Intégrer SentinelOne v2 à Google SecOps

Ce document explique comment configurer et intégrer SentinelOne v2 à Google Security Operations.

Cette intégration est compatible avec l'API SentinelOne version 2.0 et ultérieure.

Important : Dans la plate-forme Google SecOps, l'intégration pour SentinelOne v2 s'appelle SentinelOneV2.

Cette intégration utilise un ou plusieurs composants Open Source. Vous pouvez télécharger une copie compressée du code source complet de cette intégration à partir du bucket Cloud Storage.

Cas d'utilisation

L'intégration de SentinelOne peut vous aider à résoudre les cas d'utilisation suivants :

1. Contenir les points de terminaison infectés : utilisez les fonctionnalités de Google SecOps pour isoler un hôte infecté et empêcher les mouvements latéraux et l'exfiltration de données.

2. Récupérer des informations détaillées sur les points de terminaison : utilisez les fonctionnalités de Google SecOps pour enrichir les données d'incident avec une analyse approfondie des hôtes afin d'améliorer le contexte et la prise de décision. Vous pouvez interroger automatiquement SentinelOne pour obtenir des informations détaillées sur un point de terminaison impliqué dans une alerte, y compris la version de l'agent, le système d'exploitation et les interfaces réseau.

3. Lancer des analyses Deep Visibility : utilisez les fonctionnalités de Google SecOps pour rechercher les menaces et les logiciels malveillants cachés sur les machines suspectes, et lancez une analyse complète du disque à l'aide de SentinelOne lorsqu'une activité suspecte est détectée, comme des modifications inhabituelles de fichiers ou du registre.

4. Examiner les menaces grâce aux renseignements sur les menaces : utilisez les fonctionnalités de Google SecOps pour améliorer la précision en corrélant les alertes SentinelOne avec les données de renseignements sur les menaces, et transférez les hachages, chemins de fichiers ou adresses IP suspects détectés dans les alertes SentinelOne vers les plates-formes de renseignements sur les menaces.

5. Trier les logiciels malveillants : utilisez les fonctionnalités de Google SecOps pour classer automatiquement les logiciels malveillants à l'aide d'outils d'analyse statique afin de simplifier la réponse aux incidents. Vous pouvez extraire des échantillons des points de terminaison infectés, déclencher l'analyse dans votre environnement et recevoir une classification du logiciel malveillant en fonction de l'analyse statique.

Avant de commencer

Pour authentifier la connexion entre Google SecOps et votre instance SentinelOne, vous devez fournir un jeton d'API SentinelOne valide.

Vous pouvez générer un jeton d'API personnel dans votre console de gestion SentinelOne.

Pour obtenir des instructions détaillées sur la génération et la gestion des jetons, accédez au portail client SentinelOne.

Paramètres d'intégration

L'intégration SentinelOne v2 nécessite les paramètres suivants :

Paramètre	Description
API root	Obligatoire. Racine de l'API SentinelOne. La valeur par défaut est https://{server}.SentinelOne.net/.
API Token	Obligatoire. Jeton d'API SentinelOne. Pour savoir comment générer le jeton d'API pour l'intégration, consultez Avant de commencer. La règle de sécurité SentinelOne vous oblige à créer un jeton d'API tous les six mois.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Sentinel. Cette option est activée par défaut.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ajouter une note sur la menace

Utilisez l'action Add Threat Note (Ajouter une note sur la menace) pour ajouter une note à la menace dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Ajouter une note de menace nécessite les paramètres suivants :

Paramètre	Description
Threat ID	Obligatoire. ID de la menace à laquelle ajouter une note.
Note	Obligatoire. Note à ajouter à la menace.

Sorties de l'action

L'action Ajouter une note de menace fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter une note de menace peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added note to the threat THREAT_ID in SentinelOne. Action wasn't able to add a note to the threat THREAT_ID in SentinelOne.	L'action a réussi.
Error executing action "Add Threat Note". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter une note de menace :

Nom du résultat du script	Valeur
is_success	True ou False

Créer une règle de contrôle des appareils

Utilisez l'action Créer une règle de contrôle des appareils pour créer une règle de contrôle des appareils dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Créer une règle de contrôle des appareils nécessite les paramètres suivants :

Paramètre	Description
Rule JSON	Obligatoire. Objet JSON représentant la configuration de la règle de contrôle des appareils. La valeur par défaut est la suivante : { "ruleName": "String", "interface": "String", "ruleType": "String", "action": "String", "accessPermission": "String", "deviceClass": "String", "status": "String" }
Scope JSON	Obligatoire. Objet JSON représentant la configuration de la règle de champ d'application. La valeur par défaut est la suivante : { "accountIds": "String", "groupIds": "String", "siteIds": "String" }

Sorties de l'action

L'action Créer une règle de contrôle des appareils fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Créer une règle de contrôle des appareils :

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}

Messages de sortie

L'action Créer une règle de contrôle des appareils peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully created a Device Control Rule in SentinelOne.	L'action a réussi.
Error executing action "Create Device Control Rule". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer une règle de contrôle des appareils :

Nom du résultat du script	Valeur
is_success	true ou false

Créer un enregistrement de liste de blocage de hachage

Utilisez l'action Create Hash Black List Record (Créer un enregistrement de hachage dans la liste de blocage) pour ajouter des hachages à une liste de blocage dans SentinelOne.

Cette action n'est compatible qu'avec les hachages SHA-1.

Cette action s'exécute sur l'entité Google SecOps Hash.

Entrées de l'action

L'action Créer un enregistrement de liste de blocage de hachage nécessite les paramètres suivants :

Paramètre	Description
Operating System	Obligatoire. Système d'exploitation pour le hachage. Les valeurs possibles sont les suivantes : windows windows_legacy macos linux La valeur par défaut est windows.
Site IDs	Facultatif. Liste d'ID de sites à ajouter à la liste de blocage, séparés par une virgule.
Group IDs	Facultatif. Liste d'ID de groupes séparés par une virgule à ajouter à la liste de blocage.
Account IDs	Facultatif. Liste d'ID de compte à ajouter à la liste de blocage, séparés par une virgule.
Description	Facultatif. Informations supplémentaires concernant un hachage. La valeur par défaut est "".
Add to global blocklist	Obligatoire. Si cette option est sélectionnée, l'action ajoute un hachage à une liste de blocage globale. Si vous sélectionnez ce paramètre, l'action ignore les paramètres Site IDs, Group IDs et Account IDs.

Sorties de l'action

L'action Create Hash Black List Record (Créer un enregistrement de liste noire de hachage) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Créer un enregistrement de liste noire de hachage :

[
    {
        "Entity": "ENTITY_ID",
        "EntityResult": [{
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.678280Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.678690Z"
        }, {
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group 2",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.683858Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.684677Z"
        }]
    }
]

Messages de sortie

L'action Créer un enregistrement de liste noire de hachage peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added the following hashes to the blocklist in SentinelOne: ENTITY_ID. The following hashes were already a part of blocklist in SentinelOne: ENTITY_ID. Action wasn't able to add the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were added to the blocklist in SentinelOne.	L'action a réussi.
Error executing action "Create Hash Black List Record". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Create Hash Black List Record (Créer un enregistrement de hachage de liste de blocage) :

Nom du résultat du script	Valeur
is_success	True ou False

Créer un enregistrement d'exclusion de hachage

Utilisez l'action Créer un enregistrement d'exclusion de hachage pour ajouter un hachage à la liste d'exclusion dans SentinelOne.

Cette action n'est compatible qu'avec les hachages SHA-1.

Cette action s'exécute sur l'entité Google SecOps Hash.

Entrées de l'action

L'action Créer un enregistrement d'exclusion de hachage nécessite les paramètres suivants :

Paramètre	Description
Operation System	Obligatoire. Système d'exploitation (OS) pour le hachage. Les valeurs possibles sont les suivantes : windows windows_legacy macos linux La valeur par défaut est windows.
Site IDs	Facultatif. Liste d'ID de sites séparés par une virgule pour envoyer le hachage à la liste d'exclusion. L'action nécessite au moins une valeur valide.
Group IDs	Facultatif. Liste d'ID de groupe séparés par une virgule pour envoyer le hachage à la liste d'exclusion. L'action nécessite au moins une valeur valide.
Account IDs	Facultatif. Liste d'ID de compte séparés par une virgule pour envoyer le hachage à la liste d'exclusion.
Description	Facultatif. Informations supplémentaires concernant le hachage.
Add to global exclusion list	Facultatif. Si cette option est sélectionnée, l'action ajoute un hachage à la liste d'exclusion globale. Si vous sélectionnez ce paramètre, l'action ignore les paramètres Site IDs, Group IDs et Account IDs.

Sorties de l'action

L'action Créer un enregistrement d'exclusion de hachage fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Créer un enregistrement d'exclusion de hachage :

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Messages de sortie

L'action Créer un enregistrement d'exclusion de hachage peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added the following hashes to the exclusion list in SentinelOne: HASH_ID The following hashes were already a part of exclusion list in SentinelOne: HASH_ID Action wasn't able to add the following hashes to the exclusion list in SentinelOne: HASH_ID No hashes were added to the exclusion list in SentinelOne.	L'action a réussi.
Error executing action "Create Hash Exclusion Record". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer un enregistrement d'exclusion de hachage :

Nom du résultat du script	Valeur
is_success	True ou False

Créer un enregistrement d'exclusion de chemin d'accès

Utilisez l'action Créer un enregistrement d'exclusion de chemin d'accès pour ajouter un chemin d'accès à la liste d'exclusion dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Créer un enregistrement d'exclusion de chemin d'accès nécessite les paramètres suivants :

La valeur par défaut est Suppress Alerts.

Paramètre	Description
Path	Obligatoire. Chemin d'accès à ajouter à la liste d'exclusion.
Operation System	Obligatoire. Système d'exploitation (OS) pour le hachage. Les valeurs possibles sont les suivantes : windows windows_legacy macos linux La valeur par défaut est windows.
Site IDs	Facultatif. Liste d'ID de sites séparés par une virgule pour envoyer le hachage à la liste d'exclusion. L'action nécessite au moins une valeur valide.
Group IDs	Facultatif. Liste d'ID de groupe séparés par une virgule pour envoyer le hachage à la liste d'exclusion. L'action nécessite au moins une valeur valide.
Account IDs	Facultatif. Liste d'ID de compte séparés par une virgule pour envoyer le hachage à la liste d'exclusion.
Description	Facultatif. Informations supplémentaires concernant le hachage.
Add to global exclusion list	Facultatif. Si cette option est sélectionnée, l'action ajoute un hachage à la liste d'exclusion globale. Si vous sélectionnez ce paramètre, l'action ignore les paramètres Site IDs, Group IDs et Account IDs.
Include Subfolders	Facultatif. Si cette option est sélectionnée, l'action inclut les sous-dossiers du chemin d'accès fourni. Ce paramètre ne s'applique que si vous configurez un chemin d'accès au dossier dans le paramètre Path.
Mode	Facultatif. Mode à utiliser pour le chemin d'accès exclu. Les valeurs possibles sont les suivantes : Suppress Alerts Interoperability Interoperability - Extended Performance Focus Performance Focus - Extended

Sorties de l'action

L'action Créer un enregistrement d'exclusion de chemin d'accès fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Créer un enregistrement d'exclusion de chemin d'accès :

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Messages de sortie

L'action Créer un enregistrement d'exclusion de chemin d'accès peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added the following path to the exclusion list in SentinelOne: PATH The following paths were already a part of exclusion list in SentinelOne: PATH_LIST Action wasn't able to add the following paths to the exclusion list in SentinelOne: PATH No paths were added to the exclusion list in SentinelOne.	L'action a réussi.
Error executing action "Create Path Exclusion Record". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Créer un enregistrement d'exclusion de chemin :

Nom du résultat du script	Valeur
is_success	True ou False

Supprimer la règle de contrôle des appareils

Utilisez l'action Supprimer une règle de contrôle des appareils pour supprimer une règle de contrôle des appareils dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Supprimer une règle de contrôle des appareils nécessite les paramètres suivants :

Paramètre	Description
Rule ID	Obligatoire. ID de la règle à supprimer.
Scope Type	Facultatif. Niveau organisationnel où l'alerte est visible ou applicable. Les valeurs possibles sont les suivantes : Account Site Group La valeur par défaut est Account.
Scope ID	Obligatoire. ID du champ d'application.

Sorties de l'action

L'action Supprimer une règle de contrôle des appareils fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer une règle de contrôle des appareils peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully deleted a Device Control Rule with ID RULE_DEVICE_ID in SentinelOne. Rule RULE_DEVICE_ID wasn't found in SentinelOne.	L'action a réussi.
Error executing action "Delete Device Control Rule". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Supprimer une règle de contrôle des appareils :

Nom du résultat du script	Valeur
is_success	true ou false

Supprimer l'enregistrement de la liste de blocage de hachages

Utilisez l'action Supprimer l'enregistrement de la liste de blocage de hachages pour supprimer des hachages d'une liste de blocage dans SentinelOne.

Cette action n'est compatible qu'avec les hachages SHA-1.

Cette action s'exécute sur l'entité Google SecOps Hash.

Entrées de l'action

L'action Supprimer l'enregistrement de la liste de blocage de hachage nécessite les paramètres suivants :

Paramètre	Description
Site IDs	Facultatif. Liste d'ID de sites séparés par une virgule pour lesquels supprimer le hachage.
Group IDs	Facultatif. Liste d'ID de groupe séparés par une virgule pour supprimer le hachage.
Account IDs	Facultatif. Liste d'ID de compte séparés par une virgule pour lesquels supprimer le hachage.
Remove from global black list	Facultatif. Si cette option est sélectionnée, l'action supprime le hachage de la liste de blocage globale. Si vous sélectionnez ce paramètre, l'action ignore les paramètres Site IDs, Group IDs et Account IDs.

Sorties de l'action

L'action Supprimer un enregistrement de la liste de blocage de hachages fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer un enregistrement de la liste de blocage de hachage peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully removed the following hashes from the blocklist in SentinelOne: ENTITY_ID. The following hashes were not found in a blocklist in SentinelOne: ENTITY_ID. Action wasn't able to remove the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were removed from the blocklist in SentinelOne.	L'action a réussi.
Error executing action "Delete Hash Blacklist Record". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Supprimer l'enregistrement de la liste de blocage de hachage :

Nom du résultat du script	Valeur
is_success	True ou False

Déconnecter l'agent du réseau

Utilisez l'action Déconnecter l'agent du réseau pour déconnecter un agent d'un réseau à l'aide de son nom d'hôte ou de son adresse IP.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

Aucune.

Sorties de l'action

L'action Déconnecter l'agent du réseau fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Non disponible
Résultat du script	Disponible

Résultat du script

Le tableau suivant liste la valeur du résultat du script lors de l'utilisation de l'action Déconnecter l'agent du réseau :

Nom du résultat du script	Valeur
is_success	True ou False

Télécharger le fichier de menace

Utilisez l'action Download Threat File (Télécharger le fichier de menace) pour télécharger un fichier lié à une menace dans SentinelOne.

Pour récupérer des fichiers de menace dans SentinelOne, vous devez disposer de l'un des rôles suivants :

• Admin
• IR Team
• SOC

Cette action ne s'exécute pas sur les entités Google SecOps.

Limites des actions

L'action Télécharger le fichier de menace peut expirer lorsque SentinelOne récupère un fichier, mais ne fournit pas d'URL de téléchargement.

Pour identifier la cause du délai d'expiration, accédez à la chronologie des menaces.

Entrées de l'action

L'action Télécharger le fichier de menace nécessite les paramètres suivants :

Paramètre	Description
Threat ID	Obligatoire. ID de la menace pour télécharger un fichier.
Password	Obligatoire. Mot de passe du dossier compressé contenant le fichier de menace. Les exigences concernant le mot de passe sont les suivantes : Il doit comporter au moins 10 caractères. Comprend des lettres majuscules, des lettres minuscules, des chiffres et des symboles spéciaux. La longueur maximale du mot de passe est de 256 caractères.
Download Folder Path	Obligatoire. Chemin d'accès à un dossier pour stocker le fichier de menace.
Overwrite	Obligatoire. Si cette option est sélectionnée, l'action écrase un fichier portant le même nom. Non sélectionné par défaut.

Sorties de l'action

L'action Télécharger le fichier de menace fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Télécharger le fichier de menace :

{
    "absolute_path": "ABSOLUTE_PATH"
}

Messages de sortie

L'action Télécharger le fichier de menace peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully downloaded the file related to threat THREAT_ID in SentinelOne. Action wasn't able to download the file related to threat THREAT_ID. Reason: The action was able to initiate the downloading of the file, but SentinelOne didn't return a download URL. Waiting for the download link to appear in SentinelOne.	L'action a réussi.
Error executing action "Download Threat File". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Télécharger le fichier de menace :

Nom du résultat du script	Valeur
is_success	True ou False

Points de terminaison d'enrichissement

Utilisez l'action Enrichir les points de terminaison pour enrichir les informations sur le point de terminaison à l'aide de l'adresse IP ou du nom d'hôte.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

L'action Enrichir les points de terminaison nécessite les paramètres suivants :

Paramètre	Description
Create Insight	Facultatif. Si cette option est sélectionnée, l'action crée un insight contenant des informations sur les points de terminaison.
Only Infected Endpoints Insights	Facultatif. Si cette option est sélectionnée, l'action ne crée des insights que pour les points de terminaison infectés.

Sorties de l'action

L'action Enrichir les points de terminaison fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Enrich Endpoints :

{
    "accountId": "ACCOUNT_ID",
    "accountName": "SentinelOne",
    "activeDirectory": {
        "computerDistinguishedName": "CN=LP-EXAMPLE,CN=Computers,DC=EXAMPLE,DC=LOCAL",
        "computerMemberOf": [],
        "lastUserDistinguishedName": "CN=Example,OU=Users,OU=PS,OU=IL,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
        "lastUserMemberOf": [
            "CN=esx.cs,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Backup Operators,CN=Builtin,DC=EXAMPLE,DC=LOCAL",
            "CN=esx.product,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=EXAMPLE_Admins,OU=QA,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Local Admin,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=CSM,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Event Log Readers,CN=Builtin,DC=EXAMPLE,DC=LOCAL"
        ]
    },
    "activeThreats": 0,
    "agentVersion": "4.1.4.82",
    "allowRemoteShell": false,
    "appsVulnerabilityStatus": "patch_required",
    "computerName": "LP-EXAMPLE",
    "consoleMigrationStatus": "N/A",
    "coreCount": 8,
    "cpuCount": 8,
    "cpuId": "Intel(R) Core(TM) i7-8650U CPU @ 1.90GHz",
    "createdAt": "2020-05-31T07:22:14.695136Z",
    "domain": "EXAMPLE",
    "encryptedApplications": false,
    "externalId": "",
    "externalIp": "192.0.2.91",
    "groupId": "863712577864500060",
    "groupIp": "192.0.2.0",
    "groupName": "Test Group",
    "id": "ID",
    "inRemoteShellSession": false,
    "infected": false,
    "installerType": ".msi",
    "isActive": false,
    "isDecommissioned": false,
    "isPendingUninstall": false,
    "isUninstalled": false,
    "isUpToDate": true,
    "lastActiveDate": "2021-01-12T12:59:43.143066Z",
    "lastIpToMgmt": "192.0.2.20",
    "lastLoggedInUserName": "EXAMPLE",
    "licenseKey": "",
    "locationType": "fallback",
    "locations": [
        {
            "id": "ID",
            "name": "Fallback",
            "scope": "global"
        }
    ],
    "machineType": "laptop",
    "mitigationMode": "protect",
    "mitigationModeSuspicious": "protect",
    "modelName": "Dell Inc. - Latitude 7490",
    "networkInterfaces": [
        {
            "id": "ID",
            "inet": [
                "192.0.2.20"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2",
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "Wi-Fi",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "192.168.193.193"
            ],
            "inet6": [
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "vEthernet (Default Switch)",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "201.0.113.1"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2"
            ],
            "name": "vEthernet (DockerNAT)",
            "physical": "MAC_ADDRESS"
        }
    ],
    "networkStatus": "connecting",
    "osArch": "64 bit",
    "osName": "Windows 10 Pro",
    "osRevision": "18363",
    "osStartTime": "2021-01-03T15:38:32Z",
    "osType": "windows",
    "osUsername": null,
    "rangerStatus": "NotApplicable",
    "rangerVersion": null,
    "registeredAt": "2020-05-31T07:22:14.691561Z",
    "scanAbortedAt": null,
    "scanFinishedAt": "2020-05-31T09:28:53.867014Z",
    "scanStartedAt": "2020-05-31T07:25:37.814972Z",
    "scanStatus": "finished",
    "siteId": "SITE_ID",
    "siteName": "example.com",
    "threatRebootRequired": false,
    "totalMemory": 16263,
    "updatedAt": "2021-01-18T13:33:43.834618Z",
    "userActionsNeeded": [],
    "uuid": "UUID"
}

Messages de sortie

L'action Enrichir les points de terminaison peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved information about the following endpoints from SentinelOne: ENTITY_ID Action wasn't able to retrieve information about the following endpoints from SentinelOne: ENTITY_ID No information was retrieved for provided entities.	L'action a réussi.
Error executing action "Enrich Endpoints". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Enrichir les points de terminaison :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir l'état de l'agent

Utilisez l'action Obtenir l'état de l'agent pour récupérer des informations sur l'état des agents sur les points de terminaison en fonction de l'entité fournie.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

Aucune.

Sorties de l'action

L'action Obtenir l'état de l'agent fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get Agent Status (Obtenir l'état de l'agent) :

{
"status": "Not active"
}

Messages de sortie

L'action Obtenir l'état de l'agent peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved information about agent status for the following endpoints: ENTITY_ID Action wasn't able to retrieve information about agent status for the following endpoints: ENTITY_ID No information about agent status was found for the provided endpoints.	L'action a réussi.
Error executing action "Get Agent Status". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get Agent Status (Obtenir l'état de l'agent) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir la liste des applications pour un point de terminaison

Utilisez l'action Obtenir la liste des applications pour le point de terminaison pour récupérer des informations sur les applications disponibles sur un point de terminaison à l'aide des entités fournies.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

L'action Obtenir la liste des applications pour le point de terminaison nécessite les paramètres suivants :

Paramètre	Description
Max Applications To Return	Facultatif. Nombre maximal d'applications à renvoyer. Si vous ne définissez pas de nombre, l'action renvoie toutes les applications disponibles.

Sorties de l'action

L'action Obtenir la liste des applications pour le point de terminaison fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir la liste des applications pour le point de terminaison :

{
    "data": [
        {
            "installedDate": "2021-01-06T08:55:56.762000Z",
            "name": "Mozilla Firefox 84.0.1 (x64 en-US)",
            "publisher": "Mozilla",
            "size": 211562,
            "version": "84.0.1"
        }
    ]
}

Messages de sortie

L'action Obtenir la liste des applications pour le point de terminaison peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved available applications for the following endpoints: ENTITY_ID. Action wasn't able to retrieve available applications for the following endpoints: ENTITY_ID. No applications were retrieved for provided endpoints.	L'action a réussi.
Error executing action "Get Application List for Endpoint". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Obtenir la liste des applications pour le point de terminaison :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir la liste d'exclusion

Utilisez l'action Obtenir la liste de blocage pour obtenir la liste de tous les éléments disponibles dans la liste de blocage de SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir la liste de blocage nécessite les paramètres suivants :

Paramètre	Description
Hash	Facultatif. Liste de hachages séparés par une virgule à vérifier dans la liste de blocage. L'action ne renvoie que les hachages trouvés. Si vous définissez Hash, l'action ignore le paramètre Limit.
Site IDs	Facultatif. Liste d'ID de sites séparés par une virgule pour lesquels renvoyer des éléments de la liste de blocage.
Group IDs	Facultatif. Liste d'ID de groupes séparés par une virgule pour renvoyer les éléments de la liste de blocage.
Account Ids	Facultatif. Liste d'ID de compte séparés par une virgule pour renvoyer les éléments de la liste de blocage.
Limit	Facultatif. Nombre d'éléments de la liste de blocage à renvoyer. Si vous définissez le paramètre Hash, l'action l'ignore. La valeur maximale est 1000. La valeur par défaut est 50.
Query	Facultatif. Requête permettant de filtrer les résultats.
Use Global Blacklist	Facultatif. Si cette option est sélectionnée, l'action renvoie les hachages d'une liste de blocage globale. Non sélectionné par défaut.

Sorties de l'action

L'action Obtenir la liste de blocage fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Get Blacklist peut renvoyer le tableau suivant :

Nom de la table : Blocklist Hashes

Colonnes d'un tableau :

• Hachage
• Scope (Portée)
• Description
• OS
• Utilisateur

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get Blacklist (Obtenir la liste de blocage) :

[
    {
        "userName": "Example",
        "description": "test",
        "userId": "USER_ID",
        "scopeName": "Example.com",
        "value": "cf23df2207d99a74fbe169e3eba035e633bxxxxx",
        "source": "user",
        "updatedAt": "2020-02-27T15:02:54.686991Z",
        "osType": "windows",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "8353960925573xxxxx",
        "createdAt": "2020-02-27T15:02:54.687675Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "3395856ce81f2b7382dee72602f798b642fxxxxx",
        "source": "cloud",
        "updatedAt": "2020-03-18T14:42:02.730095Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-03-18T14:42:02.730449Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "df531d66173235167ac502b867f3cae2170xxxxx",
        "source": "cloud",
        "updatedAt": "2020-04-08T07:27:35.686775Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-04-08T07:27:35.687168Z"
    }
]

Messages de sortie

L'action Get Blacklist peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved blocklisted hashes based on the provided filter criteria in SentinelOne. No blocklisted hashes were found for the provided criteria in SentinelOne.	L'action a réussi.
Error executing action "Get Blacklist". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Obtenir la liste de blocage :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir le résultat de la requête Deep Visibility

Utilisez l'action Obtenir le résultat de la requête Deep Visibility pour récupérer des informations sur les résultats de la requête Deep Visibility.

Exécutez cette action en combinaison avec l'action Lancer une requête Deep Visibility.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir le résultat de la requête Deep Visibility nécessite les paramètres suivants :

Paramètre	Description
Query ID	Obligatoire. ID de la requête pour laquelle renvoyer des résultats. La valeur de l'ID est disponible dans le résultat JSON de l'action Lancer une requête Deep Visibility en tant que paramètre query_id.
Limit	Facultatif. Nombre d'événements à renvoyer. La valeur maximale est 100. La valeur par défaut est 50.

Sorties de l'action

L'action Obtenir le résultat de la requête Deep Visibility fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir le résultat de la requête Deep Visibility peut renvoyer la table suivante :

Nom de la table : Événements SentinelOne

Colonnes d'un tableau :

• Type d'événement
• Nom du site
• Heure
• OS de l'agent
• Identifiant de processus
• UID du processus
• Nom du processus
• MD5
• SHA256

Messages de sortie

L'action Obtenir le résultat de la requête Deep Visibility peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found events for query: QUERY_ID.	L'action a réussi.
Error executing action "Get Deep Visibility Query Result". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Get Deep Visibility Query Result (Obtenir le résultat de la requête Deep Visibility) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les événements pour le point de terminaison (heures précédentes)

Utilisez l'action Obtenir les événements pour les heures de point de terminaison pour récupérer des informations sur les derniers événements d'un point de terminaison.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

L'action Obtenir les événements pour le point de terminaison (heures précédentes) nécessite les paramètres suivants :

Paramètre	Description
Hours Back	Obligatoire. Nombre d'heures avant l'heure actuelle pour récupérer les événements.
Events Amount Limit	Facultatif. Nombre maximal d'événements à renvoyer pour chaque type d'événement. La valeur par défaut est 50.
Include File Events Information	Facultatif. Si cette option est sélectionnée, l'action interroge les informations sur les événements file.
Include Indicator Events Information	Facultatif. Si cette option est sélectionnée, l'action interroge les informations sur les événements indicator.
Include DNS Events Information	Facultatif. Si cette option est sélectionnée, l'action interroge les informations sur les événements DNS.
Include Network Actions Events Information	Facultatif. Si cette option est sélectionnée, l'action interroge les informations sur les événements network actions.
Include URL Events Information	Facultatif. Si cette option est sélectionnée, l'action interroge les informations sur les événements URL.
Include Registry Events Information	Facultatif. Si cette option est sélectionnée, l'action interroge les informations sur les événements registry.
Include Scheduled Task Events Information	Facultatif. Si cette option est sélectionnée, l'action interroge les informations sur les événements scheduled task.

Sorties de l'action

L'action Obtenir les événements pour le point de terminaison (heures précédentes) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les événements pour les heures de point de terminaison :

{
    "data": [
        {
            "activeContentFileId": null,
            "activeContentHash": null,
            "activeContentPath": null,
            "activeContentSignedStatus": null,
            "activeContentType": null,
            "agentDomain": "",
            "agentGroupId": "GROUP_ID",
            "agentId": "ID",
            "agentInfected": false,
            "agentIp": "192.0.2.160",
            "agentIsActive": true,
            "agentIsDecommissioned": false,
            "agentMachineType": "server",
            "agentName": "ip-203-0-113-205",
            "agentNetworkStatus": "connected",
            "agentOs": "linux",
            "agentTimestamp": "2020-03-19T08:17:01.575Z",
            "agentUuid": "UUID",
            "agentVersion": "3.3.1.14",
            "attributes": [
                {
                    "display": "Created At",
                    "display_attribute": false,
                    "field_id": "agentTimestamp",
                    "priority": 3,
                    "queryable": false,
                    "section": "Main Attributes",
                    "value": "2020-03-19T08:17:01.575Z"
                },{
                    "display": "Site ID",
                    "display_attribute": false,
                    "field_id": "siteId",
                    "priority": 7,
                    "queryable": true,
                    "section": "Endpoint Info",
                    "value": null
                }
            ],
            "containerId": null,
            "containerImage": null,
            "containerLabels": null,
            "containerName": null,
            "createdAt": "2020-03-19T08:17:01.575000Z",
            "eventType": "Process Creation",
            "hasParent": true,
            "id": "ID",
            "k8sCluame": null,
            "k8sControllerLabels": null,
            "k8sControllerName": null,
            "k8sControllerType": null,
            "k8sNamespace": null,
            "k8sNamespaceLabels": null,
            "k8sNode": null,
            "k8sPodLabels": null,
            "k8sPodName": null,
            "md5": null,
            "objectType": "process",
            "parentPid": "32461",
            "parentProcessName": "dash",
            "parentProcessStartTime": "2020-03-19T08:17:01.785Z",
            "parentProcessUniqueKey": "KEY",
            "pid": "32462",
            "processCmd": " run-parts --report /etc/cron.hourly",
            "processDisplayName": null,
            "processGroupId": "GROUP_ID",
            "processImagePath": "/bin/run-parts",
            "processImageSha1Hash": "66df74a1f7cc3509c87d6a190ff90ac86caf440d",
            "processIntegrityLevel": "INTEGRITY_LEVEL_UNKNOWN",
            "processIsRedirectedCommandProcessor": "False",
            "processIsWow64": "False",
            "processName": "run-parts",
            "processRoot": "False",
            "processSessionId": "0",
            "processStartTime": "2020-03-19T08:17:01.787Z",
            "processSubSystem": "SUBSYSTEM_UNKNOWN",
            "processUniqueKey": "KEY",
            "publisher": null,
            "relatedToThreat": "False",
            "sha256": null,
            "signatureSignedInvalidReason": null,
            "signedStatus": "unsigned",
            "siteName": "example.com",
            "trueContext": "c98a4557-94b5-da31-5074-fe6360f17228",
            "user": "unknown",
            "verifiedStatus": null
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 632
    }
}

Messages de sortie

L'action Obtenir les événements pour les heures de point de terminaison peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved information about the events for the following endpoints: ENDPOINT_ID. Action wasn't able to find any events for the following endpoints: ENDPOINT_ID. No information events for the provided endpoints.	L'action a réussi.
Error executing action "Get Events for Endpoint Hours Back". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Get Events for Endpoint Hours Back (Obtenir les événements pour le point de terminaison des heures précédentes) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les détails du groupe

Utilisez l'action Obtenir les détails du groupe pour récupérer des informations détaillées sur les groupes fournis.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les détails du groupe nécessite les paramètres suivants :

Paramètre	Description
Group Names	Obligatoire. Noms des groupes pour lesquels récupérer les détails. Ce paramètre accepte plusieurs valeurs sous forme de liste d'éléments séparés par une virgule.

Sorties de l'action

L'action Obtenir les détails du groupe fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir les détails du groupe peut renvoyer le tableau suivant :

Nom de la table : Groupes SentinelOne

Colonnes d'un tableau :

• ID
• Nom
• Type
• Fonction RANK
• Créateur
• Date et heure de création

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Obtenir les détails du groupe :

[
    {
        "GROUP_NAME":"UNEDITABLE_VARIABLERESPONSE_DATA"
    }
]

Messages de sortie

L'action Obtenir les détails du groupe peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved information about the following groups in SentinelOne: GROUP_NAME. Action wasn't able to retrieve information about the following groups in SentinelOne: GROUP_NAME. No information about provided groups was found.	L'action a réussi.
Error executing action "Get Group Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get Group Details (Obtenir les détails du groupe) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir la réputation du hachage

(Obsolète) Utilisez l'action Obtenir la réputation du hachage pour récupérer des informations sur les hachages à partir de SentinelOne.

Cette action s'exécute sur l'entité Google SecOps Hash.

Entrées de l'action

L'action Obtenir la réputation du hachage nécessite les paramètres suivants :

Paramètre	Description
Reputation Threshold	Facultatif. Seuil de réputation pour marquer l'entité comme suspecte. Si vous ne définissez pas de valeur, l'action ne marque aucune entité comme suspecte. La valeur maximale est 10. La valeur par défaut est 5.
Create Insight	Facultatif. Si cette option est sélectionnée, l'action crée un insight contenant des informations sur la réputation.
Only Suspicious Hashes Insight	Facultatif. Si cette option est sélectionnée, l'action ne crée un insight que pour les hachages dont la réputation est supérieure ou égale à la valeur Reputation Threshold.

Sorties de l'action

L'action Obtenir la réputation du hachage fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Disponible
Résultat JSON	Non disponible
Messages de sortie	Non disponible
Résultat du script	Disponible

Table d'enrichissement

L'action Obtenir la réputation du hachage peut enrichir les champs suivants :

Nom du champ d'enrichissement	Applicabilité
SENO_reputation	Renvoie si elle existe dans le résultat JSON.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get Hash Reputation :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir la liste des processus pour le point de terminaison (obsolète)

Obsolète : cette action est obsolète. Utilisez plutôt l'action Get Application List For Endpoint.

Obtenir les agents de site

Utilisez l'action Obtenir les agents du site pour récupérer les informations associées à un site spécifique dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les agents du site nécessite les paramètres suivants :

Paramètre	Description
Site Name	Obligatoire. ID de l'alerte à renvoyer.
Max Agents To Return	Obligatoire. Nombre maximal d'agents à renvoyer. La valeur maximale est 1000. La valeur par défaut est 100.

Sorties de l'action

L'action Obtenir les agents du site fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get Site Agents (Obtenir les agents du site) :

[
    {
        "accountId": "0000000000000000000",
        "accountName": "Customer_Company_Name",
        "activeDirectory": {
            "computerDistinguishedName": null,
            "computerMemberOf": [],
            "lastUserDistinguishedName": null,
            "lastUserMemberOf": [],
            "userPrincipalName": null
        },
        "activeProtection": [
            "edr"
        ],
        "activeThreats": 27,
        "agentVersion": "XX.X.X.X",
        "allowRemoteShell": true,
        "appsVulnerabilityStatus": "not_applicable",
        "cloudProviders": {
            "Google Cloud": {
                "cloudAccount": "customer-edr-agents-yyyy",
                "cloudImage": "debian-image-name-vYYYYMMDD",
                "cloudInstanceId": "0000000000000000000",
                "cloudInstanceSize": "e2-medium",
                "cloudLocation": "us-region-x",
                "cloudNetwork": "private-network-name",
                "cloudTags": [
                    "corelight-ingress",
                    "Endpoint does not have sufficient permissions to fetch labels"
                ],
                "gcpServiceAccount": "[e-mail]"
            }
        },
        "computerName": "virtual-machine-name-1",
        "consoleMigrationStatus": "N/A",
        "containerizedWorkloadCounts": null,
        "coreCount": 2,
        "cpuCount": 1,
        "cpuId": "Intel(R) Xeon(R) CPU @ X.XGHz",
        "createdAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "detectionState": null,
        "domain": "us-region-x.c.customer-edr-agents-yyyy.internal",
        "encryptedApplications": false,
        "externalId": "",
        "externalIp": "000.000.000.000",
        "firewallEnabled": false,
        "firstFullModeTime": null,
        "fullDiskScanLastUpdatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "groupId": "0000000000000000000",
        "groupIp": "000.000.000.0",
        "groupName": "Default Group",
        "hasContainerizedWorkload": false,
        "id": "0000000000000000000",
        "inRemoteShellSession": false,
        "infected": true,
        "installerType": ".deb",
        "isActive": true,
        "isAdConnector": false,
        "isDecommissioned": false,
        "isHyperAutomate": null,
        "isPendingUninstall": false,
        "isUninstalled": false,
        "isUpToDate": true,
        "lastActiveDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "lastIpToMgmt": "000.000.000.000",
        "lastLoggedInUserName": "",
        "lastSuccessfulScanDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "licenseKey": "",
        "locationEnabled": false,
        "locationType": "not_supported",
        "locations": null,
        "machineSid": null,
        "machineType": "server",
        "missingPermissions": [],
        "mitigationMode": "detect",
        "mitigationModeSuspicious": "detect",
        "modelName": "Google Google Compute Engine",
        "networkInterfaces": [
            {
                "gatewayIp": "000.000.000.000",
                "gatewayMacAddress": "XX:XX:XX:XX:XX:XX",
                "id": "0000000000000000000",
                "inet": [
                    "000.000.000.000"
                ],
                "inet6": [
                    "fe80::0000:0000:0000:0"
                ],
                "name": "ens4",
                "physical": "XX:XX:XX:XX:XX:XX"
            },
            {
                "gatewayIp": null,
                "gatewayMacAddress": null,
                "id": "0000000000000000000",
                "inet": [
                    "172.17.0.1"
                ],
                "inet6": [],
                "name": "docker0",
                "physical": "XX:XX:XX:XX:XX:XX"
            }
        ],
        "networkQuarantineEnabled": false,
        "networkStatus": "connected",
        "operationalState": "na",
        "operationalStateExpiration": null,
        "osArch": "64 bit",
        "osName": "Linux",
        "osRevision": "Debian GNU/11 (bullseye) X.X.X.X-cloud-amd64",
        "osStartTime": "YYYY-MM-DDTHH:MM:SSZ",
        "osType": "linux",
        "osUsername": "user",
        "proxyStates": null,
        "rangerStatus": "Disabled",
        "rangerVersion": null,
        "registeredAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "remoteProfilingState": "disabled",
        "remoteProfilingStateExpiration": null,
        "scanAbortedAt": null,
        "scanFinishedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStartedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStatus": "finished",
        "serialNumber": null,
        "showAlertIcon": false,
        "siteId": "0000000000000000000",
        "siteName": "SITE_NAME",
        "storageName": null,
        "storageType": null,
        "tags": {
            "sentinelone": [
                {
                    "assignedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
                    "assignedBy": "[e-mail]",
                    "assignedById": "0000000000000000000",
                    "id": "0000000000000000000",
                    "key": "MD_Containment_Allowlist",
                    "value": "No Value"
                }
            ]
        },
        "threatRebootRequired": false,
        "totalMemory": 3930,
        "updatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "userActionsNeeded": [],
        "uuid": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy"
    }
]

Messages de sortie

L'action Get Site Agents (Obtenir les agents du site) peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned information about the hosts from Site SITE_NAME in SentinelOne. No hosts are associated with Site SITE_NAME in SentinelOne.	L'action a réussi.
Error executing action "Get Site Agents". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Get Site Agents (Obtenir les agents du site) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir l'état du système

Utilisez l'action Obtenir l'état du système pour récupérer l'état d'un système.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Obtenir l'état du système fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Non disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get System Status (Obtenir l'état du système) :

{
    "system_status": {
        "data": {
            "health": "ok"
        }},
    "db_status": {
        "data": {
            "health": "ok"
        }},
    "cache_status": {
        "data": {
            "health": "ok"
        }
    }
}

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get System Status (Obtenir l'état du système) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir la version du système

Utilisez l'action Obtenir la version du système pour récupérer la version d'un système.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Obtenir la version du système fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Non disponible
Résultat du script	Disponible

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get System Version :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les menaces

Utilisez l'action Obtenir les menaces pour récupérer des informations sur les menaces dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les menaces nécessite les paramètres suivants :

Paramètre	Description
Mitigation Status	Facultatif. Liste d'états de menace séparés par une virgule. L'action ne renvoie que les menaces correspondant aux états configurés. Les valeurs possibles sont les suivantes : mitigated active blocked suspicious suspicious_resolved
Created until	Facultatif. Heure de fin des menaces, par exemple 2020-03-02T21:30:13.014874Z.
Created from	Facultatif. Heure de début des menaces, par exemple 2020-03-02T21:30:13.014874Z.
Resolved Threats	Facultatif. Si cette option est sélectionnée, l'action ne renvoie que les menaces résolues.
Threat Display Name	Facultatif. Nom à afficher de la menace à renvoyer.
Limit	Facultatif. Nombre de menaces à renvoyer. La valeur par défaut est 10.
API Version	Facultatif. Version de l'API à utiliser pour l'action. La version de l'API a un impact sur la structure des résultats JSON. Nous vous recommandons d'utiliser la dernière version de l'API compatible avec votre environnement. Important : La version 2.1 ou ultérieure est requise pour récupérer les données d'adresse IP privée et d'adresse IP interne (agentDetectionInfo_agentIpV4). La valeur par défaut est 2.0.

Sorties de l'action

L'action Obtenir les menaces fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Get Threats (Obtenir les menaces) :

{
            "accountId": "ACCOUNT_ID",
            "accountName": "ACCOUNT_NAME",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "192.0.2.176",
            "agentIsActive": false,
            "agentIsDecommissioned": false,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connected",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "838490132723152335",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "external_ticket_id": null,
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "THREAT_ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "0BB46E119EF0AE51",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": true,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": "sent"
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-07-07T17:19:48.260119Z",
            "username": "DESKTOP-example\\ddiserens",
            "whiteningOptions": []
}

Messages de sortie

L'action Obtenir les menaces peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved information about the available threats in SentinelOne. No information about threats was found based on the provided criteria.	L'action a réussi.
Error executing action "Get Threats". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get Threats (Obtenir les menaces) :

Nom du résultat du script	Valeur
is_success	True ou False

Lancer une requête Deep Visibility

Utilisez l'action Lancer une requête Deep Visibility pour lancer une recherche de requête Deep Visibility.

Cette action renvoie la valeur de l'ID de requête requise par l'action Obtenir le résultat de la requête Deep Visibility.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Lancer une requête Deep Visibility nécessite les paramètres suivants :

Paramètre	Description
Query	Obligatoire. Requête de recherche. Pour en savoir plus sur la syntaxe des requêtes, consultez l'antisèche SentinelOne Deep Visibility.
Start Date	Facultatif. Date de début de la recherche. Si vous ne définissez pas de valeur, l'action récupère par défaut les événements des 30 derniers jours.
End Date	Facultatif. Date de fin de la recherche. Si vous ne définissez pas de valeur, l'action utilise l'heure actuelle.

Sorties de l'action

L'action Lancer une requête Deep Visibility fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Lancer une requête Deep Visibility :

[
    {
        "query_id": "QUERY_ID"
    }
]

Messages de sortie

L'action Lancer une requête Deep Visibility peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully created a Deep Visibility query. Query ID: QUERY_ID. Failed to create a Deep Visibility query.	L'action a réussi.
Error executing action "Initiate Deep Visibility Query". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Lancer une requête Deep Visibility :

Nom du résultat du script	Valeur
is_success	True ou False

Lancer une analyse complète

Utilisez l'action Lancer une analyse complète pour lancer une analyse complète du disque sur un point de terminaison dans SentinelOne.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

Aucune.

Sorties de l'action

L'action Lancer une analyse complète fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Lancer une analyse complète peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully started the full disk scan on the following endpoints in SentinelOne: ENTITY_ID. Action wasn't able to start a full disk scan on the following endpoints in SentinelOne: ENTITY_ID. No full disk scans were initiated.	L'action a réussi.
Error executing action "Initiate Full Scan". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Lancer une analyse complète :

Nom du résultat du script	Valeur
is_success	True ou False

Lister les sites

Utilisez l'action Lister les sites pour lister les sites disponibles dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Lister les sites nécessite les paramètres suivants :

Paramètre	Description
Filter Key	Facultatif. Clé permettant de filtrer les sites. Les valeurs possibles sont les suivantes : Select One Name ID La valeur par défaut est Select One.
Filter Logic	Facultatif. Logique de filtre à appliquer. La logique de filtre utilise la valeur définie dans le paramètre Filter Key. Les valeurs possibles sont les suivantes : Not Specified Equal Contains La valeur par défaut est Not Specified.
Filter Value	Facultatif. Valeur à utiliser dans le filtre. La logique de filtre utilise la valeur définie dans le paramètre Filter Key. Si vous sélectionnez Equal dans le paramètre Filter Logic, l'action recherche la correspondance exacte parmi les résultats. Si vous sélectionnez Contains dans le paramètre Filter Logic, l'action recherche les résultats contenant la sous-chaîne spécifiée. Si vous ne définissez pas de valeur, l'action ignore le filtre.
Max Records To Return	Facultatif. Nombre d'enregistrements à renvoyer. La valeur par défaut est 50.

Sorties de l'action

L'action Lister les sites fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Lister les sites peut renvoyer le tableau suivant :

Nom du tableau : Sites disponibles

Colonnes d'un tableau :

• Nom
• ID
• Créateur
• Expiration
• Type
• État

Messages de sortie

L'action Répertorier les sites peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found sites for the provided criteria in SentinelOne. No sites were found for the provided criteria in SentinelOne. The filter was not applied, because parameter "Filter Value" has an empty value.	L'action a réussi.
Error executing action "List Sites". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Lister les sites :

Nom du résultat du script	Valeur
is_success	True ou False

Marquer comme menace

Utilisez l'action Marquer comme menace pour marquer les menaces suspectes comme de vraies menaces positives dans SentinelOne.

Pour marquer des menaces dans SentinelOne, vous devez disposer de l'un des rôles suivants :

• Admin
• IR Team
• SOC

Vous ne pouvez marquer comme menaces que les détections suspectes.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Marquer comme menace nécessite les paramètres suivants :

Paramètre	Description
Threat IDs	Obligatoire. Liste d'ID de détection à marquer comme menaces, séparés par une virgule.

Sorties de l'action

L'action Marquer comme menace fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Marquer comme menace :

[
    {
        "ID": "DETECTION_ID",
        "marked_as_threat": "true"
    }
]

Messages de sortie

L'action Marquer comme menace peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully marked the following threats in SentinelOne: THREAT_ID. Action wasn't able to mark the following threats in SentinelOne: THREAT_ID. No threats were marked.	L'action a réussi.
Error executing action "Mark as Threat". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Marquer comme menace :

Nom du résultat du script	Valeur
is_success	True ou False

Atténuer la menace

Utilisez l'action Atténuer la menace pour exécuter des actions d'atténuation sur les menaces dans SentinelOne.

Pour atténuer les menaces dans SentinelOne, vous devez disposer de l'un des rôles suivants :

• Admin
• IR Team
• SOC

Le rollback ne s'applique qu'à Windows. La correction des menaces ne s'applique qu'à macOS et Windows.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Atténuer la menace nécessite les paramètres suivants :

Paramètre	Description
Mitigation action	Obligatoire. Une action de correction pour les menaces détectées. Les valeurs possibles sont les suivantes : quarantine kill un-quarantine remediate rollback-remediate La valeur par défaut est quarantine.
Threat IDs	Obligatoire. Liste d'ID de menaces à corriger, séparés par des virgules.

Sorties de l'action

L'action Atténuer la menace fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Atténuer la menace :

[
        {
            "mitigated": true,
            "mitigation_action": "quarantine",
            "Threat_ID": "THREAT_ID"
        }
]

Messages de sortie

L'action Atténuer la menace peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully mitigated the following threats in SentinelOne: THREAT_ID. Action wasn't able to mitigate the following threats in SentinelOne: THREAT_ID. No threats were mitigated.	L'action a réussi.
Error executing action "Mitigate Threat". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Atténuer la menace :

Nom du résultat du script	Valeur
is_success	True ou False

Déplacer des agents

Utilisez l'action Déplacer les agents pour déplacer les agents vers le groupe fourni à partir du même site.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

L'action Move Agents (Déplacer des agents) nécessite les paramètres suivants :

Paramètre	Description
Group ID	Facultatif. ID du groupe vers lequel déplacer les agents.
Group Name	Facultatif. Nom du groupe vers lequel déplacer les agents. Si vous configurez à la fois le paramètre Group ID et les paramètres Group Name, l'action donne la priorité au paramètre Group ID.

Sorties de l'action

L'action Déplacer des agents fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Déplacer des agents peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully moved the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. Action wasn't able to move the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. No endpoints were moved to the group ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne.	L'action a réussi.
Error executing action "Move Agents". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Déplacer des agents :

Nom du résultat du script	Valeur
is_success	True ou False

Ping

Utilisez l'action Ping pour tester la connectivité.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Non disponible
Résultat du script	Disponible

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Ping :

Nom du résultat du script	Valeur
is_success	True ou False

Reconnecter l'agent au réseau

Utilisez l'action Reconnecter l'agent au réseau pour reconnecter un point de terminaison déconnecté à un réseau.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Hostname

Entrées de l'action

Aucune.

Sorties de l'action

L'action Reconnecter l'agent au réseau fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Non disponible
Résultat du script	Disponible

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Reconnecter l'agent au réseau :

Nom du résultat du script	Valeur
is_success	True ou False

Résoudre la menace

Utilisez l'action Résoudre la menace pour résoudre les menaces dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Résoudre la menace nécessite les paramètres suivants :

Paramètre	Description
Threat IDs	Obligatoire. Liste d'ID de menaces à résoudre, séparés par des virgules.
Annotation	Facultatif. Justification de la résolution de la menace.

Sorties de l'action

L'action Résoudre la menace fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Résoudre la menace :

[
    {
        "resolved": false,
        "Threat_ID": "THREAT_ID"
        }
]

Messages de sortie

L'action Résoudre la menace peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully resolved the following threats in SentinelOne: THREAT_ID. Action wasn't able to resolve the following threats in SentinelOne: THREAT_ID. No threats were resolved.	L'action a réussi.
Error executing action "Resolve Threat". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Résoudre la menace :

Nom du résultat du script	Valeur
is_success	True ou False

Mettre à jour l'alerte

Utilisez l'action Mettre à jour l'alerte pour mettre à jour l'alerte de la menace dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre à jour l'alerte nécessite les paramètres suivants :

Paramètre	Description
Alert ID	Obligatoire. ID de l'alerte à mettre à jour.
Status	Facultatif. État de l'alerte. Les valeurs possibles sont les suivantes : Unresolved In Progress Resolved
Verdict	Facultatif. Verdict de l'alerte. Les valeurs possibles sont les suivantes : True Positive False Positive Suspicious

Sorties de l'action

L'action Mettre à jour l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Mettre à jour l'alerte :

{
           "agentDetectionInfo": {
               "accountId": "1727154225040260868",
               "machineType": "server",
               "name": "windows-server-20230913",
               "osFamily": "windows",
               "osName": "Windows Server 2019 Datacenter",
               "osRevision": "17763",
               "siteId": "1727154229628829519",
               "uuid": "da943d26318e46a8b3f6fc480c02636d",
               "version": "23.1.2.400"
           },
           "agentRealtimeInfo": {
               "id": "1896661984701699721",
               "infected": true,
               "isActive": true,
               "isDecommissioned": false,
               "machineType": "server",
               "name": "windows-server-20230913",
               "os": "windows",
               "uuid": "da943d26318e46a8b3f6fc480c02636d"
           },
           "alertInfo": {
               "alertId": "1947486263439640318",
               "analystVerdict": "Undefined",
               "createdAt": "2024-05-11T00:27:23.135000Z",
               "dnsRequest": null,
               "dnsResponse": null,
               "dstIp": null,
               "dstPort": null,
               "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
               "eventType": "REGVALUEMODIFIED",
               "hitType": "Events",
               "incidentStatus": "Unresolved",
               "indicatorCategory": null,
               "indicatorDescription": null,
               "indicatorName": null,
               "isEdr": true,
               "loginAccountDomain": null,
               "loginAccountSid": null,
               "loginIsAdministratorEquivalent": null,
               "loginIsSuccessful": null,
               "loginType": null,
               "loginsUserName": null,
               "modulePath": null,
               "moduleSha1": null,
               "netEventDirection": null,
               "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryOldValue": "0060030100000000",
               "registryOldValueType": "BINARY",
               "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryValue": "0070030100000000",
               "reportedAt": "2024-05-11T00:27:33.873767Z",
               "source": "STAR",
               "srcIp": null,
               "srcMachineIp": null,
               "srcPort": null,
               "tiIndicatorComparisonMethod": null,
               "tiIndicatorSource": null,
               "tiIndicatorType": null,
               "tiIndicatorValue": null,
               "updatedAt": "2025-05-12T18:41:08.366615Z"
           },
           "containerInfo": {
               "id": null,
               "image": null,
               "labels": null,
               "name": null
           },
           "kubernetesInfo": {
               "cluster": null,
               "controllerKind": null,
               "controllerLabels": null,
               "controllerName": null,
               "namespace": null,
               "namespaceLabels": null,
               "node": null,
               "pod": null,
               "podLabels": null
           },
           "ruleInfo": {
               "description": null,
               "id": "1763599692710649014",
               "name": "Registry Value Modified",
               "queryLang": "1.0",
               "queryType": "events",
               "s1ql": "EventType = \"Registry Value Modified\"",
               "scopeLevel": "account",
               "severity": "Critical",
               "treatAsThreat": "UNDEFINED"
           },
           "sourceParentProcessInfo": {
               "commandline": "C:\\Windows\\system32\\services.exe",
               "effectiveUser": null,
               "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
               "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
               "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
               "filePath": "C:\\Windows\\System32\\services.exe",
               "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "services.exe",
               "pid": "896",
               "pidStarttime": "2024-04-26T17:33:41.962000Z",
               "realUser": null,
               "storyline": "DD880F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "DC880F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "sourceProcessInfo": {
               "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
               "effectiveUser": null,
               "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
               "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
               "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
               "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
               "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "cyserver.exe",
               "pid": "3204",
               "pidStarttime": "2024-04-26T17:34:17.273000Z",
               "realUser": null,
               "storyline": "74890F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "73890F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "targetProcessInfo": {
               "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
               "tgtFileHashSha1": null,
               "tgtFileHashSha256": null,
               "tgtFileId": null,
               "tgtFileIsSigned": "signed",
               "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
               "tgtFileOldPath": null,
               "tgtFilePath": null,
               "tgtProcCmdLine": null,
               "tgtProcImagePath": null,
               "tgtProcIntegrityLevel": "unknown",
               "tgtProcName": null,
               "tgtProcPid": null,
               "tgtProcSignedStatus": null,
               "tgtProcStorylineId": null,
               "tgtProcUid": null,
               "tgtProcessStartTime": "1970-01-01T00:00:00Z"
           }
       }

Messages de sortie

L'action Mettre à jour l'alerte peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated alert with ID ALERT_ID in SentinelOne.	L'action a réussi.
Error executing action "Update Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Mettre à jour l'alerte :

Nom du résultat du script	Valeur
is_success	True ou False

Mettre à jour le verdict de l'analyste

Utilisez l'action Mettre à jour le verdict de l'analyste pour mettre à jour le verdict de l'analyste concernant la menace dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre à jour le verdict de l'analyste nécessite les paramètres suivants :

Paramètre	Description
Threat ID	Obligatoire. Liste d'ID de menaces à mettre à jour pour le verdict de l'analyste, séparés par des virgules.
Analyst Verdict	Obligatoire. Verdict d'un analyste. Les valeurs possibles sont les suivantes : True Positive False Positive Suspicious Undefined La valeur par défaut est Undefined.

Sorties de l'action

L'action Mettre à jour le verdict de l'analyste fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Update Analyst Verdict peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the provided threats in SentinelOne.	L'action a réussi.
Error executing action "Update Analyst Verdict". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Mettre à jour le verdict de l'analyste :

Nom du résultat du script	Valeur
is_success	True ou False

Mettre à jour la règle de contrôle des appareils

Utilisez l'action Mettre à jour la règle de contrôle des appareils pour mettre à jour une règle de contrôle des appareils dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre à jour la règle de contrôle de l'appareil nécessite les paramètres suivants :

Paramètre	Description
Rule ID	Obligatoire. ID de la règle à mettre à jour.
Rule JSON	Obligatoire. Objet JSON représentant la configuration de la règle de contrôle des appareils. La valeur par défaut est la suivante : { "ruleName": "String", "interface": "String", "ruleType": "String", "action": "String", "accessPermission": "String", "deviceClass": "String", "status": "String" }

Sorties de l'action

L'action Mettre à jour la règle de contrôle de l'appareil fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Mettre à jour la règle de contrôle de l'appareil :

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}

Messages de sortie

L'action Mettre à jour la règle de contrôle de l'appareil peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated a Device Control Rule with ID DEVICE_CONTROL_ID in SentinelOne.	L'action a réussi.
Error executing action "Update Device Control Rule". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Mettre à jour la règle de contrôle des appareils :

Nom du résultat du script	Valeur
is_success	true ou false

Mettre à jour l'état de l'incident

Utilisez l'action Mettre à jour l'état de l'incident pour mettre à jour l'état de l'incident de menace dans SentinelOne.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre à jour l'état de l'incident nécessite les paramètres suivants :

Paramètre	Description
Threat ID	Obligatoire. Liste d'ID de menaces à mettre à jour pour l'état de l'incident, séparés par des virgules.
Status	Obligatoire. État d'un incident. Les valeurs possibles sont les suivantes : Unresolved In Progress Resolved La valeur par défaut est Resolved.

Sorties de l'action

L'action Mettre à jour l'état de l'incident fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre à jour l'état de l'incident peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the provided threats in SentinelOne.	L'action a réussi.
Error executing action "Update Incident Status". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Update Incident Status (Mettre à jour l'état de l'incident) :

Nom du résultat du script	Valeur
is_success	True ou False

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (par exemple, plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements distincts et uniques.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'élément unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

SentinelOne - Connecteur d'alertes

Utilisez le connecteur d'alertes SentinelOne pour ingérer les alertes de SentinelOne.

Le connecteur vous permet de filtrer les alertes à l'aide d'une liste dynamique basée sur le paramètre ruleInfo.name. Le comportement de cette liste dépend du paramètre Use dynamic list as a blocklist.

• Si vous ne sélectionnez pas Use dynamic list as a blocklist :

  La liste dynamique fonctionne comme une liste d'autorisation. Le connecteur n'ingère que les alertes dont le champ ruleInfo.name correspond à une valeur de la liste. Si la liste est vide, aucune alerte n'est ingérée.

• Si vous sélectionnez Use dynamic list as a blocklist :

  La liste dynamique fonctionne comme une liste de blocage. Le connecteur ingère toutes les alertes, à l'exception de celles dont le champ ruleInfo.name correspond à une valeur de la liste. Si la liste est vide, toutes les alertes sont ingérées.

Paramètres du connecteur

Le connecteur SentinelOne - Alerts nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est ruleInfo_name.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut. La valeur par défaut est .*.
PythonProcessTimeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API de l'instance SentinelOne.
API Token	Obligatoire. Jeton d'API SentinelOne.
Status Filter	Facultatif. Liste d'états d'alerte à ingérer, séparés par une virgule. Les valeurs possibles sont les suivantes : Unresolved In Progress Resolved Si aucune valeur n'est fournie, le connecteur récupère les alertes dont l'état est Unresolved et In Progress.
Case Name Template	Facultatif. Modèle permettant de définir un nom de cas personnalisé. Le connecteur ajoute une clé custom_case_name à l'événement. Vous pouvez utiliser des espaces réservés au format FIELD_NAME, qui sont renseignés à partir des valeurs de chaîne du premier événement. Exemple : Phishing - EVENT_MAILBOX.
Alert Name Template	Facultatif. Modèle permettant de définir le nom de l'alerte. Vous pouvez utiliser des espaces réservés au format FIELD_NAME, qui sont renseignés à partir des valeurs de chaîne du premier événement. Exemple : Phishing - EVENT_MAILBOX. Si aucune valeur n'est fournie ou si le modèle n'est pas valide, le connecteur utilise un nom d'alerte par défaut.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des alertes à récupérer. Si vous ne configurez pas ce paramètre, le connecteur ingère les alertes de tous les niveaux de gravité. Les valeurs possibles sont les suivantes : Info Low Medium High Critical Si aucune valeur n'est fournie, tous les niveaux de gravité sont ingérés.
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'heure actuelle pour récupérer les alertes. La valeur par défaut est 24.
Max Alerts To Fetch	Obligatoire. Nombre maximal d'alertes à traiter à chaque itération du connecteur. La valeur maximale est 100. La valeur par défaut est 10.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. Non activé par défaut.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps. Non activé par défaut.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur SentinelOne. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Règles du connecteur

Le connecteur est compatible avec les proxys.

Structure d'une alerte

Le tableau suivant décrit le mappage des champs d'alerte SentinelOne avec les champs d'alerte Google SecOps :

Champ d'alerte Siemplify	Champ d'alerte SentinelOne (clé JSON de l'API)
SourceSystemName	Rempli par le framework.
TicketId	alertInfo.alertId
DisplayId	SentinelOne_Alert_{alertInfo.alertId}
Name	SentinelOne Alert: {ruleInfo.name}
Reason	ruleInfo.s1q1
Description	ruleInfo.description
DeviceVendor	Codé en dur : SentinelOne
DeviceProduct	Valeur de remplacement : Alerts
Priority	Mappé à partir de ruleInfo.severity
RuleGenerator	SentinelOne Alert: {ruleInfo.name}
SourceGroupingIdentifier	ruleInfo.name
Severity	Mappé à partir de ruleInfo.severity
Risk Score	Représentation par nombre entier de la gravité
StartTime	Convertie depuis alertInfo.createdAt
EndTime	Convertie depuis alertInfo.createdAt
Siemplify Alert - Extensions	N/A
Siemplify Alert - Attachments	N/A

Événements de connecteur

Voici un exemple d'événement de connecteur :

{
    "agentDetectionInfo": {
        "accountId": "1727154225040260868",
        "machineType": "server",
        "name": "windows-server-20230913",
        "osFamily": "windows",
        "osName": "Windows Server 2019 Datacenter",
        "osRevision": "17763",
        "siteId": "1727154229628829519",
        "uuid": "da943d26318e46a8b3f6fc480c02636d",
        "version": "23.1.2.400"
    },
    "agentRealtimeInfo": {
        "id": "1896661984701699721",
        "infected": true,
        "isActive": true,
        "isDecommissioned": false,
        "machineType": "server",
        "name": "windows-server-20230913",
        "os": "windows",
        "uuid": "da943d26318e46a8b3f6fc480c02636d"
    },
    "alertInfo": {
        "alertId": "1947486263439640318",
        "analystVerdict": "Undefined",
        "createdAt": "2024-05-11T00:27:23.135000Z",
        "dnsRequest": null,
        "dnsResponse": null,
        "dstIp": null,
        "dstPort": null,
        "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
        "eventType": "REGVALUEMODIFIED",
        "hitType": "Events",
        "incidentStatus": "Unresolved",
        "indicatorCategory": null,
        "indicatorDescription": null,
        "indicatorName": null,
        "isEdr": true,
        "loginAccountDomain": null,
        "loginAccountSid": null,
        "loginIsAdministratorEquivalent": null,
        "loginIsSuccessful": null,
        "loginType": null,
        "loginsUserName": null,
        "modulePath": null,
        "moduleSha1": null,
        "netEventDirection": null,
        "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryOldValue": "0060030100000000",
        "registryOldValueType": "BINARY",
        "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryValue": "0070030100000000",
        "reportedAt": "2024-05-11T00:27:33.873767Z",
        "source": "STAR",
        "srcIp": null,
        "srcMachineIp": null,
        "srcPort": null,
        "tiIndicatorComparisonMethod": null,
        "tiIndicatorSource": null,
        "tiIndicatorType": null,
        "tiIndicatorValue": null,
        "updatedAt": "2025-05-12T18:41:08.366615Z"
    },
    "containerInfo": {
        "id": null,
        "image": null,
        "labels": null,
        "name": null
    },
    "kubernetesInfo": {
        "cluster": null,
        "controllerKind": null,
        "controllerLabels": null,
        "controllerName": null,
        "namespace": null,
        "namespaceLabels": null,
        "node": null,
        "pod": null,
        "podLabels": null
    },
    "ruleInfo": {
        "description": null,
        "id": "1763599692710649014",
        "name": "Registry Value Modified",
        "queryLang": "1.0",
        "queryType": "events",
        "s1ql": "EventType = \"Registry Value Modified\"",
        "scopeLevel": "account",
        "severity": "Critical",
        "treatAsThreat": "UNDEFINED"
    },
    "sourceParentProcessInfo": {
        "commandline": "C:\\Windows\\system32\\services.exe",
        "effectiveUser": null,
        "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
        "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
        "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
        "filePath": "C:\\Windows\\System32\\services.exe",
        "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "services.exe",
        "pid": "896",
        "pidStarttime": "2024-04-26T17:33:41.962000Z",
        "realUser": null,
        "storyline": "DD880F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "DC880F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "sourceProcessInfo": {
        "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
        "effectiveUser": null,
        "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
        "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
        "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
        "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
        "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "cyserver.exe",
        "pid": "3204",
        "pidStarttime": "2024-04-26T17:34:17.273000Z",
        "realUser": null,
        "storyline": "74890F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "73890F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "targetProcessInfo": {
        "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
        "tgtFileHashSha1": null,
        "tgtFileHashSha256": null,
        "tgtFileId": null,
        "tgtFileIsSigned": "signed",
        "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
        "tgtFileOldPath": null,
        "tgtFilePath": null,
        "tgtProcCmdLine": null,
        "tgtProcImagePath": null,
        "tgtProcIntegrityLevel": "unknown",
        "tgtProcName": null,
        "tgtProcPid": null,
        "tgtProcSignedStatus": null,
        "tgtProcStorylineId": null,
        "tgtProcUid": null,
        "tgtProcessStartTime": "1970-01-01T00:00:00Z"
    }
}

SentinelOne - Connecteur de menaces

Utilisez le connecteur SentinelOne – Threats pour ingérer les menaces de SentinelOne.

Le connecteur vous permet de filtrer les alertes en fonction de listes dynamiques.

Le connecteur SentinelOne - Threats filtre les alertes à l'aide du paramètre alert_name.

Si vous sélectionnez le paramètre Use whitelist as a blacklist, le connecteur n'ingère que les alertes dont le alert_name ne correspond à aucune valeur de la liste dynamique.

Si vous ne configurez pas de valeurs alert_name dans la liste dynamique, le connecteur ingère toutes les alertes.

Si vous ne sélectionnez pas le paramètre Use whitelist as a blacklist, le connecteur n'ingère que les alertes dont le alert_name correspond à une valeur de la liste dynamique.

Entrées du connecteur

Le connecteur SentinelOne - Threats nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut siemplify_event est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est siemplify_event.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est threatinfo_classification.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut.
Script Timeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API SentinelOne. La valeur par défaut est https://usea1-partners.sentinelone.net/.
API Token	Obligatoire. Jeton d'API SentinelOne.
API Version	Facultatif. Version de l'API SentinelOne que le connecteur doit utiliser. Important : La version 2.1 ou ultérieure est requise pour ingérer des adresses IP privées et internes (agentDetectionInfo_agentIpV4). La version 2.0 ne récupère que les adresses IP publiques. La valeur par défaut est 2.0.
Fetch Max Days Backwards	Facultatif. Nombre de jours avant la date actuelle pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après sa première activation, ou à la valeur de remplacement d'un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Alerts Per Cycle	Facultatif. Nombre maximal d'alertes à traiter à chaque itération du connecteur. La valeur par défaut est 25.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps. Non sélectionné par défaut.
Use whitelist as a blacklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. Non sélectionné par défaut.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur SentinelOne. Cette option sera sélectionnée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.
Event Object Type Filter	Facultatif. Liste d'objets d'événement à renvoyer avec les informations sur les menaces, séparés par une virgule. Le connecteur utilise ce paramètre comme filtre pour ne renvoyer que certains objets, tels que process, ip, indicators. Si vous ne définissez pas de valeur, le connecteur ingère tous les types d'objets d'événement.
Event Type Filter	Facultatif. Liste de types d'événements à renvoyer avec les informations sur les menaces, séparés par une virgule. Le connecteur utilise ce paramètre comme filtre pour ne renvoyer que certains types d'événements, tels que Process Creation, Behavioral Indicators.
Max Events To Return	Facultatif. Nombre d'événements à renvoyer pour chaque menace. La valeur maximale est 199. La valeur par défaut est 199.

Règles du connecteur

Le connecteur est compatible avec les proxys.

Le connecteur est compatible avec les listes d'autorisation et de blocage.

Événements de connecteur

Voici un exemple d'événement de connecteur :

{
    "data": [
        {
            "accountId": "ACCOUNT_ID",
            "accountName": "SentinelOne",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "203.0.113.180",
            "agentIsActive": false,
            "agentIsDecommissioned": true,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connecting",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "annotationUrl": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "COLLECTION_ID",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "MALICED_GROUP_ID",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": false,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": null
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-04-02T14:51:21.901754Z",
            "username": "DESKTOP-example\\username",
            "whiteningOptions": [
                "hash"
            ]
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 161
    }
}

Jobs

Pour en savoir plus sur les jobs, consultez Configurer un nouveau job et Planification avancée.

SentinelOneV2 – Synchroniser les alertes

Utilisez le job SentinelOneV2 - Sync Alerts pour synchroniser les états des alertes et les verdicts des analystes de manière bidirectionnelle entre Google SecOps et SentinelOne.

Exigences de l'emploi

Pour que le job identifie et synchronise les données correctes, les conditions suivantes doivent être remplies :

• La demande Google SecOps doit contenir le tag SentinelOne Alert.

• Si l'alerte ne provient pas du connecteur d'alertes SentinelOne, vous devez ajouter une valeur de contexte Alert_ID à l'alerte pour que le job identifie l'enregistrement SentinelOne approprié.

Logique opérationnelle

Le job effectue la synchronisation en deux étapes. D'abord de Google SecOps vers SentinelOne, puis de SentinelOne vers Google SecOps.

La logique suivante s'applique lors de la clôture de demandes dans SentinelOne :

• Si le motif de clôture de Google SecOps est Malicious, le verdict de SentinelOne est défini sur True Positive.

• Si le motif de clôture de Google SecOps est Not Malicious, le verdict de SentinelOne est défini sur False Positive.

• Pour tous les autres motifs de clôture, l'alerte est marquée comme Resolved dans SentinelOne sans qu'un verdict ne soit défini.

• Si une alerte SentinelOne est marquée comme undefined, la demande Google SecOps correspondante est clôturée avec le motif Inconclusive.

Paramètres du job

Le job SentinelOne V2 - Sync Alerts nécessite les paramètres suivants :

Paramètre	Description
Environment Name	Facultatif. Nom de l'environnement à partir duquel synchroniser les alertes. La valeur par défaut est Default Environment.
API Root	Obligatoire. Racine de l'API de l'instance SentinelOne.
API Token	Obligatoire. Jeton d'API utilisé pour l'authentification auprès de SentinelOne.
Max Hours Backwards	Obligatoire. Nombre d'heures précédant l'heure actuelle pour synchroniser les alertes lors de la première itération du job. La valeur par défaut est 24.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur SentinelOne. Cette option est activée par défaut.

SentinelOneV2 - Synchroniser les menaces

Utilisez le job SentinelOneV2 - Sync Threats pour synchroniser les commentaires et les états de manière bidirectionnelle entre les alertes Google SecOps et les menaces SentinelOne.

Exigences de l'emploi

Pour que le job identifie et synchronise les données correctes, les conditions suivantes doivent être remplies :

• La demande Google SecOps doit contenir le tag SentinelOne Threat.

• Si l'alerte ne provient pas du connecteur SentinelOne - Threats, vous devez ajouter une valeur de contexte Threat_ID à l'alerte pour que le job identifie l'enregistrement SentinelOne approprié.

Logique opérationnelle

Le job synchronise les données en deux étapes. La première étape synchronise les données sur les menaces SentinelOne avec les alertes Google SecOps. La deuxième étape synchronise les données d'alerte Google SecOps avec les menaces SentinelOne.

Le job utilise Max Hours Backwards pour l'itération initiale. Pour toutes les requêtes ultérieures, le job utilise le start_time de la dernière alerte traitée.

Logique de synchronisation des commentaires

Le job utilise last_update_time pour filtrer les commentaires et éviter les entrées en double. Les commentaires synchronisés utilisent les structures suivantes :

• Envoyé par SentinelOne : SentinelOne {threat_id}: {comment}
• Envoyé depuis Google SecOps : Google SecOps {case_id}: {comment}

Mappage de l'état et de l'évaluation

Lorsqu'une alerte est clôturée dans Google SecOps, le job met à jour la menace SentinelOne en fonction du mappage suivant :

• Si le motif de fermeture est Malicious, l'état SentinelOne est défini sur Resolved et le verdict est défini sur True Positive.

• Si le motif de fermeture est Not Malicious, l'état SentinelOne est défini sur Resolved et le verdict est défini sur False Positive.

• Pour tous les autres motifs de fermeture, l'état SentinelOne est défini sur Resolved sans verdict.

Paramètres du job

Le job SentinelOneV2 - Sync Threats nécessite les paramètres suivants :

Paramètre	Description
Environment Name	Obligatoire. Nom de l'environnement dans lequel le job recherche des menaces. La valeur par défaut est Default Environment.
API Root	Obligatoire. Racine de l'API de l'instance SentinelOne.
API Token	Obligatoire. Jeton d'API utilisé pour l'authentification auprès de SentinelOne.
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'heure actuelle pour synchroniser les menaces lors de la première itération du job. La valeur par défaut est 24.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur SentinelOne. Cette option est activée par défaut.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.