat Intelligence-Daten korrelieren und verdächtige Hashes, Dateipfade oder IP-Adressen, die in SentinelOne-Benachrichtigungen gefunden wurden, an Threat Intelligence-Plattformen weiterleiten.

5. Malware-Triage: Mit den Google SecOps-Funktionen können Sie Malware mithilfe statischer Analysetools automatisch klassifizieren, um die Reaktion auf Vorfälle zu optimieren. Sie können Proben von infizierten Endpunkten extrahieren, die Analyse in Ihrer Umgebung auslösen und eine Klassifizierung der Malware auf Grundlage der statischen Analyse erhalten.

Hinweise

Für die Verwendung der SentinelOne v2-Integration benötigen Sie ein SentinelOne-API-Token.

So generieren Sie das API-Token:

1. Rufen Sie in der SentinelOne-Verwaltungskonsole Einstellungen > Nutzer auf.

2. Klicken Sie auf Ihren Nutzernamen.

3. Klicken Sie auf Aktionen > API-Token-Vorgänge.

4. Klicken Sie auf API-Token generieren. Kopieren Sie das API-Token und verwenden Sie es, um die Integration zu konfigurieren. Der generierte API-Token ist sechs Monate lang gültig.

Integrationsparameter

Für die SentinelOne v2-Integration sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
API root	Erforderlich. Der SentinelOne-API-Stamm. Der Standardwert ist https://{server}.SentinelOne.net/.
API Token	Erforderlich. Das SentinelOne-API-Token. Weitere Informationen zum Generieren des API-Tokens für die Integration finden Sie unter Vorbereitung. Gemäß der SentinelOne-Sicherheitsrichtlinie müssen Sie alle sechs Monate ein neues API-Token erstellen.
Verify SSL	Erforderlich. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Sentinel-Server validiert. Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen über „Mein Arbeitsbereich“ bearbeiten und Manuelle Aktion ausführen.

Bedrohungsnotiz hinzufügen

Verwenden Sie die Aktion Add Threat Note (Bedrohungsnotiz hinzufügen), um der Bedrohung in SentinelOne eine Notiz hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Add Threat Note (Bedrohungsanmerkung hinzufügen) sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Erforderlich. Die ID der Bedrohung, der eine Notiz hinzugefügt werden soll.
Note	Erforderlich. Eine Notiz, die der Bedrohung hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Add Threat Note (Bedrohungsanmerkung hinzufügen) liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Ausgabemeldungen

Die Aktion Add Threat Note kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully added note to the threat THREAT_ID in SentinelOne. Action wasn't able to add a note to the threat THREAT_ID in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Add Threat Note". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Add Threat Note (Bedrohungsanmerkung hinzufügen) verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Hash-Sperrlisteneintrag erstellen

Verwenden Sie die Aktion Create Hash Black List Record (Hash-Sperrlisteneintrag erstellen), um Hashes einer Sperrliste in SentinelOne hinzuzufügen.

Diese Aktion unterstützt nur SHA-1-Hashes.

Diese Aktion wird für die Google SecOps-Hash-Entität ausgeführt.

Aktionseingaben

Für die Aktion Create Hash Black List Record (Hash-Blacklist-Eintrag erstellen) sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Operating System	Erforderlich. Ein Betriebssystem für den Hash. Folgende Werte sind möglich: windows windows_legacy macos linux Der Standardwert ist windows.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, die an die Sperrliste gesendet werden sollen.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, die an die Sperrliste gesendet werden sollen.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, die an die Sperrliste gesendet werden sollen.
Description	Optional. Zusätzliche Informationen zu einem Hash. Der Standardwert ist "".
Add to global blocklist	Erforderlich. Wenn diese Option ausgewählt ist, wird der Aktion ein Hash zu einer globalen Sperrliste hinzugefügt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs von der Aktion ignoriert.

Aktionsausgaben

Die Aktion Hash-Blacklist-Eintrag erstellen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die beim Verwenden der Aktion Create Hash Black List Record (Hash-Sperrlisteneintrag erstellen) empfangen wird:

[
    {
        "Entity": "ENTITY_ID",
        "EntityResult": [{
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.678280Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.678690Z"
        }, {
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group 2",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.683858Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.684677Z"
        }]
    }
]

Ausgabemeldungen

Die Aktion Create Hash Black List Record kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully added the following hashes to the blocklist in SentinelOne: ENTITY_ID. The following hashes were already a part of blocklist in SentinelOne: ENTITY_ID. Action wasn't able to add the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were added to the blocklist in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Create Hash Black List Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Create Hash Black List Record aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Hash-Ausschlussdatensatz erstellen

Verwenden Sie die Aktion Create Hash Exclusion Record (Hash-Ausschlussdatensatz erstellen), um der Ausschlussliste in SentinelOne einen Hash hinzuzufügen.

Diese Aktion unterstützt nur SHA-1-Hashes.

Diese Aktion wird für die Google SecOps-Hash-Entität ausgeführt.

Aktionseingaben

Für die Aktion Create Hash Exclusion Record (Hash-Ausschlussdatensatz erstellen) sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Operation System	Erforderlich. Ein Betriebssystem für den Hash. Folgende Werte sind möglich: windows windows_legacy macos linux Der Standardwert ist windows.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, an die der Hash für die Ausschlussliste gesendet werden soll. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, an die der Hash für die Ausschlussliste gesendet werden soll. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, an die der Hash für die Ausschlussliste gesendet werden soll.
Description	Optional. Zusätzliche Informationen zum Hash.
Add to global exclusion list	Optional. Wenn diese Option ausgewählt ist, wird der globalen Ausschlussliste ein Hash hinzugefügt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs von der Aktion ignoriert.

Aktionsausgaben

Die Aktion Hash-Ausschlussdatensatz erstellen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Create Hash Exclusion Record (Hash-Ausschlussdatensatz erstellen) empfangen wird:

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Ausgabemeldungen

Die Aktion Create Hash Exclusion Record (Hash-Ausschlussdatensatz erstellen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully added the following hashes to the exclusion list in SentinelOne: HASH_ID The following hashes were already a part of exclusion list in SentinelOne: HASH_ID Action wasn't able to add the following hashes to the exclusion list in SentinelOne: HASH_ID No hashes were added to the exclusion list in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Create Hash Exclusion Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Hash-Ausschlussdatensatz erstellen verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Pfadausschluss-Eintrag erstellen

Mit der Aktion Create Path Exclusion Record (Pfadausschlussdatensatz erstellen) können Sie der Ausschlussliste in SentinelOne einen Pfad hinzufügen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Pfadausschlussdatensatz erstellen sind die folgenden Parameter erforderlich:

Der Standardwert ist Suppress Alerts.

Parameter	Beschreibung
Path	Erforderlich. Ein Pfad, der der Ausschlussliste hinzugefügt werden soll.
Operation System	Erforderlich. Ein Betriebssystem für den Hash. Folgende Werte sind möglich: windows windows_legacy macos linux Der Standardwert ist windows.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, an die der Hash für die Ausschlussliste gesendet werden soll. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, an die der Hash für die Ausschlussliste gesendet werden soll. Für die Aktion ist mindestens ein gültiger Wert erforderlich.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, an die der Hash für die Ausschlussliste gesendet werden soll.
Description	Optional. Zusätzliche Informationen zum Hash.
Add to global exclusion list	Optional. Wenn diese Option ausgewählt ist, wird der globalen Ausschlussliste ein Hash hinzugefügt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs von der Aktion ignoriert.
Include Subfolders	Optional. Wenn diese Option ausgewählt ist, enthält die Aktion Unterordner für den angegebenen Pfad. Dieser Parameter gilt nur, wenn Sie im Parameter Path einen Ordnerpfad konfigurieren.
Mode	Optional. Ein Modus, der für den ausgeschlossenen Pfad verwendet werden soll. Folgende Werte sind möglich: Suppress Alerts Interoperability Interoperability - Extended Performance Focus Performance Focus - Extended

Aktionsausgaben

Die Aktion Create Path Exclusion Record (Pfadausschlussdatensatz erstellen) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die beim Verwenden der Aktion Create Path Exclusion Record (Pfadausschlussdatensatz erstellen) empfangen wird:

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Ausgabemeldungen

Die Aktion Create Path Exclusion Record (Pfadausschlussdatensatz erstellen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully added the following path to the exclusion list in SentinelOne: PATH The following paths were already a part of exclusion list in SentinelOne: PATH_LIST Action wasn't able to add the following paths to the exclusion list in SentinelOne: PATH No paths were added to the exclusion list in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Create Path Exclusion Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Create Path Exclusion Record verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Hash-Sperrlisteneintrag löschen

Mit der Aktion Delete Hash Blacklist Record (Hash-Blacklist-Eintrag löschen) können Sie Hashes aus einer Blocklist in SentinelOne löschen.

Diese Aktion unterstützt nur SHA-1-Hashes.

Diese Aktion wird für die Google SecOps-Hash-Entität ausgeführt.

Aktionseingaben

Für die Aktion Delete Hash Blacklist Record (Hash-Blacklist-Eintrag löschen) sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, für die der Hash entfernt werden soll.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, für die der Hash entfernt werden soll.
Account IDs	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, für die der Hash entfernt werden soll.
Remove from global black list	Optional. Wenn diese Option ausgewählt ist, wird der Hash aus der globalen Sperrliste entfernt. Wenn Sie diesen Parameter auswählen, werden die Parameter Site IDs, Group IDs und Account IDs von der Aktion ignoriert.

Aktionsausgaben

Die Aktion Delete Hash Blacklist Record (Hash-Eintrag in der schwarzen Liste löschen) gibt Folgendes aus:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Ausgabemeldungen

Die Aktion Delete Hash Blacklist Record (Hash-Blacklist-Eintrag löschen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully removed the following hashes from the blocklist in SentinelOne: ENTITY_ID. The following hashes were not found in a blocklist in SentinelOne: ENTITY_ID. Action wasn't able to remove the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were removed from the blocklist in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Delete Hash Blacklist Record". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Delete Hash Blacklist Record (Hash-Blacklist-Eintrag löschen) verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Verbindung des Agents zum Netzwerk trennen

Mit der Aktion Agent vom Netzwerk trennen können Sie einen Agent über den Hostnamen oder die IP-Adresse des Agents vom Netzwerk trennen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agent vom Netzwerk trennen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Disconnect Agent From Network (Agent vom Netzwerk trennen) verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Bedrohungsdatei herunterladen

Mit der Aktion Download Threat File (Bedrohungsdatei herunterladen) können Sie eine Datei herunterladen, die mit einer Bedrohung in SentinelOne zusammenhängt.

Zum Abrufen von Bedrohungsdateien in SentinelOne benötigen Sie eine der folgenden Rollen:

• Admin
• IR Team
• SOC

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Einschränkungen bei Aktionen

Die Aktion Download Threat File (Bedrohungsdatei herunterladen) kann ein Zeitlimit erreichen, wenn SentinelOne eine Datei abruft, aber keine Download-URL bereitstellt.

Um die Ursache für die Zeitüberschreitung zu untersuchen, rufen Sie die Zeitachse für Bedrohungen auf.

Aktionseingaben

Für die Aktion Bedrohungsdatei herunterladen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Erforderlich. Die ID der Bedrohung, für die eine Datei heruntergeladen werden soll.
Password	Erforderlich. Ein Passwort für den komprimierten Ordner, der die Bedrohungsdatei enthält. Es gelten die folgenden Passwortanforderungen: Muss mindestens 10 Zeichen lang sein. Es enthält Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Das Passwort darf maximal 256 Zeichen lang sein.
Download Folder Path	Erforderlich. Ein Pfad zu einem Ordner, in dem die Bedrohungsdatei gespeichert werden soll.
Overwrite	Erforderlich. Wenn diese Option ausgewählt ist, wird eine Datei mit demselben Namen überschrieben. Diese Option ist standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Bedrohungsdatei herunterladen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Download Threat File (Bedrohungsdatei herunterladen) empfangen wird:

{
    "absolute_path": "ABSOLUTE_PATH"
}

Ausgabemeldungen

Die Aktion Download Threat File (Bedrohungsdatei herunterladen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully downloaded the file related to threat THREAT_ID in SentinelOne. Action wasn't able to download the file related to threat THREAT_ID. Reason: The action was able to initiate the downloading of the file, but SentinelOne didn't return a download URL. Waiting for the download link to appear in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Download Threat File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Download Threat File (Bedrohungsdatei herunterladen) verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Enrich-Endpunkte

Verwenden Sie die Aktion Endpunkte anreichern, um Informationen zum Endpunkt anhand der IP-Adresse oder des Hostnamens anzureichern.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Endpunkte anreichern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Create Insight	Optional. Wenn diese Option ausgewählt ist, wird eine Statistik mit Informationen zu Endpunkten erstellt.
Only Infected Endpoints Insights	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion nur Statistiken für infizierte Endpunkte erstellt.

Aktionsausgaben

Die Aktion Endpunkte anreichern liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Endpunkte anreichern empfangen wird:

{
    "accountId": "ACCOUNT_ID",
    "accountName": "SentinelOne",
    "activeDirectory": {
        "computerDistinguishedName": "CN=LP-EXAMPLE,CN=Computers,DC=EXAMPLE,DC=LOCAL",
        "computerMemberOf": [],
        "lastUserDistinguishedName": "CN=Example,OU=Users,OU=PS,OU=IL,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
        "lastUserMemberOf": [
            "CN=esx.cs,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Backup Operators,CN=Builtin,DC=EXAMPLE,DC=LOCAL",
            "CN=esx.product,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=EXAMPLE_Admins,OU=QA,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Local Admin,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=CSM,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Event Log Readers,CN=Builtin,DC=EXAMPLE,DC=LOCAL"
        ]
    },
    "activeThreats": 0,
    "agentVersion": "4.1.4.82",
    "allowRemoteShell": false,
    "appsVulnerabilityStatus": "patch_required",
    "computerName": "LP-EXAMPLE",
    "consoleMigrationStatus": "N/A",
    "coreCount": 8,
    "cpuCount": 8,
    "cpuId": "Intel(R) Core(TM) i7-8650U CPU @ 1.90GHz",
    "createdAt": "2020-05-31T07:22:14.695136Z",
    "domain": "EXAMPLE",
    "encryptedApplications": false,
    "externalId": "",
    "externalIp": "192.0.2.91",
    "groupId": "863712577864500060",
    "groupIp": "192.0.2.0",
    "groupName": "Test Group",
    "id": "ID",
    "inRemoteShellSession": false,
    "infected": false,
    "installerType": ".msi",
    "isActive": false,
    "isDecommissioned": false,
    "isPendingUninstall": false,
    "isUninstalled": false,
    "isUpToDate": true,
    "lastActiveDate": "2021-01-12T12:59:43.143066Z",
    "lastIpToMgmt": "192.0.2.20",
    "lastLoggedInUserName": "EXAMPLE",
    "licenseKey": "",
    "locationType": "fallback",
    "locations": [
        {
            "id": "ID",
            "name": "Fallback",
            "scope": "global"
        }
    ],
    "machineType": "laptop",
    "mitigationMode": "protect",
    "mitigationModeSuspicious": "protect",
    "modelName": "Dell Inc. - Latitude 7490",
    "networkInterfaces": [
        {
            "id": "ID",
            "inet": [
                "192.0.2.20"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2",
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "Wi-Fi",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "192.168.193.193"
            ],
            "inet6": [
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "vEthernet (Default Switch)",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "201.0.113.1"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2"
            ],
            "name": "vEthernet (DockerNAT)",
            "physical": "MAC_ADDRESS"
        }
    ],
    "networkStatus": "connecting",
    "osArch": "64 bit",
    "osName": "Windows 10 Pro",
    "osRevision": "18363",
    "osStartTime": "2021-01-03T15:38:32Z",
    "osType": "windows",
    "osUsername": null,
    "rangerStatus": "NotApplicable",
    "rangerVersion": null,
    "registeredAt": "2020-05-31T07:22:14.691561Z",
    "scanAbortedAt": null,
    "scanFinishedAt": "2020-05-31T09:28:53.867014Z",
    "scanStartedAt": "2020-05-31T07:25:37.814972Z",
    "scanStatus": "finished",
    "siteId": "SITE_ID",
    "siteName": "example.com",
    "threatRebootRequired": false,
    "totalMemory": 16263,
    "updatedAt": "2021-01-18T13:33:43.834618Z",
    "userActionsNeeded": [],
    "uuid": "UUID"
}

Ausgabemeldungen

Die Aktion Endpunkte anreichern kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully retrieved information about the following endpoints from SentinelOne: ENTITY_ID Action wasn't able to retrieve information about the following endpoints from SentinelOne: ENTITY_ID No information was retrieved for provided entities.	Die Aktion wurde ausgeführt.
Error executing action "Enrich Endpoints". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Endpunkte anreichern aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Agent-Status abrufen

Mit der Aktion Get Agent Status (Agent-Status abrufen) können Sie Informationen zum Status von Agents auf den Endpunkten basierend auf der bereitgestellten Entität abrufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Get Agent Status (Agent-Status abrufen) liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ausgabe, die bei Verwendung der Aktion Get Agent Status (Agent-Status abrufen) empfangen wird:

{
"status": "Not active"
}

Ausgabemeldungen

Die Aktion Get Agent Status (Agent-Status abrufen) kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully retrieved information about agent status for the following endpoints: ENTITY_ID Action wasn't able to retrieve information about agent status for the following endpoints: ENTITY_ID No information about agent status was found for the provided endpoints.	Die Aktion wurde ausgeführt.
Error executing action "Get Agent Status". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get Agent Status verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Anwendungsliste für Endpunkt abrufen

Mit der Aktion Anwendungsliste für Endpunkt abrufen können Sie Informationen zu verfügbaren Anwendungen auf einem Endpunkt mithilfe der bereitgestellten Einheiten abrufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Get Application List for Endpoint (Anwendungsliste für Endpunkt abrufen) sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Max Applications To Return	Optional. Die maximale Anzahl der zurückzugebenden Anträge. Wenn Sie keine Nummer festlegen, werden alle verfügbaren Anwendungen zurückgegeben.

Aktionsausgaben

Die Aktion Get Application List for Endpoint (Anwendungsliste für Endpunkt abrufen) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Application List for Endpoint (Anwendungsliste für Endpunkt abrufen) empfangen wird:

{
    "data": [
        {
            "installedDate": "2021-01-06T08:55:56.762000Z",
            "name": "Mozilla Firefox 84.0.1 (x64 en-US)",
            "publisher": "Mozilla",
            "size": 211562,
            "version": "84.0.1"
        }
    ]
}

Ausgabemeldungen

Die Aktion Get Application List for Endpoint (Anwendungsliste für Endpunkt abrufen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully retrieved available applications for the following endpoints: ENTITY_ID. Action wasn't able to retrieve available applications for the following endpoints: ENTITY_ID. No applications were retrieved for provided endpoints.	Die Aktion wurde ausgeführt.
Error executing action "Get Application List for Endpoint". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Anwendungsliste für Endpunkt abrufen verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Sperrliste abrufen

Mit der Aktion Get Blacklist (Sperrliste abrufen) können Sie eine Liste aller Elemente abrufen, die in der Sperrliste in SentinelOne verfügbar sind.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Get Blacklist sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Hash	Optional. Eine durch Kommas getrennte Liste von Hashes, die in der Sperrliste geprüft werden sollen. Die Aktion gibt nur gefundene Hashes zurück. Wenn Sie Hash festlegen, wird der Parameter Limit von der Aktion ignoriert.
Site IDs	Optional. Eine durch Kommas getrennte Liste von Website-IDs, für die Elemente der Sperrliste zurückgegeben werden sollen.
Group IDs	Optional. Eine durch Kommas getrennte Liste von Gruppen-IDs, für die Blocklistenelemente zurückgegeben werden sollen.
Account Ids	Optional. Eine durch Kommas getrennte Liste von Konto-IDs, für die Blocklistenelemente zurückgegeben werden sollen.
Limit	Optional. Die Anzahl der zurückzugebenden Elemente auf der Sperrliste. Wenn Sie den Parameter Hash festlegen, wird er von der Aktion ignoriert. Der Höchstwert ist 1000. Der Standardwert ist 50.
Query	Optional. Eine Abfrage zum Filtern von Ergebnissen.
Use Global Blacklist	Optional. Wenn diese Option ausgewählt ist, gibt die Aktion Hashes aus einer globalen Sperrliste zurück. Diese Option ist standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Get Blacklist (Sperrliste abrufen) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Tabelle „Fall-Repository“

Die Aktion Get Blacklist kann die folgende Tabelle zurückgeben:

Tabellenname: Blocklist Hashes

Tabellenspalten:

• Hash
• Bereich
• Beschreibung
• Betriebssystem
• Nutzer

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Blacklist (Blacklist abrufen) empfangen wird:

[
    {
        "userName": "Example",
        "description": "test",
        "userId": "USER_ID",
        "scopeName": "Example.com",
        "value": "cf23df2207d99a74fbe169e3eba035e633bxxxxx",
        "source": "user",
        "updatedAt": "2020-02-27T15:02:54.686991Z",
        "osType": "windows",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "8353960925573xxxxx",
        "createdAt": "2020-02-27T15:02:54.687675Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "3395856ce81f2b7382dee72602f798b642fxxxxx",
        "source": "cloud",
        "updatedAt": "2020-03-18T14:42:02.730095Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-03-18T14:42:02.730449Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "df531d66173235167ac502b867f3cae2170xxxxx",
        "source": "cloud",
        "updatedAt": "2020-04-08T07:27:35.686775Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-04-08T07:27:35.687168Z"
    }
]

Ausgabemeldungen

Die Aktion Get Blacklist (Blacklist abrufen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully retrieved blocklisted hashes based on the provided filter criteria in SentinelOne. No blocklisted hashes were found for the provided criteria in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Get Blacklist". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Get Blacklist aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Ergebnis der Deep Visibility-Abfrage abrufen

Mit der Aktion Get Deep Visibility Query Result (Abfrageergebnis für Deep Visibility abrufen) können Sie Informationen zu den Abfrageergebnissen für Deep Visibility abrufen.

Führen Sie diese Aktion in Kombination mit der Aktion Initiate Deep Visibility Query aus.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Get Deep Visibility Query Result sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query ID	Erforderlich. Die ID der Abfrage, für die Ergebnisse zurückgegeben werden sollen. Der ID-Wert ist im JSON-Ergebnis der Aktion Initiate Deep Visibility Query als Parameter query_id verfügbar.
Limit	Optional. Die Anzahl der zurückzugebenden Ereignisse. Der Höchstwert ist 100. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Get Deep Visibility Query Result (Abfrageergebnis für detaillierte Informationen abrufen) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Tabelle „Fall-Repository“

Die Aktion Get Deep Visibility Query Result kann die folgende Tabelle zurückgeben:

Tabellenname: SentinelOne Events

Tabellenspalten:

• Ereignistyp
• Name der Website
• Zeit
• Betriebssystem des Agents
• Prozess-ID
• Prozess-UID
• Prozessname
• MD5
• SHA256

Ausgabemeldungen

Die Aktion Get Deep Visibility Query Result (Abfrageergebnis für detaillierte Informationen abrufen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully found events for query: QUERY_ID.	Die Aktion wurde ausgeführt.
Error executing action "Get Deep Visibility Query Result". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle finden Sie den Wert für die Ausgabe des Skriptergebnisses, wenn Sie die Aktion Get Deep Visibility Query Result verwenden:

Name des Scriptergebnisses	Wert
is_success	True oder False

Ereignisse für Endpunktstunden abrufen

Mit der Aktion Get Events for Endpoint Hours Back können Sie Informationen zu den letzten Ereignissen auf einem Endpunkt abrufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Get Events for Endpoint Hours Back sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Hours Back	Erforderlich. Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Ereignisse abgerufen werden sollen.
Events Amount Limit	Optional. Die maximale Anzahl von Ereignissen, die für jeden Ereignistyp zurückgegeben werden sollen. Der Standardwert ist 50.
Include File Events Information	Optional. Wenn diese Option ausgewählt ist, werden Informationen zu file-Ereignissen abgefragt.
Include Indicator Events Information	Optional. Wenn diese Option ausgewählt ist, werden Informationen zu indicator-Ereignissen abgefragt.
Include DNS Events Information	Optional. Wenn diese Option ausgewählt ist, werden Informationen zu DNS-Ereignissen abgefragt.
Include Network Actions Events Information	Optional. Wenn diese Option ausgewählt ist, werden Informationen zu den network actions-Ereignissen abgefragt.
Include URL Events Information	Optional. Wenn diese Option ausgewählt ist, werden Informationen zu URL-Ereignissen abgefragt.
Include Registry Events Information	Optional. Wenn diese Option ausgewählt ist, werden Informationen zu registry-Ereignissen abgefragt.
Include Scheduled Task Events Information	Optional. Wenn diese Option ausgewählt ist, werden Informationen zu scheduled task-Ereignissen abgefragt.

Aktionsausgaben

Die Aktion Get Events for Endpoint Hours Back (Ereignisse für Endpunktstunden zurück abrufen) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Events for Endpoint Hours Back empfangen wird:

{
    "data": [
        {
            "activeContentFileId": null,
            "activeContentHash": null,
            "activeContentPath": null,
            "activeContentSignedStatus": null,
            "activeContentType": null,
            "agentDomain": "",
            "agentGroupId": "GROUP_ID",
            "agentId": "ID",
            "agentInfected": false,
            "agentIp": "192.0.2.160",
            "agentIsActive": true,
            "agentIsDecommissioned": false,
            "agentMachineType": "server",
            "agentName": "ip-203-0-113-205",
            "agentNetworkStatus": "connected",
            "agentOs": "linux",
            "agentTimestamp": "2020-03-19T08:17:01.575Z",
            "agentUuid": "UUID",
            "agentVersion": "3.3.1.14",
            "attributes": [
                {
                    "display": "Created At",
                    "display_attribute": false,
                    "field_id": "agentTimestamp",
                    "priority": 3,
                    "queryable": false,
                    "section": "Main Attributes",
                    "value": "2020-03-19T08:17:01.575Z"
                },{
                    "display": "Site ID",
                    "display_attribute": false,
                    "field_id": "siteId",
                    "priority": 7,
                    "queryable": true,
                    "section": "Endpoint Info",
                    "value": null
                }
            ],
            "containerId": null,
            "containerImage": null,
            "containerLabels": null,
            "containerName": null,
            "createdAt": "2020-03-19T08:17:01.575000Z",
            "eventType": "Process Creation",
            "hasParent": true,
            "id": "ID",
            "k8sCluame": null,
            "k8sControllerLabels": null,
            "k8sControllerName": null,
            "k8sControllerType": null,
            "k8sNamespace": null,
            "k8sNamespaceLabels": null,
            "k8sNode": null,
            "k8sPodLabels": null,
            "k8sPodName": null,
            "md5": null,
            "objectType": "process",
            "parentPid": "32461",
            "parentProcessName": "dash",
            "parentProcessStartTime": "2020-03-19T08:17:01.785Z",
            "parentProcessUniqueKey": "KEY",
            "pid": "32462",
            "processCmd": " run-parts --report /etc/cron.hourly",
            "processDisplayName": null,
            "processGroupId": "GROUP_ID",
            "processImagePath": "/bin/run-parts",
            "processImageSha1Hash": "66df74a1f7cc3509c87d6a190ff90ac86caf440d",
            "processIntegrityLevel": "INTEGRITY_LEVEL_UNKNOWN",
            "processIsRedirectedCommandProcessor": "False",
            "processIsWow64": "False",
            "processName": "run-parts",
            "processRoot": "False",
            "processSessionId": "0",
            "processStartTime": "2020-03-19T08:17:01.787Z",
            "processSubSystem": "SUBSYSTEM_UNKNOWN",
            "processUniqueKey": "KEY",
            "publisher": null,
            "relatedToThreat": "False",
            "sha256": null,
            "signatureSignedInvalidReason": null,
            "signedStatus": "unsigned",
            "siteName": "example.com",
            "trueContext": "c98a4557-94b5-da31-5074-fe6360f17228",
            "user": "unknown",
            "verifiedStatus": null
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 632
    }
}

Ausgabemeldungen

Die Aktion Get Events for Endpoint Hours Back kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully retrieved information about the events for the following endpoints: ENDPOINT_ID. Action wasn't able to find any events for the following endpoints: ENDPOINT_ID. No information events for the provided endpoints.	Die Aktion wurde ausgeführt.
Error executing action "Get Events for Endpoint Hours Back". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get Events for Endpoint Hours Back verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Gruppendetails abrufen

Mit der Aktion Get Group Details (Gruppendetails abrufen) können Sie detaillierte Informationen zu den angegebenen Gruppen abrufen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Gruppendetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group Names	Erforderlich. Gruppennamen zum Abrufen von Details. Für diesen Parameter können mehrere Werte als durch Kommas getrennte Liste angegeben werden.

Aktionsausgaben

Die Aktion Get Group Details (Gruppendetails abrufen) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Tabelle „Fall-Repository“

Die Aktion Get Group Details (Gruppendetails abrufen) kann die folgende Tabelle zurückgeben:

Tabellenname: SentinelOne Groups

Tabellenspalten:

• ID
• Name
• Typ
• Rang
• Creator
• Erstellungszeit

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Group Details (Gruppendetails abrufen) empfangen wird:

[
    {
        "GROUP_NAME":"UNEDITABLE_VARIABLERESPONSE_DATA"
    }
]

Ausgabemeldungen

Die Aktion Get Group Details (Gruppendetails abrufen) kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully retrieved information about the following groups in SentinelOne: GROUP_NAME. Action wasn't able to retrieve information about the following groups in SentinelOne: GROUP_NAME. No information about provided groups was found.	Die Aktion wurde ausgeführt.
Error executing action "Get Group Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get Group Details (Gruppendetails abrufen) verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Hash-Reputation abrufen

(Eingestellt) Verwenden Sie die Aktion Get Hash Reputation (Hash-Reputation abrufen), um Informationen zu Hashes von SentinelOne abzurufen.

Diese Aktion wird für die Google SecOps-Hash-Entität ausgeführt.

Aktionseingaben

Für die Aktion Hash-Reputation abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Reputation Threshold	Optional. Ein Reputationsschwellenwert, um eine Identität als verdächtig zu markieren. Wenn Sie keinen Wert festlegen, wird keine Entität als verdächtig markiert. Der Höchstwert ist 10. Der Standardwert ist 5.
Create Insight	Optional. Wenn diese Option ausgewählt ist, wird durch die Aktion ein Insight erstellt, der Informationen zum Ruf enthält.
Only Suspicious Hashes Insight	Optional. Wenn diese Option ausgewählt ist, wird nur für Hashes mit einem Ruf, der den Reputation Threshold-Wert überschreitet oder ihm entspricht, ein Insight erstellt.

Aktionsausgaben

Die Aktion Get Hash Reputation (Hash-Reputation abrufen) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Nicht verfügbar
Scriptergebnis	Verfügbar

Anreicherungstabelle

Mit der Aktion Hash-Reputation abrufen können die folgenden Felder angereichert werden:

Name des Anreicherungsfelds	Gültigkeit
SENO_reputation	Gibt zurück, ob es im JSON-Ergebnis vorhanden ist.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Get Hash Reputation aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Prozessliste für Endpunkt abrufen – eingestellt

Eingestellt :Diese Aktion wird nicht mehr unterstützt. Verwenden Sie stattdessen die Aktion Get Application List For Endpoint (Anwendungsliste für Endpunkt abrufen).

Systemstatus abrufen

Verwenden Sie die Aktion Systemstatus abrufen, um den Status eines Systems abzurufen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Systemstatus abrufen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Nicht verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ausgabe, die bei Verwendung der Aktion Get System Status (Systemstatus abrufen) empfangen wird:

{
    "system_status": {
        "data": {
            "health": "ok"
        }},
    "db_status": {
        "data": {
            "health": "ok"
        }},
    "cache_status": {
        "data": {
            "health": "ok"
        }
    }
}

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Systemstatus abrufen verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Systemversion abrufen

Verwenden Sie die Aktion Systemversion abrufen, um die Version eines Systems abzurufen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Get System Version (Systemversion abrufen) liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Systemversion abrufen verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Bedrohungen abrufen

Mit der Aktion Get Threats (Bedrohungen abrufen) können Sie Informationen zu Bedrohungen in SentinelOne abrufen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Get Threats sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Mitigation Status	Optional. Eine durch Kommas getrennte Liste von Bedrohungsstatus. Die Aktion gibt nur Bedrohungen zurück, die den konfigurierten Status entsprechen. Folgende Werte sind möglich: mitigated active blocked suspicious suspicious_resolved
Created until	Optional. Die Endzeit für die Bedrohungen, z. B. 2020-03-02T21:30:13.014874Z.
Created from	Optional. Die Startzeit für die Bedrohungen, z. B. 2020-03-02T21:30:13.014874Z.
Resolved Threats	Optional. Wenn diese Option ausgewählt ist, werden nur behobene Bedrohungen zurückgegeben.
Threat Display Name	Optional. Ein Anzeigename der zurückzugebenden Bedrohung.
Limit	Optional. Anzahl der zurückzugebenden Bedrohungen. Der Standardwert ist 10.
API Version	Optional. Eine Version der API, die in der Aktion verwendet werden soll. Wenn Sie keinen Wert festlegen, wird die Version 2.1 verwendet. Die API-Version wirkt sich auf die JSON-Ergebnisstruktur aus. Wir empfehlen, die aktuelle API-Version festzulegen. Folgende Werte sind möglich: 2.0 2.1 Der Standardwert ist 2.0.

Aktionsausgaben

Die Aktion Get Threats (Bedrohungen abrufen) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Threats (Bedrohungen abrufen) empfangen wird:

{
            "accountId": "ACCOUNT_ID",
            "accountName": "ACCOUNT_NAME",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "192.0.2.176",
            "agentIsActive": false,
            "agentIsDecommissioned": false,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connected",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "838490132723152335",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "external_ticket_id": null,
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "THREAT_ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "0BB46E119EF0AE51",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": true,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": "sent"
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-07-07T17:19:48.260119Z",
            "username": "DESKTOP-example\\ddiserens",
            "whiteningOptions": []
}

Ausgabemeldungen

Die Aktion Get Threats (Bedrohungen abrufen) kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully retrieved information about the available threats in SentinelOne. No information about threats was found based on the provided criteria.	Die Aktion wurde ausgeführt.
Error executing action "Get Threats". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Get Threats aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Deep Visibility-Abfrage starten

Verwenden Sie die Aktion Initiate Deep Visibility Query (Deep Visibility-Abfrage starten), um eine Deep Visibility-Abfragesuche zu starten.

Diese Aktion gibt den Wert der Abfrage-ID zurück, der für die Aktion Get Deep Visibility Query Result (Ergebnis der Abfrage mit detaillierter Sichtbarkeit abrufen) erforderlich ist.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Initiate Deep Visibility Query sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query	Erforderlich. Eine Anfrage für die Suche. Weitere Informationen zur Abfragesyntax finden Sie im SentinelOne Deep Visibility Cheat Sheet.
Start Date	Optional. Ein Startdatum für die Suche. Wenn Sie keinen Wert festlegen, werden standardmäßig Ereignisse abgerufen, die bis zu 30 Tage zurückliegen.
End Date	Optional. Ein Enddatum für die Suche. Wenn Sie keinen Wert festlegen, wird die aktuelle Uhrzeit verwendet.

Aktionsausgaben

Die Aktion Initiate Deep Visibility Query (Deep Visibility-Abfrage starten) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Initiate Deep Visibility Query (Deep Visibility-Abfrage starten) empfangen wird:

[
    {
        "query_id": "QUERY_ID"
    }
]

Ausgabemeldungen

Die Aktion Initiate Deep Visibility Query (Tiefgreifende Sichtbarkeitsabfrage starten) kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully created a Deep Visibility query. Query ID: QUERY_ID. Failed to create a Deep Visibility query.	Die Aktion wurde ausgeführt.
Error executing action "Initiate Deep Visibility Query". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Initiate Deep Visibility Query verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Vollständigen Scan starten

Mit der Aktion Initiate Full Scan (Vollständigen Scan starten) können Sie einen vollständigen Festplattenscan auf einem Endpunkt in SentinelOne starten.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Vollständigen Scan starten bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Ausgabemeldungen

Die Aktion Vollständigen Scan starten kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully started the full disk scan on the following endpoints in SentinelOne: ENTITY_ID. Action wasn't able to start a full disk scan on the following endpoints in SentinelOne: ENTITY_ID. No full disk scans were initiated.	Die Aktion wurde ausgeführt.
Error executing action "Initiate Full Scan". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Vollständigen Scan starten verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Sites auflisten

Mit der Aktion List Sites (Websites auflisten) können Sie verfügbare Websites in SentinelOne auflisten.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion List Sites sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Filter Key	Optional. Der Schlüssel zum Filtern von Websites. Folgende Werte sind möglich: Select One Name ID Der Standardwert ist Select One.
Filter Logic	Optional. Die anzuwendende Filterlogik. Die Filterlogik verwendet den im Parameter Filter Key festgelegten Wert. Folgende Werte sind möglich: Not Specified Equal Contains Der Standardwert ist Not Specified.
Filter Value	Optional. Der Wert, der im Filter verwendet werden soll. Die Filterlogik verwendet den im Parameter Filter Key festgelegten Wert. Wenn Sie Equal im Parameter Filter Logic auswählen, wird in den Ergebnissen nach der genauen Übereinstimmung gesucht. Wenn Sie Contains im Parameter Filter Logic auswählen, sucht die Aktion nach Ergebnissen, die die angegebene Teilzeichenfolge enthalten. Wenn Sie keinen Wert festlegen, wird der Filter von der Aktion ignoriert.
Max Records To Return	Optional. Die Anzahl der zurückzugebenden Datensätze. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion List Sites (Websites auflisten) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Tabelle „Fall-Repository“

Die Aktion List Sites kann die folgende Tabelle zurückgeben:

Tabellenname: Available Sites (Verfügbare Websites)

Tabellenspalten:

• Name
• ID
• Creator
• Ablaufdatum
• Typ
• Bundesland

Ausgabemeldungen

Die Aktion List Sites kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully found sites for the provided criteria in SentinelOne. No sites were found for the provided criteria in SentinelOne. The filter was not applied, because parameter "Filter Value" has an empty value.	Die Aktion wurde ausgeführt.
Error executing action "List Sites". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion List Sites aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Als Bedrohung markieren

Verwenden Sie die Aktion Als Bedrohung markieren, um verdächtige Bedrohungen in SentinelOne als „True Positive“-Bedrohungen zu markieren.

Zum Markieren von Bedrohungen in SentinelOne benötigen Sie eine der folgenden Rollen:

• Admin
• IR Team
• SOC

Sie können nur verdächtige Erkennungen als Bedrohungen markieren.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Als Bedrohung markieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat IDs	Erforderlich. Eine durch Kommas getrennte Liste von Erkennungs-IDs, die als Bedrohungen markiert werden sollen.

Aktionsausgaben

Die Aktion Als Bedrohung markieren liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Als Bedrohung markieren empfangen wird:

[
    {
        "ID": "DETECTION_ID",
        "marked_as_threat": "true"
    }
]

Ausgabemeldungen

Die Aktion Als Bedrohung markieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully marked the following threats in SentinelOne: THREAT_ID. Action wasn't able to mark the following threats in SentinelOne: THREAT_ID. No threats were marked.	Die Aktion wurde ausgeführt.
Error executing action "Mark as Threat". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Als Bedrohung markieren verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Bedrohung abwenden

Mit der Aktion Bedrohung abwehren können Sie Abwehrmaßnahmen für die Bedrohungen in SentinelOne ausführen.

Um Bedrohungen in SentinelOne zu minimieren, benötigen Sie eine der folgenden Rollen:

• Admin
• IR Team
• SOC

Das Rollback gilt nur für Windows. Die Behebung von Bedrohungen gilt nur für macOS und Windows.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Bedrohung abwenden sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Mitigation action	Erforderlich. Eine Abhilfemaßnahme für die erkannten Bedrohungen. Folgende Werte sind möglich: quarantine kill un-quarantine remediate rollback-remediate Der Standardwert ist quarantine.
Threat IDs	Erforderlich. Eine durch Kommas getrennte Liste der zu mindernden Bedrohungs-IDs.

Aktionsausgaben

Die Aktion Mitigate Threat (Bedrohung abwehren) gibt Folgendes aus:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Mitigate Threat (Bedrohung abwehren) empfangen wird:

[
        {
            "mitigated": true,
            "mitigation_action": "quarantine",
            "Threat_ID": "THREAT_ID"
        }
]

Ausgabemeldungen

Die Aktion Mitigate Threat (Bedrohung abwehren) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully mitigated the following threats in SentinelOne: THREAT_ID. Action wasn't able to mitigate the following threats in SentinelOne: THREAT_ID. No threats were mitigated.	Die Aktion wurde ausgeführt.
Error executing action "Mitigate Threat". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Mitigate Threat (Bedrohung abwehren) aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Agents verschieben

Mit der Aktion Agents verschieben können Sie Agents von derselben Website in die angegebene Gruppe verschieben.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Für die Aktion Move Agents sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group ID	Optional. Die ID der Gruppe, in die die Kundenservicemitarbeiter verschoben werden sollen.
Group Name	Optional. Der Name der Gruppe, in die Agents verschoben werden sollen. Wenn Sie sowohl den Parameter Group ID als auch die Parameter Group Name konfigurieren, wird der Parameter Group ID priorisiert.

Aktionsausgaben

Die Aktion Move Agents (Agents verschieben) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Ausgabemeldungen

Die Aktion Move Agents kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully moved the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. Action wasn't able to move the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. No endpoints were moved to the group ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Move Agents". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Move Agents aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu testen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

Agent wieder mit dem Netzwerk verbinden

Verwenden Sie die Aktion Reconnect Agent to the Network (Agent wieder mit dem Netzwerk verbinden), um ein getrenntes Gerät wieder mit einem Netzwerk zu verbinden.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Hostname

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Agent wieder mit dem Netzwerk verbinden gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Agent wieder mit dem Netzwerk verbinden verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Bedrohung beheben

Mit der Aktion Resolve Threat (Bedrohung beheben) können Sie Bedrohungen in SentinelOne beheben.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Resolve Threat (Bedrohung beheben) sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat IDs	Erforderlich. Eine durch Kommas getrennte Liste der zu behebenden Bedrohungs-IDs.
Annotation	Optional. Eine Begründung für die Behebung der Bedrohung.

Aktionsausgaben

Die Aktion Bedrohung beheben bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Resolve Threat (Bedrohung beheben) empfangen wird:

[
    {
        "resolved": false,
        "Threat_ID": "THREAT_ID"
        }
]

Ausgabemeldungen

Die Aktion Resolve Threat kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully resolved the following threats in SentinelOne: THREAT_ID. Action wasn't able to resolve the following threats in SentinelOne: THREAT_ID. No threats were resolved.	Die Aktion wurde ausgeführt.
Error executing action "Resolve Threat". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Resolve Threat (Bedrohung beheben) verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Benachrichtigung ändern

Verwenden Sie die Aktion Update Alert (Benachrichtigung aktualisieren), um die Benachrichtigung der Bedrohung in SentinelOne zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Update Alert sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Erforderlich. Die ID der zu aktualisierenden Benachrichtigung.
Status	Optional. Der Status der Benachrichtigung. Folgende Werte sind möglich: Unresolved In Progress Resolved
Verdict	Optional. Das Ergebnis der Benachrichtigung. Folgende Werte sind möglich: True Positive False Positive Suspicious

Aktionsausgaben

Die Aktion Update Alert (Benachrichtigung über Update) liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Update Alert (Benachrichtigung aktualisieren) empfangen werden:

{
           "agentDetectionInfo": {
               "accountId": "1727154225040260868",
               "machineType": "server",
               "name": "windows-server-20230913",
               "osFamily": "windows",
               "osName": "Windows Server 2019 Datacenter",
               "osRevision": "17763",
               "siteId": "1727154229628829519",
               "uuid": "da943d26318e46a8b3f6fc480c02636d",
               "version": "23.1.2.400"
           },
           "agentRealtimeInfo": {
               "id": "1896661984701699721",
               "infected": true,
               "isActive": true,
               "isDecommissioned": false,
               "machineType": "server",
               "name": "windows-server-20230913",
               "os": "windows",
               "uuid": "da943d26318e46a8b3f6fc480c02636d"
           },
           "alertInfo": {
               "alertId": "1947486263439640318",
               "analystVerdict": "Undefined",
               "createdAt": "2024-05-11T00:27:23.135000Z",
               "dnsRequest": null,
               "dnsResponse": null,
               "dstIp": null,
               "dstPort": null,
               "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
               "eventType": "REGVALUEMODIFIED",
               "hitType": "Events",
               "incidentStatus": "Unresolved",
               "indicatorCategory": null,
               "indicatorDescription": null,
               "indicatorName": null,
               "isEdr": true,
               "loginAccountDomain": null,
               "loginAccountSid": null,
               "loginIsAdministratorEquivalent": null,
               "loginIsSuccessful": null,
               "loginType": null,
               "loginsUserName": null,
               "modulePath": null,
               "moduleSha1": null,
               "netEventDirection": null,
               "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryOldValue": "0060030100000000",
               "registryOldValueType": "BINARY",
               "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryValue": "0070030100000000",
               "reportedAt": "2024-05-11T00:27:33.873767Z",
               "source": "STAR",
               "srcIp": null,
               "srcMachineIp": null,
               "srcPort": null,
               "tiIndicatorComparisonMethod": null,
               "tiIndicatorSource": null,
               "tiIndicatorType": null,
               "tiIndicatorValue": null,
               "updatedAt": "2025-05-12T18:41:08.366615Z"
           },
           "containerInfo": {
               "id": null,
               "image": null,
               "labels": null,
               "name": null
           },
           "kubernetesInfo": {
               "cluster": null,
               "controllerKind": null,
               "controllerLabels": null,
               "controllerName": null,
               "namespace": null,
               "namespaceLabels": null,
               "node": null,
               "pod": null,
               "podLabels": null
           },
           "ruleInfo": {
               "description": null,
               "id": "1763599692710649014",
               "name": "Registry Value Modified",
               "queryLang": "1.0",
               "queryType": "events",
               "s1ql": "EventType = \"Registry Value Modified\"",
               "scopeLevel": "account",
               "severity": "Critical",
               "treatAsThreat": "UNDEFINED"
           },
           "sourceParentProcessInfo": {
               "commandline": "C:\\Windows\\system32\\services.exe",
               "effectiveUser": null,
               "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
               "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
               "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
               "filePath": "C:\\Windows\\System32\\services.exe",
               "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "services.exe",
               "pid": "896",
               "pidStarttime": "2024-04-26T17:33:41.962000Z",
               "realUser": null,
               "storyline": "DD880F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "DC880F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "sourceProcessInfo": {
               "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
               "effectiveUser": null,
               "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
               "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
               "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
               "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
               "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "cyserver.exe",
               "pid": "3204",
               "pidStarttime": "2024-04-26T17:34:17.273000Z",
               "realUser": null,
               "storyline": "74890F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "73890F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "targetProcessInfo": {
               "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
               "tgtFileHashSha1": null,
               "tgtFileHashSha256": null,
               "tgtFileId": null,
               "tgtFileIsSigned": "signed",
               "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
               "tgtFileOldPath": null,
               "tgtFilePath": null,
               "tgtProcCmdLine": null,
               "tgtProcImagePath": null,
               "tgtProcIntegrityLevel": "unknown",
               "tgtProcName": null,
               "tgtProcPid": null,
               "tgtProcSignedStatus": null,
               "tgtProcStorylineId": null,
               "tgtProcUid": null,
               "tgtProcessStartTime": "1970-01-01T00:00:00Z"
           }
       }

Ausgabemeldungen

Die Aktion Update Alert kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated alert with ID ALERT_ID in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Update Alert". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Update Alert verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Analystenurteil aktualisieren

Verwenden Sie die Aktion Update Analyst Verdict (Analystenurteil aktualisieren), um das Analystenurteil der Bedrohung in SentinelOne zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Update Analyst Verdict sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Erforderlich. Eine durch Kommas getrennte Liste von Bedrohungs-IDs, für die das Analystenurteil aktualisiert werden soll.
Analyst Verdict	Erforderlich. Ein Analystenurteil. Folgende Werte sind möglich: True Positive False Positive Suspicious Undefined Der Standardwert ist Undefined.

Aktionsausgaben

Die Aktion Update Analyst Verdict (Analystenurteil aktualisieren) liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Ausgabemeldungen

Die Aktion Update Analyst Verdict kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the provided threats in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Update Analyst Verdict". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Update Analyst Verdict verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Vorfallstatus aktualisieren

Verwenden Sie die Aktion Update Incident Status (Vorfallstatus aktualisieren), um den Status von Sicherheitsvorfällen in SentinelOne zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Update Incident Status sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Threat ID	Erforderlich. Eine durch Kommas getrennte Liste von Bedrohungs-IDs, für die der Vorfallstatus aktualisiert werden soll.
Status	Erforderlich. Ein Vorfallstatus. Folgende Werte sind möglich: Unresolved In Progress Resolved Der Standardwert ist Resolved.

Aktionsausgaben

Die Aktion Vorfallstatus aktualisieren liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabemeldungen	Verfügbar
Scriptergebnis	Verfügbar

Ausgabemeldungen

Die Aktion Vorfallstatus aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the provided threats in SentinelOne.	Die Aktion wurde ausgeführt.
Error executing action "Update Incident Status". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Update Incident Status (Vorfallstatus aktualisieren) verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

SentinelOne – Alerts Connector

Verwenden Sie den SentinelOne – Alerts Connector, um Benachrichtigungen von SentinelOne aufzunehmen.

Mit dem Connector können Sie Benachrichtigungen mithilfe einer dynamischen Liste filtern, die auf dem Parameter ruleInfo.name basiert. Das Verhalten dieser Liste hängt vom Parameter Use dynamic list as a blocklist ab.

• Wenn Sie Use dynamic list as a blocklist nicht auswählen:

  Die dynamische Liste funktioniert wie eine Zulassungsliste. Der Connector nimmt nur Benachrichtigungen auf, deren ruleInfo.name mit einem Wert in der Liste übereinstimmt. Wenn die Liste leer ist, werden keine Benachrichtigungen aufgenommen.

• Wenn Sie Use dynamic list as a blocklist auswählen:

  Die dynamische Liste funktioniert als Sperrliste. Der Connector erfasst alle Benachrichtigungen mit Ausnahme derer, deren ruleInfo.name mit einem Wert in der Liste übereinstimmt. Wenn die Liste leer ist, werden alle Benachrichtigungen aufgenommen.

Connector-Parameter

Für den SentinelOne – Alerts Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Erforderlich. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Erforderlich. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist ruleInfo_name.
Environment Field Name	Optional. Der Name des Felds, in dem der Name der Umgebung gespeichert ist. Wenn das Feld „environment“ fehlt, wird der Standardwert verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung. Der Standardwert ist .*.
PythonProcessTimeout	Erforderlich. Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird. Der Standardwert ist 180.
API Root	Erforderlich. Der API-Stamm der SentinelOne-Instanz.
API Token	Erforderlich. Das SentinelOne-API-Token.
Status Filter	Optional. Eine durch Kommas getrennte Liste der aufzunehmenden Benachrichtigungsstatus. Folgende Werte sind möglich: Unresolved In Progress Resolved Wenn kein Wert angegeben ist, ruft der Connector Benachrichtigungen mit den Status Unresolved und In Progress ab.
Case Name Template	Optional. Eine Vorlage zum Definieren eines benutzerdefinierten Fallnamens. Der Connector fügt dem Ereignis einen custom_case_name-Schlüssel hinzu. Sie können Platzhalter im Format FIELD_NAME verwenden, die mit den String-Werten des ersten Ereignisses gefüllt werden. Beispiel: Phishing - EVENT_MAILBOX.
Alert Name Template	Optional. Eine Vorlage zum Definieren des Benachrichtigungsnamens. Sie können Platzhalter im Format FIELD_NAME verwenden, die mit den String-Werten des ersten Ereignisses gefüllt werden. Beispiel: Phishing - EVENT_MAILBOX. Wenn kein Wert angegeben wird oder die Vorlage ungültig ist, verwendet der Connector einen Standardnamen für die Benachrichtigung.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Warnungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: Info Low Medium High Critical Wenn kein Wert angegeben ist, werden alle Schweregrade aufgenommen.
Max Hours Backwards	Erforderlich. Die Anzahl der Stunden vor der aktuellen Zeit, für die Benachrichtigungen abgerufen werden sollen. Der Standardwert ist 24.
Max Alerts To Fetch	Erforderlich. Die maximale Anzahl von Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 100. Der Standardwert ist 10.
Use dynamic list as a blocklist	Erforderlich. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Blockierliste. Standardmäßig nicht aktiviert.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig nicht aktiviert.
Verify SSL	Erforderlich. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum SentinelOne-Server validiert. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

Struktur von Benachrichtigungen

In der folgenden Tabelle wird die Zuordnung von SentinelOne-Benachrichtigungsfeldern zu Google SecOps-Benachrichtigungsfeldern beschrieben:

Siemplify-Benachrichtigungsfeld	SentinelOne-Benachrichtigungsfeld (JSON-Schlüssel aus API)
SourceSystemName	Wird vom Framework ausgefüllt.
TicketId	alertInfo.alertId
DisplayId	SentinelOne_Alert_{alertInfo.alertId}
Name	SentinelOne Alert: {ruleInfo.name}
Reason	ruleInfo.s1q1
Description	ruleInfo.description
DeviceVendor	Fest codiert: SentinelOne
DeviceProduct	Fallback-Wert: Alerts
Priority	Zugeordnet aus ruleInfo.severity
RuleGenerator	SentinelOne Alert: {ruleInfo.name}
SourceGroupingIdentifier	ruleInfo.name
Severity	Zugeordnet aus ruleInfo.severity
Risk Score	Ganzzahldarstellung des Schweregrads
StartTime	Konvertiert aus alertInfo.createdAt
EndTime	Konvertiert aus alertInfo.createdAt
Siemplify Alert - Extensions	–
Siemplify Alert - Attachments	–

Connector-Ereignisse

Hier ist ein Beispiel für ein Connector-Ereignis:

{
    "agentDetectionInfo": {
        "accountId": "1727154225040260868",
        "machineType": "server",
        "name": "windows-server-20230913",
        "osFamily": "windows",
        "osName": "Windows Server 2019 Datacenter",
        "osRevision": "17763",
        "siteId": "1727154229628829519",
        "uuid": "da943d26318e46a8b3f6fc480c02636d",
        "version": "23.1.2.400"
    },
    "agentRealtimeInfo": {
        "id": "1896661984701699721",
        "infected": true,
        "isActive": true,
        "isDecommissioned": false,
        "machineType": "server",
        "name": "windows-server-20230913",
        "os": "windows",
        "uuid": "da943d26318e46a8b3f6fc480c02636d"
    },
    "alertInfo": {
        "alertId": "1947486263439640318",
        "analystVerdict": "Undefined",
        "createdAt": "2024-05-11T00:27:23.135000Z",
        "dnsRequest": null,
        "dnsResponse": null,
        "dstIp": null,
        "dstPort": null,
        "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
        "eventType": "REGVALUEMODIFIED",
        "hitType": "Events",
        "incidentStatus": "Unresolved",
        "indicatorCategory": null,
        "indicatorDescription": null,
        "indicatorName": null,
        "isEdr": true,
        "loginAccountDomain": null,
        "loginAccountSid": null,
        "loginIsAdministratorEquivalent": null,
        "loginIsSuccessful": null,
        "loginType": null,
        "loginsUserName": null,
        "modulePath": null,
        "moduleSha1": null,
        "netEventDirection": null,
        "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryOldValue": "0060030100000000",
        "registryOldValueType": "BINARY",
        "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryValue": "0070030100000000",
        "reportedAt": "2024-05-11T00:27:33.873767Z",
        "source": "STAR",
        "srcIp": null,
        "srcMachineIp": null,
        "srcPort": null,
        "tiIndicatorComparisonMethod": null,
        "tiIndicatorSource": null,
        "tiIndicatorType": null,
        "tiIndicatorValue": null,
        "updatedAt": "2025-05-12T18:41:08.366615Z"
    },
    "containerInfo": {
        "id": null,
        "image": null,
        "labels": null,
        "name": null
    },
    "kubernetesInfo": {
        "cluster": null,
        "controllerKind": null,
        "controllerLabels": null,
        "controllerName": null,
        "namespace": null,
        "namespaceLabels": null,
        "node": null,
        "pod": null,
        "podLabels": null
    },
    "ruleInfo": {
        "description": null,
        "id": "1763599692710649014",
        "name": "Registry Value Modified",
        "queryLang": "1.0",
        "queryType": "events",
        "s1ql": "EventType = \"Registry Value Modified\"",
        "scopeLevel": "account",
        "severity": "Critical",
        "treatAsThreat": "UNDEFINED"
    },
    "sourceParentProcessInfo": {
        "commandline": "C:\\Windows\\system32\\services.exe",
        "effectiveUser": null,
        "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
        "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
        "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
        "filePath": "C:\\Windows\\System32\\services.exe",
        "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "services.exe",
        "pid": "896",
        "pidStarttime": "2024-04-26T17:33:41.962000Z",
        "realUser": null,
        "storyline": "DD880F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "DC880F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "sourceProcessInfo": {
        "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
        "effectiveUser": null,
        "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
        "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
        "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
        "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
        "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "cyserver.exe",
        "pid": "3204",
        "pidStarttime": "2024-04-26T17:34:17.273000Z",
        "realUser": null,
        "storyline": "74890F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "73890F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "targetProcessInfo": {
        "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
        "tgtFileHashSha1": null,
        "tgtFileHashSha256": null,
        "tgtFileId": null,
        "tgtFileIsSigned": "signed",
        "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
        "tgtFileOldPath": null,
        "tgtFilePath": null,
        "tgtProcCmdLine": null,
        "tgtProcImagePath": null,
        "tgtProcIntegrityLevel": "unknown",
        "tgtProcName": null,
        "tgtProcPid": null,
        "tgtProcSignedStatus": null,
        "tgtProcStorylineId": null,
        "tgtProcUid": null,
        "tgtProcessStartTime": "1970-01-01T00:00:00Z"
    }
}

SentinelOne – Threats Connector

Verwenden Sie den SentinelOne – Threats Connector, um Bedrohungen von SentinelOne aufzunehmen.

Mit dem Connector können Sie Benachrichtigungen anhand dynamischer Listen filtern.

Der SentinelOne – Threats Connector filtert Benachrichtigungen mit dem Parameter alert_name.

Wenn Sie den Parameter Use whitelist as a blacklist auswählen, werden vom Connector nur Benachrichtigungen erfasst, deren alert_name mit keinem Wert in der dynamischen Liste übereinstimmt.

Wenn Sie keine alert_name-Werte in der dynamischen Liste konfigurieren, werden alle Benachrichtigungen vom Connector aufgenommen.

Wenn Sie den Parameter Use whitelist as a blacklist nicht auswählen, werden über den Connector nur Benachrichtigungen erfasst, deren alert_name mit einem Wert in der dynamischen Liste übereinstimmt.

Connector-Eingaben

Für den SentinelOne – Threats Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Erforderlich. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert siemplify_event in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallbackwert aufgelöst. Der Standardwert ist siemplify_event.
Event Field Name	Erforderlich. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist threatinfo_classification.
Environment Field Name	Optional. Der Name des Felds, in dem der Name der Umgebung gespeichert ist. Wenn das Feld „environment“ fehlt, wird der Standardwert verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Erforderlich. Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird. Der Standardwert ist 180.
API Root	Erforderlich. Der SentinelOne-API-Stamm. Der Standardwert ist https://usea1-partners.sentinelone.net/.
API Token	Erforderlich. Das SentinelOne-API-Token.
API Version	Optional. Die Version der SentinelOne API, die für den Connector verwendet werden soll. Wenn Sie keinen Wert festlegen, verwendet der Connector standardmäßig die API-Version 2.0.
Fetch Max Days Backwards	Optional. Die Anzahl der Tage vor dem aktuellen Datum, für die Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration nach der erstmaligen Aktivierung des Connectors oder als Fallback-Wert für einen abgelaufenen Connector-Zeitstempel gelten. Der Standardwert ist 1.
Max Alerts Per Cycle	Optional. Die maximale Anzahl von Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 25.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Diese Option ist standardmäßig nicht ausgewählt.
Use whitelist as a blacklist	Erforderlich. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Blockierliste. Diese Option ist standardmäßig nicht ausgewählt.
Verify SSL	Erforderlich. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum SentinelOne-Server validiert. Standardmäßig ausgewählt.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.
Event Object Type Filter	Optional. Eine durch Kommas getrennte Liste von Ereignisobjekten, die mit den Bedrohungsinformationen zurückgegeben werden sollen. Der Connector verwendet diesen Parameter als Filter, um nur bestimmte Objekte wie process, ip, indicators zurückzugeben. Wenn Sie keinen Wert festlegen, werden alle Ereignisobjekttypen aufgenommen.
Event Type Filter	Optional. Eine durch Kommas getrennte Liste der Ereignistypen, die mit den Bedrohungsinformationen zurückgegeben werden sollen. Der Connector verwendet diesen Parameter als Filter, um nur bestimmte Ereignistypen wie Process Creation, Behavioral Indicators zurückzugeben.
Max Events To Return	Optional. Die Anzahl der Ereignisse, die für jede Bedrohung zurückgegeben werden sollen. Der Höchstwert ist 199. Der Standardwert ist 199.

Connector-Regeln

Der Connector unterstützt Proxys.

Der Connector unterstützt Zulassungs- und Sperrlisten.

Connector-Ereignisse

Hier ist ein Beispiel für ein Connector-Ereignis:

{
    "data": [
        {
            "accountId": "ACCOUNT_ID",
            "accountName": "SentinelOne",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "203.0.113.180",
            "agentIsActive": false,
            "agentIsDecommissioned": true,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connecting",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "annotationUrl": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "COLLECTION_ID",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "MALICED_GROUP_ID",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": false,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": null
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-04-02T14:51:21.901754Z",
            "username": "DESKTOP-example\\username",
            "whiteningOptions": [
                "hash"
            ]
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 161
    }
}

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten