Integra SentinelOne v2 con Google SecOps

Questo documento spiega come configurare e integrare SentinelOne v2 con Google Security Operations.

Questa integrazione supporta l'API SentinelOne versione 2.0 e successive.

Importante: nella piattaforma Google SecOps, l'integrazione per SentinelOne v2 è denominata SentinelOneV2.

Questa integrazione utilizza uno o più componenti open source. Puoi scaricare una copia compressa del codice sorgente completo di questa integrazione dal bucket Cloud Storage.

Casi d'uso

L'integrazione di SentinelOne può aiutarti a risolvere i seguenti casi d'uso:

1. Contenere gli endpoint infetti: utilizza le funzionalità di Google SecOps per isolare un host infetto e impedire il movimento laterale e l'esfiltrazione dei dati.

2. Recupera informazioni dettagliate sugli endpoint: utilizza le funzionalità di Google SecOps per arricchire i dati sugli incidenti con un'analisi approfondita degli host per un contesto e un processo decisionale migliori. Puoi eseguire automaticamente query su SentinelOne per ottenere informazioni dettagliate su un endpoint coinvolto in un avviso, tra cui la versione dell'agente, il sistema operativo e le interfacce di rete.

3. Avviare scansioni di Deep Visibility: utilizza le funzionalità di Google SecOps per cercare minacce e malware nascosti su macchine sospette e avviare una scansione completa del disco utilizzando SentinelOne quando viene rilevata un'attività sospetta, come modifiche insolite ai file o al registro.

4. Esamina le minacce con la threat intelligence: utilizza le funzionalità di Google SecOps per migliorare l'accuratezza correlando gli avvisi di SentinelOne con i dati di threat intelligence, inoltra hash, percorsi file o indirizzi IP sospetti trovati negli avvisi di SentinelOne alle piattaforme di threat intelligence.

5. Triage del malware: utilizza le funzionalità di Google SecOps per classificare automaticamente il malware con strumenti di analisi statica per una risposta agli incidenti semplificata. Puoi estrarre campioni dagli endpoint infetti, attivare l'analisi all'interno del tuo ambiente e ricevere la classificazione del malware in base all'analisi statica.

Prima di iniziare

Per autenticare la connessione tra Google SecOps e la tua istanza SentinelOne, devi fornire un token API SentinelOne valido.

Puoi generare un token API personale nella console di gestione di SentinelOne.

Per istruzioni dettagliate sulla generazione e sulla gestione dei token, vai al portale clienti SentinelOne.

Parametri di integrazione

L'integrazione di SentinelOne v2 richiede i seguenti parametri:

Parametro	Descrizione
API root	Obbligatorio. La radice dell'API SentinelOne. Il valore predefinito è https://{server}.SentinelOne.net/.
API Token	Obbligatorio. Il token API SentinelOne. Per scoprire di più su come generare il token API per l'integrazione, consulta Prima di iniziare. La policy di sicurezza di SentinelOne richiede la creazione di un nuovo token API ogni sei mesi.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Sentinel. Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Aggiungi nota sulla minaccia

Utilizza l'azione Aggiungi nota sulla minaccia per aggiungere una nota alla minaccia in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiungi nota sulla minaccia richiede i seguenti parametri:

Parametro	Descrizione
Threat ID	Obbligatorio. L'ID della minaccia a cui aggiungere una nota.
Note	Obbligatorio. Una nota da aggiungere alla minaccia.

Output azione

L'azione Aggiungi nota sulla minaccia fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Aggiungi nota sulla minaccia può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully added note to the threat THREAT_ID in SentinelOne. Action wasn't able to add a note to the threat THREAT_ID in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Add Threat Note". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Aggiungi nota sulla minaccia:

Nome del risultato dello script	Valore
is_success	True o False

Crea regola di controllo dei dispositivi

Utilizza l'azione Crea regola di controllo dei dispositivi per creare una regola di controllo dei dispositivi in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Crea regola di controllo dei dispositivi richiede i seguenti parametri:

Parametro	Descrizione
Rule JSON	Obbligatorio. L'oggetto JSON che rappresenta la configurazione della regola di controllo del dispositivo. Il valore predefinito è il seguente: { "ruleName": "String", "interface": "String", "ruleType": "String", "action": "String", "accessPermission": "String", "deviceClass": "String", "status": "String" }
Scope JSON	Obbligatorio. L'oggetto JSON che rappresenta la configurazione della regola di ambito. Il valore predefinito è il seguente: { "accountIds": "String", "groupIds": "String", "siteIds": "String" }

Output azione

L'azione Crea regola di controllo dei dispositivi fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra i risultati JSON ricevuti quando utilizzi l'azione Crea regola di controllo dei dispositivi:

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}

Messaggi di output

L'azione Crea regola di controllo dei dispositivi può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully created a Device Control Rule in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Create Device Control Rule". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Crea regola di controllo del dispositivo:

Nome del risultato dello script	Valore
is_success	true o false

Crea record lista nera hash

Utilizza l'azione Create Hash Black List Record per aggiungere hash a una lista bloccata in SentinelOne.

Questa azione supporta solo gli hash SHA-1.

Questa azione viene eseguita sull'entità Google SecOps Hash.

Input azione

L'azione Create Hash Black List Record (Crea record di lista bloccata di hash) richiede i seguenti parametri:

Parametro	Descrizione
Operating System	Obbligatorio. Un sistema operativo per l'hash. I valori possibili sono: windows windows_legacy macos linux Il valore predefinito è windows.
Site IDs	Facoltativo. Un elenco separato da virgole di ID sito da inviare alla lista bloccata.
Group IDs	Facoltativo. Un elenco separato da virgole di ID gruppo da inviare alla blocklist.
Account IDs	Facoltativo. Un elenco separato da virgole di ID account da inviare alla lista bloccata.
Description	Facoltativo. Informazioni aggiuntive relative a un hash. Il valore predefinito è "".
Add to global blocklist	Obbligatorio. Se selezionata, l'azione aggiunge un hash a una lista bloccata globale. Se selezioni questo parametro, l'azione ignora i parametri Site IDs, Group IDs e Account IDs.

Output azione

L'azione Create Hash Black List Record (Crea record di lista nera di hash) fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Crea record lista bloccata hash:

[
    {
        "Entity": "ENTITY_ID",
        "EntityResult": [{
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.678280Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.678690Z"
        }, {
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group 2",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.683858Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.684677Z"
        }]
    }
]

Messaggi di output

L'azione Create Hash Black List Record può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully added the following hashes to the blocklist in SentinelOne: ENTITY_ID. The following hashes were already a part of blocklist in SentinelOne: ENTITY_ID. Action wasn't able to add the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were added to the blocklist in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Create Hash Black List Record". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Crea record della lista bloccata di hash:

Nome del risultato dello script	Valore
is_success	True o False

Crea record di esclusione hash

Utilizza l'azione Crea record di esclusione hash per aggiungere un hash all'elenco di esclusione in SentinelOne.

Questa azione supporta solo gli hash SHA-1.

Questa azione viene eseguita sull'entità Google SecOps Hash.

Input azione

L'azione Crea record di esclusione hash richiede i seguenti parametri:

Parametro	Descrizione
Operation System	Obbligatorio. Un sistema operativo (OS) per l'hash. I valori possibili sono: windows windows_legacy macos linux Il valore predefinito è windows.
Site IDs	Facoltativo. Un elenco separato da virgole di ID sito per inviare l'hash all'elenco di esclusione. L'azione richiede almeno un valore valido.
Group IDs	Facoltativo. Un elenco separato da virgole di ID gruppo per inviare l'hash all'elenco di esclusione. L'azione richiede almeno un valore valido.
Account IDs	Facoltativo. Un elenco separato da virgole di ID account per inviare l'hash all'elenco di esclusione.
Description	Facoltativo. Informazioni aggiuntive relative all'hash.
Add to global exclusion list	Facoltativo. Se selezionata, l'azione aggiunge un hash all'elenco di esclusione globale. Se selezioni questo parametro, l'azione ignora i parametri Site IDs, Group IDs e Account IDs.

Output azione

L'azione Crea record di esclusione hash fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Crea record di esclusione hash:

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Messaggi di output

L'azione Crea record di esclusione hash può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully added the following hashes to the exclusion list in SentinelOne: HASH_ID The following hashes were already a part of exclusion list in SentinelOne: HASH_ID Action wasn't able to add the following hashes to the exclusion list in SentinelOne: HASH_ID No hashes were added to the exclusion list in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Create Hash Exclusion Record". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Crea record di esclusione hash:

Nome del risultato dello script	Valore
is_success	True o False

Crea record di esclusione del percorso

Utilizza l'azione Crea record di esclusione percorso per aggiungere un percorso all'elenco di esclusione in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Crea record di esclusione percorso richiede i seguenti parametri:

Il valore predefinito è Suppress Alerts.

Parametro	Descrizione
Path	Obbligatorio. Un percorso da aggiungere all'elenco di esclusione.
Operation System	Obbligatorio. Un sistema operativo (OS) per l'hash. I valori possibili sono: windows windows_legacy macos linux Il valore predefinito è windows.
Site IDs	Facoltativo. Un elenco separato da virgole di ID sito per inviare l'hash all'elenco di esclusione. L'azione richiede almeno un valore valido.
Group IDs	Facoltativo. Un elenco separato da virgole di ID gruppo per inviare l'hash all'elenco di esclusione. L'azione richiede almeno un valore valido.
Account IDs	Facoltativo. Un elenco separato da virgole di ID account per inviare l'hash all'elenco di esclusione.
Description	Facoltativo. Informazioni aggiuntive relative all'hash.
Add to global exclusion list	Facoltativo. Se selezionata, l'azione aggiunge un hash all'elenco di esclusione globale. Se selezioni questo parametro, l'azione ignora i parametri Site IDs, Group IDs e Account IDs.
Include Subfolders	Facoltativo. Se selezionata, l'azione include le sottocartelle per il percorso fornito. Questo parametro si applica solo se configuri un percorso della cartella nel parametro Path.
Mode	Facoltativo. Una modalità da utilizzare per il percorso escluso. I valori possibili sono: Suppress Alerts Interoperability Interoperability - Extended Performance Focus Performance Focus - Extended

Output azione

L'azione Crea record di esclusione percorso fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Crea record di esclusione percorso:

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]

Messaggi di output

L'azione Crea record di esclusione percorso può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully added the following path to the exclusion list in SentinelOne: PATH The following paths were already a part of exclusion list in SentinelOne: PATH_LIST Action wasn't able to add the following paths to the exclusion list in SentinelOne: PATH No paths were added to the exclusion list in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Create Path Exclusion Record". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Crea record di esclusione percorso:

Nome del risultato dello script	Valore
is_success	True o False

Elimina regola di controllo dei dispositivi

Utilizza l'azione Elimina regola di controllo dei dispositivi per eliminare una regola di controllo dei dispositivi in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Elimina regola di controllo dei dispositivi richiede i seguenti parametri:

Parametro	Descrizione
Rule ID	Obbligatorio. L'ID della regola da eliminare.
Scope Type	Facoltativo. Il livello organizzativo in cui l'avviso è visibile o applicabile. I valori possibili sono: Account Site Group Il valore predefinito è Account.
Scope ID	Obbligatorio. L'ID dell'ambito.

Output azione

L'azione Elimina regola di controllo dei dispositivi fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Elimina regola di controllo dei dispositivi può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully deleted a Device Control Rule with ID RULE_DEVICE_ID in SentinelOne. Rule RULE_DEVICE_ID wasn't found in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Delete Device Control Rule". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Elimina regola di controllo del dispositivo:

Nome del risultato dello script	Valore
is_success	true o false

Elimina record della lista bloccata di hash

Utilizza l'azione Elimina record della lista bloccata di hash per eliminare gli hash da una lista bloccata in SentinelOne.

Questa azione supporta solo gli hash SHA-1.

Questa azione viene eseguita sull'entità Google SecOps Hash.

Input azione

L'azione Delete Hash Blacklist Record richiede i seguenti parametri:

Parametro	Descrizione
Site IDs	Facoltativo. Un elenco separato da virgole di ID sito da cui rimuovere l'hash.
Group IDs	Facoltativo. Un elenco separato da virgole di ID gruppo per rimuovere l'hash.
Account IDs	Facoltativo. Un elenco separato da virgole di ID account da cui rimuovere l'hash.
Remove from global black list	Facoltativo. Se selezionata, l'azione rimuove l'hash dalla lista bloccata globale. Se selezioni questo parametro, l'azione ignora i parametri Site IDs, Group IDs e Account IDs.

Output azione

L'azione Delete Hash Blacklist Record fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Elimina record della lista bloccata di hash può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully removed the following hashes from the blocklist in SentinelOne: ENTITY_ID. The following hashes were not found in a blocklist in SentinelOne: ENTITY_ID. Action wasn't able to remove the following hashes to the blocklist in SentinelOne: ENTITY_ID. No hashes were removed from the blocklist in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Delete Hash Blacklist Record". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Delete Hash Blacklist Record:

Nome del risultato dello script	Valore
is_success	True o False

Scollega l'agente dalla rete

Utilizza l'azione Scollega l'agente dalla rete per scollegare un agente da una rete utilizzando il nome host o l'indirizzo IP dell'agente.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

Nessuno.

Output azione

L'azione Scollega l'agente dalla rete fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Non disponibile
Risultato dello script	Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Scollega l'agente dalla rete:

Nome del risultato dello script	Valore
is_success	True o False

Scarica file della minaccia

Utilizza l'azione Scarica file della minaccia per scaricare un file correlato a una minaccia in SentinelOne.

Per recuperare i file delle minacce in SentinelOne, devi disporre di uno dei seguenti ruoli:

• Admin
• IR Team
• SOC

Questa azione non viene eseguita sulle entità Google SecOps.

Limitazioni delle azioni

L'azione Scarica file della minaccia può raggiungere il timeout quando SentinelOne recupera un file, ma non fornisce un URL di download.

Per esaminare la causa del timeout, vai alla cronologia delle minacce.

Input azione

L'azione Scarica file della minaccia richiede i seguenti parametri:

Parametro	Descrizione
Threat ID	Obbligatorio. L'ID della minaccia per scaricare un file.
Password	Obbligatorio. Una password per la cartella compressa che contiene il file della minaccia. I requisiti per le password sono i seguenti: Deve contenere almeno 10 caratteri. Include lettere maiuscole, lettere minuscole, cifre e simboli speciali. La lunghezza massima della password è di 256 caratteri.
Download Folder Path	Obbligatorio. Il percorso di una cartella in cui archiviare il file della minaccia.
Overwrite	Obbligatorio. Se selezionata, l'azione sovrascrive un file con lo stesso nome. Non selezionato per impostazione predefinita.

Output azione

L'azione Scarica file della minaccia fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Scarica file di minaccia:

{
    "absolute_path": "ABSOLUTE_PATH"
}

Messaggi di output

L'azione Scarica file della minaccia può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully downloaded the file related to threat THREAT_ID in SentinelOne. Action wasn't able to download the file related to threat THREAT_ID. Reason: The action was able to initiate the downloading of the file, but SentinelOne didn't return a download URL. Waiting for the download link to appear in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Download Threat File". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Scarica file di minaccia:

Nome del risultato dello script	Valore
is_success	True o False

Endpoint di arricchimento

Utilizza l'azione Arricchisci endpoint per arricchire le informazioni sull'endpoint utilizzando l'indirizzo IP o il nome host.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

L'azione Arricchisci endpoint richiede i seguenti parametri:

Parametro	Descrizione
Create Insight	Facoltativo. Se selezionata, l'azione crea un insight con informazioni sugli endpoint.
Only Infected Endpoints Insights	Facoltativo. Se selezionata, l'azione crea insight solo per gli endpoint infetti.

Output azione

L'azione Enrich Endpoints fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Arricchisci endpoint:

{
    "accountId": "ACCOUNT_ID",
    "accountName": "SentinelOne",
    "activeDirectory": {
        "computerDistinguishedName": "CN=LP-EXAMPLE,CN=Computers,DC=EXAMPLE,DC=LOCAL",
        "computerMemberOf": [],
        "lastUserDistinguishedName": "CN=Example,OU=Users,OU=PS,OU=IL,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
        "lastUserMemberOf": [
            "CN=esx.cs,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Backup Operators,CN=Builtin,DC=EXAMPLE,DC=LOCAL",
            "CN=esx.product,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=EXAMPLE_Admins,OU=QA,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Local Admin,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=CSM,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Event Log Readers,CN=Builtin,DC=EXAMPLE,DC=LOCAL"
        ]
    },
    "activeThreats": 0,
    "agentVersion": "4.1.4.82",
    "allowRemoteShell": false,
    "appsVulnerabilityStatus": "patch_required",
    "computerName": "LP-EXAMPLE",
    "consoleMigrationStatus": "N/A",
    "coreCount": 8,
    "cpuCount": 8,
    "cpuId": "Intel(R) Core(TM) i7-8650U CPU @ 1.90GHz",
    "createdAt": "2020-05-31T07:22:14.695136Z",
    "domain": "EXAMPLE",
    "encryptedApplications": false,
    "externalId": "",
    "externalIp": "192.0.2.91",
    "groupId": "863712577864500060",
    "groupIp": "192.0.2.0",
    "groupName": "Test Group",
    "id": "ID",
    "inRemoteShellSession": false,
    "infected": false,
    "installerType": ".msi",
    "isActive": false,
    "isDecommissioned": false,
    "isPendingUninstall": false,
    "isUninstalled": false,
    "isUpToDate": true,
    "lastActiveDate": "2021-01-12T12:59:43.143066Z",
    "lastIpToMgmt": "192.0.2.20",
    "lastLoggedInUserName": "EXAMPLE",
    "licenseKey": "",
    "locationType": "fallback",
    "locations": [
        {
            "id": "ID",
            "name": "Fallback",
            "scope": "global"
        }
    ],
    "machineType": "laptop",
    "mitigationMode": "protect",
    "mitigationModeSuspicious": "protect",
    "modelName": "Dell Inc. - Latitude 7490",
    "networkInterfaces": [
        {
            "id": "ID",
            "inet": [
                "192.0.2.20"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2",
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "Wi-Fi",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "192.168.193.193"
            ],
            "inet6": [
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "vEthernet (Default Switch)",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "201.0.113.1"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2"
            ],
            "name": "vEthernet (DockerNAT)",
            "physical": "MAC_ADDRESS"
        }
    ],
    "networkStatus": "connecting",
    "osArch": "64 bit",
    "osName": "Windows 10 Pro",
    "osRevision": "18363",
    "osStartTime": "2021-01-03T15:38:32Z",
    "osType": "windows",
    "osUsername": null,
    "rangerStatus": "NotApplicable",
    "rangerVersion": null,
    "registeredAt": "2020-05-31T07:22:14.691561Z",
    "scanAbortedAt": null,
    "scanFinishedAt": "2020-05-31T09:28:53.867014Z",
    "scanStartedAt": "2020-05-31T07:25:37.814972Z",
    "scanStatus": "finished",
    "siteId": "SITE_ID",
    "siteName": "example.com",
    "threatRebootRequired": false,
    "totalMemory": 16263,
    "updatedAt": "2021-01-18T13:33:43.834618Z",
    "userActionsNeeded": [],
    "uuid": "UUID"
}

Messaggi di output

L'azione Arricchisci endpoint può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully retrieved information about the following endpoints from SentinelOne: ENTITY_ID Action wasn't able to retrieve information about the following endpoints from SentinelOne: ENTITY_ID No information was retrieved for provided entities.	L'azione è andata a buon fine.
Error executing action "Enrich Endpoints". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Arricchisci endpoint:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni lo stato dell'agente

Utilizza l'azione Recupera stato agente per recuperare informazioni sullo stato degli agenti sugli endpoint in base all'entità fornita.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

Nessuno.

Output azione

L'azione Get Agent Status fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera stato agente:

{
"status": "Not active"
}

Messaggi di output

L'azione Get Agent Status può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully retrieved information about agent status for the following endpoints: ENTITY_ID Action wasn't able to retrieve information about agent status for the following endpoints: ENTITY_ID No information about agent status was found for the provided endpoints.	L'azione è andata a buon fine.
Error executing action "Get Agent Status". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Get Agent Status:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni l'elenco delle applicazioni per l'endpoint

Utilizza l'azione Get Application List for Endpoint per recuperare informazioni sulle applicazioni disponibili su un endpoint utilizzando le entità fornite.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

L'azione Get Application List for Endpoint richiede i seguenti parametri:

Parametro	Descrizione
Max Applications To Return	Facoltativo. Il numero massimo di applicazioni da restituire. Se non imposti un numero, l'azione restituisce tutte le applicazioni disponibili.

Output azione

L'azione Get Application List for Endpoint fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera l'elenco di applicazioni per l'endpoint:

{
    "data": [
        {
            "installedDate": "2021-01-06T08:55:56.762000Z",
            "name": "Mozilla Firefox 84.0.1 (x64 en-US)",
            "publisher": "Mozilla",
            "size": 211562,
            "version": "84.0.1"
        }
    ]
}

Messaggi di output

L'azione Get Application List for Endpoint può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully retrieved available applications for the following endpoints: ENTITY_ID. Action wasn't able to retrieve available applications for the following endpoints: ENTITY_ID. No applications were retrieved for provided endpoints.	L'azione è andata a buon fine.
Error executing action "Get Application List for Endpoint". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Get Application List for Endpoint:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni lista bloccata

Utilizza l'azione Get Blacklist per ottenere un elenco di tutti gli elementi disponibili nella lista bloccata in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Get Blacklist richiede i seguenti parametri:

Parametro	Descrizione
Hash	Facoltativo. Un elenco separato da virgole di hash da controllare nella lista bloccata. L'azione restituisce solo gli hash trovati. Se imposti Hash, l'azione ignora il parametro Limit.
Site IDs	Facoltativo. Un elenco separato da virgole di ID sito per restituire gli elementi della lista di blocco.
Group IDs	Facoltativo. Un elenco separato da virgole di ID gruppo per restituire gli elementi della lista bloccata.
Account Ids	Facoltativo. Un elenco separato da virgole di ID account per restituire gli elementi della lista bloccata.
Limit	Facoltativo. Un numero di elementi della lista bloccata da restituire. Se imposti il parametro Hash, l'azione ignora questo parametro. Il valore massimo è 1000. Il valore predefinito è 50.
Query	Facoltativo. Una query per filtrare i risultati.
Use Global Blacklist	Facoltativo. Se selezionata, l'azione restituisce gli hash da una blocklist globale. Non selezionato per impostazione predefinita.

Output azione

L'azione Get Blacklist fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Tabella della bacheca casi

L'azione Get Blacklist può restituire la seguente tabella:

Nome tabella: Blocklist Hashes

Colonne della tabella:

• Hash
• Ambito
• Descrizione
• Sistema operativo
• Utente

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Get Blacklist:

[
    {
        "userName": "Example",
        "description": "test",
        "userId": "USER_ID",
        "scopeName": "Example.com",
        "value": "cf23df2207d99a74fbe169e3eba035e633bxxxxx",
        "source": "user",
        "updatedAt": "2020-02-27T15:02:54.686991Z",
        "osType": "windows",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "8353960925573xxxxx",
        "createdAt": "2020-02-27T15:02:54.687675Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "3395856ce81f2b7382dee72602f798b642fxxxxx",
        "source": "cloud",
        "updatedAt": "2020-03-18T14:42:02.730095Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-03-18T14:42:02.730449Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "df531d66173235167ac502b867f3cae2170xxxxx",
        "source": "cloud",
        "updatedAt": "2020-04-08T07:27:35.686775Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-04-08T07:27:35.687168Z"
    }
]

Messaggi di output

L'azione Get Blacklist può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully retrieved blocklisted hashes based on the provided filter criteria in SentinelOne. No blocklisted hashes were found for the provided criteria in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Get Blacklist". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Get Blacklist:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni il risultato della query di Deep Visibility

Utilizza l'azione Get Deep Visibility Query Result per recuperare informazioni sui risultati delle query di Deep Visibility.

Esegui questa azione in combinazione con l'azione Avvia query di visibilità approfondita.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Get Deep Visibility Query Result richiede i seguenti parametri:

Parametro	Descrizione
Query ID	Obbligatorio. L'ID della query per cui restituire i risultati. Il valore dell'ID è disponibile nel risultato JSON dell'azione Avvia query di visibilità approfondita come parametro query_id.
Limit	Facoltativo. Il numero di eventi da restituire. Il valore massimo è 100. Il valore predefinito è 50.

Output azione

L'azione Get Deep Visibility Query Result fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Tabella della bacheca casi

L'azione Get Deep Visibility Query Result può restituire la seguente tabella:

Nome della tabella: SentinelOne Events

Colonne della tabella:

• Tipo di evento
• Nome del sito
• Ora
• Sistema operativo dell'agente
• ID di processo
• UID del processo
• Nome del processo
• MD5
• SHA256

Messaggi di output

L'azione Get Deep Visibility Query Result può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully found events for query: QUERY_ID.	L'azione è andata a buon fine.
Error executing action "Get Deep Visibility Query Result". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Get Deep Visibility Query Result:

Nome del risultato dello script	Valore
is_success	True o False

Recupera gli eventi per l'endpoint per le ore precedenti

Utilizza l'azione Get Events for Endpoint Hours Back per recuperare informazioni sugli eventi più recenti su un endpoint.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

L'azione Get Events for Endpoint Hours Back richiede i seguenti parametri:

Parametro	Descrizione
Hours Back	Obbligatorio. Il numero di ore precedenti al momento attuale per recuperare gli eventi.
Events Amount Limit	Facoltativo. Il numero massimo di eventi da restituire per ogni tipo di evento. Il valore predefinito è 50.
Include File Events Information	Facoltativo. Se selezionata, l'azione esegue query sulle informazioni sugli eventi file.
Include Indicator Events Information	Facoltativo. Se selezionata, l'azione esegue query sulle informazioni sugli eventi indicator.
Include DNS Events Information	Facoltativo. Se selezionata, l'azione esegue query sulle informazioni sugli eventi DNS.
Include Network Actions Events Information	Facoltativo. Se selezionata, l'azione esegue query sulle informazioni relative agli eventi network actions.
Include URL Events Information	Facoltativo. Se selezionata, l'azione esegue query sulle informazioni sugli eventi URL.
Include Registry Events Information	Facoltativo. Se selezionata, l'azione esegue query sulle informazioni sugli eventi registry.
Include Scheduled Task Events Information	Facoltativo. Se selezionata, l'azione esegue query sulle informazioni sugli eventi scheduled task.

Output azione

L'azione Get Events for Endpoint Hours Back fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera eventi per endpoint ore precedenti:

{
    "data": [
        {
            "activeContentFileId": null,
            "activeContentHash": null,
            "activeContentPath": null,
            "activeContentSignedStatus": null,
            "activeContentType": null,
            "agentDomain": "",
            "agentGroupId": "GROUP_ID",
            "agentId": "ID",
            "agentInfected": false,
            "agentIp": "192.0.2.160",
            "agentIsActive": true,
            "agentIsDecommissioned": false,
            "agentMachineType": "server",
            "agentName": "ip-203-0-113-205",
            "agentNetworkStatus": "connected",
            "agentOs": "linux",
            "agentTimestamp": "2020-03-19T08:17:01.575Z",
            "agentUuid": "UUID",
            "agentVersion": "3.3.1.14",
            "attributes": [
                {
                    "display": "Created At",
                    "display_attribute": false,
                    "field_id": "agentTimestamp",
                    "priority": 3,
                    "queryable": false,
                    "section": "Main Attributes",
                    "value": "2020-03-19T08:17:01.575Z"
                },{
                    "display": "Site ID",
                    "display_attribute": false,
                    "field_id": "siteId",
                    "priority": 7,
                    "queryable": true,
                    "section": "Endpoint Info",
                    "value": null
                }
            ],
            "containerId": null,
            "containerImage": null,
            "containerLabels": null,
            "containerName": null,
            "createdAt": "2020-03-19T08:17:01.575000Z",
            "eventType": "Process Creation",
            "hasParent": true,
            "id": "ID",
            "k8sCluame": null,
            "k8sControllerLabels": null,
            "k8sControllerName": null,
            "k8sControllerType": null,
            "k8sNamespace": null,
            "k8sNamespaceLabels": null,
            "k8sNode": null,
            "k8sPodLabels": null,
            "k8sPodName": null,
            "md5": null,
            "objectType": "process",
            "parentPid": "32461",
            "parentProcessName": "dash",
            "parentProcessStartTime": "2020-03-19T08:17:01.785Z",
            "parentProcessUniqueKey": "KEY",
            "pid": "32462",
            "processCmd": " run-parts --report /etc/cron.hourly",
            "processDisplayName": null,
            "processGroupId": "GROUP_ID",
            "processImagePath": "/bin/run-parts",
            "processImageSha1Hash": "66df74a1f7cc3509c87d6a190ff90ac86caf440d",
            "processIntegrityLevel": "INTEGRITY_LEVEL_UNKNOWN",
            "processIsRedirectedCommandProcessor": "False",
            "processIsWow64": "False",
            "processName": "run-parts",
            "processRoot": "False",
            "processSessionId": "0",
            "processStartTime": "2020-03-19T08:17:01.787Z",
            "processSubSystem": "SUBSYSTEM_UNKNOWN",
            "processUniqueKey": "KEY",
            "publisher": null,
            "relatedToThreat": "False",
            "sha256": null,
            "signatureSignedInvalidReason": null,
            "signedStatus": "unsigned",
            "siteName": "example.com",
            "trueContext": "c98a4557-94b5-da31-5074-fe6360f17228",
            "user": "unknown",
            "verifiedStatus": null
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 632
    }
}

Messaggi di output

L'azione Get Events for Endpoint Hours Back può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully retrieved information about the events for the following endpoints: ENDPOINT_ID. Action wasn't able to find any events for the following endpoints: ENDPOINT_ID. No information events for the provided endpoints.	L'azione è andata a buon fine.
Error executing action "Get Events for Endpoint Hours Back". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera eventi per endpoint ore precedenti:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni dettagli gruppo

Utilizza l'azione Recupera dettagli gruppo per recuperare informazioni dettagliate sui gruppi forniti.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Recupera dettagli gruppo richiede i seguenti parametri:

Parametro	Descrizione
Group Names	Obbligatorio. Nomi dei gruppi per recuperare i dettagli. Questo parametro accetta più valori sotto forma di elenco separato da virgole.

Output azione

L'azione Get Group Details fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Tabella della bacheca casi

L'azione Get Group Details può restituire la seguente tabella:

Nome tabella: SentinelOne Groups

Colonne della tabella:

• ID
• Nome
• Tipo
• Ranking
• Creator
• Ora di creazione

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera dettagli gruppo:

[
    {
        "GROUP_NAME":"UNEDITABLE_VARIABLERESPONSE_DATA"
    }
]

Messaggi di output

L'azione Get Group Details può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully retrieved information about the following groups in SentinelOne: GROUP_NAME. Action wasn't able to retrieve information about the following groups in SentinelOne: GROUP_NAME. No information about provided groups was found.	L'azione è andata a buon fine.
Error executing action "Get Group Details". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera dettagli gruppo:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni reputazione hash

(Ritirata) Utilizza l'azione Recupera reputazione hash per recuperare informazioni sugli hash da SentinelOne.

Questa azione viene eseguita sull'entità Google SecOps Hash.

Input azione

L'azione Get Hash Reputation richiede i seguenti parametri:

Parametro	Descrizione
Reputation Threshold	Facoltativo. Una soglia di reputazione per contrassegnare l'entità come sospetta. Se non imposti un valore, l'azione non contrassegna nessuna entità come sospetta. Il valore massimo è 10. Il valore predefinito è 5.
Create Insight	Facoltativo. Se selezionata, l'azione crea un insight che contiene informazioni sulla reputazione.
Only Suspicious Hashes Insight	Facoltativo. Se selezionata, l'azione crea un insight solo per gli hash con reputazione superiore o uguale al valore Reputation Threshold.

Output azione

L'azione Get Hash Reputation fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Disponibile
Risultato JSON	Non disponibile
Messaggi di output	Non disponibile
Risultato dello script	Disponibile

Tabella di arricchimento

L'azione Get Hash Reputation può arricchire i seguenti campi:

Nome del campo di arricchimento	Applicabilità
SENO_reputation	Restituisce se esiste nel risultato JSON.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Get Hash Reputation:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni l'elenco dei processi per l'endpoint - Ritirato

Deprecata: questa azione è stata ritirata. Utilizza invece l'azione Get Application List For Endpoint.

Ottieni agenti del sito

Utilizza l'azione Recupera agenti del sito per recuperare le informazioni associate a un sito specifico in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Get Site Agents richiede i seguenti parametri:

Parametro	Descrizione
Site Name	Obbligatorio. L'ID dell'avviso da restituire.
Max Agents To Return	Obbligatorio. Il numero massimo di agenti da restituire. Il valore massimo è 1000. Il valore predefinito è 100.

Output azione

L'azione Get Site Agents fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera agenti del sito:

[
    {
        "accountId": "0000000000000000000",
        "accountName": "Customer_Company_Name",
        "activeDirectory": {
            "computerDistinguishedName": null,
            "computerMemberOf": [],
            "lastUserDistinguishedName": null,
            "lastUserMemberOf": [],
            "userPrincipalName": null
        },
        "activeProtection": [
            "edr"
        ],
        "activeThreats": 27,
        "agentVersion": "XX.X.X.X",
        "allowRemoteShell": true,
        "appsVulnerabilityStatus": "not_applicable",
        "cloudProviders": {
            "Google Cloud": {
                "cloudAccount": "customer-edr-agents-yyyy",
                "cloudImage": "debian-image-name-vYYYYMMDD",
                "cloudInstanceId": "0000000000000000000",
                "cloudInstanceSize": "e2-medium",
                "cloudLocation": "us-region-x",
                "cloudNetwork": "private-network-name",
                "cloudTags": [
                    "corelight-ingress",
                    "Endpoint does not have sufficient permissions to fetch labels"
                ],
                "gcpServiceAccount": "[e-mail]"
            }
        },
        "computerName": "virtual-machine-name-1",
        "consoleMigrationStatus": "N/A",
        "containerizedWorkloadCounts": null,
        "coreCount": 2,
        "cpuCount": 1,
        "cpuId": "Intel(R) Xeon(R) CPU @ X.XGHz",
        "createdAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "detectionState": null,
        "domain": "us-region-x.c.customer-edr-agents-yyyy.internal",
        "encryptedApplications": false,
        "externalId": "",
        "externalIp": "000.000.000.000",
        "firewallEnabled": false,
        "firstFullModeTime": null,
        "fullDiskScanLastUpdatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "groupId": "0000000000000000000",
        "groupIp": "000.000.000.0",
        "groupName": "Default Group",
        "hasContainerizedWorkload": false,
        "id": "0000000000000000000",
        "inRemoteShellSession": false,
        "infected": true,
        "installerType": ".deb",
        "isActive": true,
        "isAdConnector": false,
        "isDecommissioned": false,
        "isHyperAutomate": null,
        "isPendingUninstall": false,
        "isUninstalled": false,
        "isUpToDate": true,
        "lastActiveDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "lastIpToMgmt": "000.000.000.000",
        "lastLoggedInUserName": "",
        "lastSuccessfulScanDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "licenseKey": "",
        "locationEnabled": false,
        "locationType": "not_supported",
        "locations": null,
        "machineSid": null,
        "machineType": "server",
        "missingPermissions": [],
        "mitigationMode": "detect",
        "mitigationModeSuspicious": "detect",
        "modelName": "Google Google Compute Engine",
        "networkInterfaces": [
            {
                "gatewayIp": "000.000.000.000",
                "gatewayMacAddress": "XX:XX:XX:XX:XX:XX",
                "id": "0000000000000000000",
                "inet": [
                    "000.000.000.000"
                ],
                "inet6": [
                    "fe80::0000:0000:0000:0"
                ],
                "name": "ens4",
                "physical": "XX:XX:XX:XX:XX:XX"
            },
            {
                "gatewayIp": null,
                "gatewayMacAddress": null,
                "id": "0000000000000000000",
                "inet": [
                    "172.17.0.1"
                ],
                "inet6": [],
                "name": "docker0",
                "physical": "XX:XX:XX:XX:XX:XX"
            }
        ],
        "networkQuarantineEnabled": false,
        "networkStatus": "connected",
        "operationalState": "na",
        "operationalStateExpiration": null,
        "osArch": "64 bit",
        "osName": "Linux",
        "osRevision": "Debian GNU/11 (bullseye) X.X.X.X-cloud-amd64",
        "osStartTime": "YYYY-MM-DDTHH:MM:SSZ",
        "osType": "linux",
        "osUsername": "user",
        "proxyStates": null,
        "rangerStatus": "Disabled",
        "rangerVersion": null,
        "registeredAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "remoteProfilingState": "disabled",
        "remoteProfilingStateExpiration": null,
        "scanAbortedAt": null,
        "scanFinishedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStartedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStatus": "finished",
        "serialNumber": null,
        "showAlertIcon": false,
        "siteId": "0000000000000000000",
        "siteName": "SITE_NAME",
        "storageName": null,
        "storageType": null,
        "tags": {
            "sentinelone": [
                {
                    "assignedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
                    "assignedBy": "[e-mail]",
                    "assignedById": "0000000000000000000",
                    "id": "0000000000000000000",
                    "key": "MD_Containment_Allowlist",
                    "value": "No Value"
                }
            ]
        },
        "threatRebootRequired": false,
        "totalMemory": 3930,
        "updatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "userActionsNeeded": [],
        "uuid": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy"
    }
]

Messaggi di output

L'azione Get Site Agents può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully returned information about the hosts from Site SITE_NAME in SentinelOne. No hosts are associated with Site SITE_NAME in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Get Site Agents". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera agenti del sito:

Nome del risultato dello script	Valore
is_success	True o False

Recupera lo stato del sistema

Utilizza l'azione Get System Status per recuperare lo stato di un sistema.

Questa azione viene eseguita su tutte le entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ottieni stato del sistema fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Non disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Get System Status:

{
    "system_status": {
        "data": {
            "health": "ok"
        }},
    "db_status": {
        "data": {
            "health": "ok"
        }},
    "cache_status": {
        "data": {
            "health": "ok"
        }
    }
}

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni stato del sistema:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni la versione del sistema

Utilizza l'azione Get System Version per recuperare la versione di un sistema.

Questa azione viene eseguita su tutte le entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ottieni versione sistema fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Non disponibile
Risultato dello script	Disponibile

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Recupera versione di sistema:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni minacce

Utilizza l'azione Recupera minacce per recuperare informazioni sulle minacce in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Get Threats richiede i seguenti parametri:

Parametro	Descrizione
Mitigation Status	Facoltativo. Un elenco separato da virgole di stati delle minacce. L'azione restituisce solo le minacce che corrispondono agli stati configurati. I valori possibili sono: mitigated active blocked suspicious suspicious_resolved
Created until	Facoltativo. L'ora di fine delle minacce, ad esempio 2020-03-02T21:30:13.014874Z.
Created from	Facoltativo. L'ora di inizio delle minacce, ad esempio 2020-03-02T21:30:13.014874Z.
Resolved Threats	Facoltativo. Se selezionata, l'azione restituisce solo le minacce risolte.
Threat Display Name	Facoltativo. Un nome visualizzato della minaccia da restituire.
Limit	Facoltativo. Un numero di minacce da restituire. Il valore predefinito è 10.
API Version	Facoltativo. La versione dell'API da utilizzare per l'azione. La versione dell'API influisce sulla struttura dei risultati JSON. Ti consigliamo di utilizzare l'ultima versione dell'API supportata per il tuo ambiente. Importante: Per recuperare i dati relativi agli indirizzi IP privati ​​e agli indirizzi IP interni (agentDetectionInfo_agentIpV4) è necessaria la versione 2.1 o superiore. Il valore predefinito è 2.0.

Output azione

L'azione Get Threats fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Get Threats:

{
            "accountId": "ACCOUNT_ID",
            "accountName": "ACCOUNT_NAME",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "192.0.2.176",
            "agentIsActive": false,
            "agentIsDecommissioned": false,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connected",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "838490132723152335",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "external_ticket_id": null,
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "THREAT_ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "0BB46E119EF0AE51",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": true,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": "sent"
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-07-07T17:19:48.260119Z",
            "username": "DESKTOP-example\\ddiserens",
            "whiteningOptions": []
}

Messaggi di output

L'azione Get Threats può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully retrieved information about the available threats in SentinelOne. No information about threats was found based on the provided criteria.	L'azione è andata a buon fine.
Error executing action "Get Threats". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera minacce:

Nome del risultato dello script	Valore
is_success	True o False

Avvia query di visibilità approfondita

Utilizza l'azione Avvia query di visibilità approfondita per avviare una ricerca con query di visibilità approfondita.

Questa azione restituisce il valore dell'ID query richiesto dall'azione Get Deep Visibility Query Result.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Avvia query Deep Visibility richiede i seguenti parametri:

Parametro	Descrizione
Query	Obbligatorio. Una query per la ricerca. Per saperne di più sulla sintassi delle query, consulta il Cheat Sheet di SentinelOne Deep Visibility.
Start Date	Facoltativo. Una data di inizio per la ricerca. Se non imposti un valore, l'azione recupera per impostazione predefinita gli eventi di 30 giorni prima di adesso.
End Date	Facoltativo. Una data di fine per la ricerca. Se non imposti un valore, l'azione utilizza l'ora corrente.

Output azione

L'azione Avvia query Deep Visibility fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Avvia query Deep Visibility:

[
    {
        "query_id": "QUERY_ID"
    }
]

Messaggi di output

L'azione Avvia query Deep Visibility può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully created a Deep Visibility query. Query ID: QUERY_ID. Failed to create a Deep Visibility query.	L'azione è andata a buon fine.
Error executing action "Initiate Deep Visibility Query". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Avvia query Deep Visibility:

Nome del risultato dello script	Valore
is_success	True o False

Avvia scansione completa

Utilizza l'azione Avvia scansione completa per avviare una scansione completa del disco su un endpoint in SentinelOne.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

Nessuno.

Output azione

L'azione Avvia scansione completa fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Avvia scansione completa può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully started the full disk scan on the following endpoints in SentinelOne: ENTITY_ID. Action wasn't able to start a full disk scan on the following endpoints in SentinelOne: ENTITY_ID. No full disk scans were initiated.	L'azione è andata a buon fine.
Error executing action "Initiate Full Scan". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Avvia scansione completa:

Nome del risultato dello script	Valore
is_success	True o False

Elenca siti

Utilizza l'azione Elenca siti per elencare i siti disponibili in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Elenca siti richiede i seguenti parametri:

Parametro	Descrizione
Filter Key	Facoltativo. La chiave per filtrare i siti. I valori possibili sono: Select One Name ID Il valore predefinito è Select One.
Filter Logic	Facoltativo. La logica di filtro da applicare. La logica del filtro utilizza il valore impostato nel parametro Filter Key. I valori possibili sono: Not Specified Equal Contains Il valore predefinito è Not Specified.
Filter Value	Facoltativo. Il valore da utilizzare nel filtro. La logica del filtro utilizza il valore impostato nel parametro Filter Key. Se selezioni Equal nel parametro Filter Logic, l'azione cerca la corrispondenza esatta tra i risultati. Se selezioni Contains nel parametro Filter Logic, l'azione cerca i risultati che contengono la sottostringa specificata. Se non imposti un valore, l'azione ignora il filtro.
Max Records To Return	Facoltativo. Il numero di record da restituire. Il valore predefinito è 50.

Output azione

L'azione Elenca siti fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Tabella della bacheca casi

L'azione Elenca siti può restituire la seguente tabella:

Nome tabella: Available Sites

Colonne della tabella:

• Nome
• ID
• Creator
• Scadenza
• Tipo
• Stato

Messaggi di output

L'azione Elenca siti può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully found sites for the provided criteria in SentinelOne. No sites were found for the provided criteria in SentinelOne. The filter was not applied, because parameter "Filter Value" has an empty value.	L'azione è andata a buon fine.
Error executing action "List Sites". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Elenca siti:

Nome del risultato dello script	Valore
is_success	True o False

Contrassegna come minaccia

Utilizza l'azione Contrassegna come minaccia per contrassegnare le minacce sospette come minacce vere positive in SentinelOne.

Per contrassegnare le minacce in SentinelOne, devi disporre di uno dei seguenti ruoli:

• Admin
• IR Team
• SOC

Puoi contrassegnare come minacce solo i rilevamenti sospetti.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Contrassegna come minaccia richiede i seguenti parametri:

Parametro	Descrizione
Threat IDs	Obbligatorio. Un elenco separato da virgole di ID rilevamento da contrassegnare come minacce.

Output azione

L'azione Contrassegna come minaccia fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Contrassegna come minaccia:

[
    {
        "ID": "DETECTION_ID",
        "marked_as_threat": "true"
    }
]

Messaggi di output

L'azione Contrassegna come minaccia può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully marked the following threats in SentinelOne: THREAT_ID. Action wasn't able to mark the following threats in SentinelOne: THREAT_ID. No threats were marked.	L'azione è andata a buon fine.
Error executing action "Mark as Threat". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Contrassegna come minaccia:

Nome del risultato dello script	Valore
is_success	True o False

Mitiga la minaccia

Utilizza l'azione Mitiga minaccia per eseguire azioni di mitigazione sulle minacce in SentinelOne.

Per mitigare le minacce in SentinelOne, devi disporre di uno dei seguenti ruoli:

• Admin
• IR Team
• SOC

Il rollback si applica solo a Windows. La correzione delle minacce si applica solo a macOS e Windows.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Mitigate Threat richiede i seguenti parametri:

Parametro	Descrizione
Mitigation action	Obbligatorio. Un'azione di mitigazione per le minacce rilevate. I valori possibili sono: quarantine kill un-quarantine remediate rollback-remediate Il valore predefinito è quarantine.
Threat IDs	Obbligatorio. Un elenco separato da virgole di ID minaccia da mitigare.

Output azione

L'azione Mitigate Threat fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Mitigate Threat:

[
        {
            "mitigated": true,
            "mitigation_action": "quarantine",
            "Threat_ID": "THREAT_ID"
        }
]

Messaggi di output

L'azione Mitigate Threat può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully mitigated the following threats in SentinelOne: THREAT_ID. Action wasn't able to mitigate the following threats in SentinelOne: THREAT_ID. No threats were mitigated.	L'azione è andata a buon fine.
Error executing action "Mitigate Threat". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Mitiga minaccia:

Nome del risultato dello script	Valore
is_success	True o False

Sposta agenti

Utilizza l'azione Sposta agenti per spostare gli agenti nel gruppo fornito dallo stesso sito.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

L'azione Sposta agenti richiede i seguenti parametri:

Parametro	Descrizione
Group ID	Facoltativo. L'ID del gruppo in cui spostare gli agenti.
Group Name	Facoltativo. Il nome del gruppo in cui spostare gli agenti. Se configuri sia il parametro Group ID sia i parametri Group Name, l'azione dà la priorità al parametro Group ID.

Output azione

L'azione Sposta agenti fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Sposta agenti può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully moved the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. Action wasn't able to move the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID. No endpoints were moved to the group ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne.	L'azione è andata a buon fine.
Error executing action "Move Agents". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Sposta agenti:

Nome del risultato dello script	Valore
is_success	True o False

Dindin

Utilizza l'azione Ping per testare la connettività.

Questa azione viene eseguita su tutte le entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Non disponibile
Risultato dello script	Disponibile

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	True o False

Ricollega l'agente alla rete

Utilizza l'azione Riconnetti l'agente alla rete per riconnettere un endpoint disconnesso a una rete.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

Nessuno.

Output azione

L'azione Riconnetti l'agente alla rete fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Non disponibile
Risultato dello script	Disponibile

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Riconnetti l'agente alla rete:

Nome del risultato dello script	Valore
is_success	True o False

Risolvi minaccia

Utilizza l'azione Risolvi minaccia per risolvere le minacce in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Risolvi minaccia richiede i seguenti parametri:

Parametro	Descrizione
Threat IDs	Obbligatorio. Un elenco separato da virgole di ID minaccia da risolvere.
Annotation	Facoltativo. Una giustificazione per la risoluzione della minaccia.

Output azione

L'azione Risolvi minaccia fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Risolvi minaccia:

[
    {
        "resolved": false,
        "Threat_ID": "THREAT_ID"
        }
]

Messaggi di output

L'azione Risolvi minaccia può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully resolved the following threats in SentinelOne: THREAT_ID. Action wasn't able to resolve the following threats in SentinelOne: THREAT_ID. No threats were resolved.	L'azione è andata a buon fine.
Error executing action "Resolve Threat". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Risolvi minaccia:

Nome del risultato dello script	Valore
is_success	True o False

Aggiorna avviso

Utilizza l'azione Aggiorna avviso per aggiornare l'avviso della minaccia in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiorna avviso richiede i seguenti parametri:

Parametro	Descrizione
Alert ID	Obbligatorio. L'ID dell'avviso da aggiornare.
Status	Facoltativo. Lo stato dell'avviso. I valori possibili sono: Unresolved In Progress Resolved
Verdict	Facoltativo. L'esito dell'avviso. I valori possibili sono: True Positive False Positive Suspicious

Output azione

L'azione Aggiorna avviso fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra gli output dei risultati JSON ricevuti quando utilizzi l'azione Aggiorna avviso:

{
           "agentDetectionInfo": {
               "accountId": "1727154225040260868",
               "machineType": "server",
               "name": "windows-server-20230913",
               "osFamily": "windows",
               "osName": "Windows Server 2019 Datacenter",
               "osRevision": "17763",
               "siteId": "1727154229628829519",
               "uuid": "da943d26318e46a8b3f6fc480c02636d",
               "version": "23.1.2.400"
           },
           "agentRealtimeInfo": {
               "id": "1896661984701699721",
               "infected": true,
               "isActive": true,
               "isDecommissioned": false,
               "machineType": "server",
               "name": "windows-server-20230913",
               "os": "windows",
               "uuid": "da943d26318e46a8b3f6fc480c02636d"
           },
           "alertInfo": {
               "alertId": "1947486263439640318",
               "analystVerdict": "Undefined",
               "createdAt": "2024-05-11T00:27:23.135000Z",
               "dnsRequest": null,
               "dnsResponse": null,
               "dstIp": null,
               "dstPort": null,
               "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
               "eventType": "REGVALUEMODIFIED",
               "hitType": "Events",
               "incidentStatus": "Unresolved",
               "indicatorCategory": null,
               "indicatorDescription": null,
               "indicatorName": null,
               "isEdr": true,
               "loginAccountDomain": null,
               "loginAccountSid": null,
               "loginIsAdministratorEquivalent": null,
               "loginIsSuccessful": null,
               "loginType": null,
               "loginsUserName": null,
               "modulePath": null,
               "moduleSha1": null,
               "netEventDirection": null,
               "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryOldValue": "0060030100000000",
               "registryOldValueType": "BINARY",
               "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryValue": "0070030100000000",
               "reportedAt": "2024-05-11T00:27:33.873767Z",
               "source": "STAR",
               "srcIp": null,
               "srcMachineIp": null,
               "srcPort": null,
               "tiIndicatorComparisonMethod": null,
               "tiIndicatorSource": null,
               "tiIndicatorType": null,
               "tiIndicatorValue": null,
               "updatedAt": "2025-05-12T18:41:08.366615Z"
           },
           "containerInfo": {
               "id": null,
               "image": null,
               "labels": null,
               "name": null
           },
           "kubernetesInfo": {
               "cluster": null,
               "controllerKind": null,
               "controllerLabels": null,
               "controllerName": null,
               "namespace": null,
               "namespaceLabels": null,
               "node": null,
               "pod": null,
               "podLabels": null
           },
           "ruleInfo": {
               "description": null,
               "id": "1763599692710649014",
               "name": "Registry Value Modified",
               "queryLang": "1.0",
               "queryType": "events",
               "s1ql": "EventType = \"Registry Value Modified\"",
               "scopeLevel": "account",
               "severity": "Critical",
               "treatAsThreat": "UNDEFINED"
           },
           "sourceParentProcessInfo": {
               "commandline": "C:\\Windows\\system32\\services.exe",
               "effectiveUser": null,
               "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
               "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
               "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
               "filePath": "C:\\Windows\\System32\\services.exe",
               "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "services.exe",
               "pid": "896",
               "pidStarttime": "2024-04-26T17:33:41.962000Z",
               "realUser": null,
               "storyline": "DD880F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "DC880F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "sourceProcessInfo": {
               "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
               "effectiveUser": null,
               "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
               "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
               "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
               "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
               "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "cyserver.exe",
               "pid": "3204",
               "pidStarttime": "2024-04-26T17:34:17.273000Z",
               "realUser": null,
               "storyline": "74890F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "73890F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "targetProcessInfo": {
               "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
               "tgtFileHashSha1": null,
               "tgtFileHashSha256": null,
               "tgtFileId": null,
               "tgtFileIsSigned": "signed",
               "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
               "tgtFileOldPath": null,
               "tgtFilePath": null,
               "tgtProcCmdLine": null,
               "tgtProcImagePath": null,
               "tgtProcIntegrityLevel": "unknown",
               "tgtProcName": null,
               "tgtProcPid": null,
               "tgtProcSignedStatus": null,
               "tgtProcStorylineId": null,
               "tgtProcUid": null,
               "tgtProcessStartTime": "1970-01-01T00:00:00Z"
           }
       }

Messaggi di output

L'azione Update Alert può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully updated alert with ID ALERT_ID in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Update Alert". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Aggiorna avviso:

Nome del risultato dello script	Valore
is_success	True o False

Aggiorna il verdetto dell'analista

Utilizza l'azione Aggiorna verdetto dell'analista per aggiornare il verdetto dell'analista sulla minaccia in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Update Analyst Verdict richiede i seguenti parametri:

Parametro	Descrizione
Threat ID	Obbligatorio. Un elenco separato da virgole di ID minaccia per aggiornare il verdetto dell'analista.
Analyst Verdict	Obbligatorio. Un verdetto dell'analista. I valori possibili sono: True Positive False Positive Suspicious Undefined Il valore predefinito è Undefined.

Output azione

L'azione Update Analyst Verdict fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Update Analyst Verdict può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully updated analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update analyst verdict for the provided threats in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Update Analyst Verdict". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Aggiorna verdetto dell'analista:

Nome del risultato dello script	Valore
is_success	True o False

Aggiorna regola di controllo dei dispositivi

Utilizza l'azione Aggiorna regola di controllo dei dispositivi per aggiornare una regola di controllo dei dispositivi in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiorna regola di controllo dei dispositivi richiede i seguenti parametri:

Parametro	Descrizione
Rule ID	Obbligatorio. L'ID della regola da aggiornare.
Rule JSON	Obbligatorio. L'oggetto JSON che rappresenta la configurazione della regola di controllo del dispositivo. Il valore predefinito è il seguente: { "ruleName": "String", "interface": "String", "ruleType": "String", "action": "String", "accessPermission": "String", "deviceClass": "String", "status": "String" }

Output azione

L'azione Aggiorna regola di controllo dei dispositivi fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra gli output dei risultati JSON ricevuti quando utilizzi l'azione Aggiorna regola di controllo dei dispositivi:

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}

Messaggi di output

L'azione Update Device Control Rule può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully updated a Device Control Rule with ID DEVICE_CONTROL_ID in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Update Device Control Rule". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Aggiorna regola di controllo del dispositivo:

Nome del risultato dello script	Valore
is_success	true o false

Aggiorna lo stato dell'incidente

Utilizza l'azione Aggiorna stato incidente per aggiornare lo stato degli incidenti relativi alle minacce in SentinelOne.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiorna stato incidente richiede i seguenti parametri:

Parametro	Descrizione
Threat ID	Obbligatorio. Un elenco separato da virgole di ID minaccia per aggiornare lo stato dell'incidente.
Status	Obbligatorio. Lo stato di un incidente. I valori possibili sono: Unresolved In Progress Resolved Il valore predefinito è Resolved.

Output azione

L'azione Aggiorna stato incidente fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Aggiorna stato incidente può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully updated incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the following threats in SentinelOne: THREAT_ID. Action wasn't able to update incident status for the provided threats in SentinelOne.	L'azione è andata a buon fine.
Error executing action "Update Incident Status". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Aggiorna stato incidente:

Nome del risultato dello script	Valore
is_success	True o False

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importa i dati (connettori).

Nota: per evitare la perdita di dati, i connettori utilizzano l'appiattimento degli eventi. Se un avviso non elaborato contiene un elenco di entità (ad esempio più indirizzi email, nomi host o indirizzi IP), i connettori le appiattiscono automaticamente in eventi separati e univoci.

Ad esempio, un singolo avviso non elaborato contenente tre indirizzi email diversi viene importato come tre eventi separati, ciascuno contenente un indirizzo email distinto.

Questo processo garantisce che ogni entità venga indicizzata correttamente come asset univoco, rendendola completamente ricercabile e utilizzabile nei playbook.

SentinelOne - Connettore degli avvisi

Utilizza il connettore SentinelOne - Alerts per importare gli avvisi da SentinelOne.

Il connettore ti consente di filtrare gli avvisi utilizzando un elenco dinamico basato sul parametro ruleInfo.name. Il comportamento di questo elenco dipende dal parametro Use dynamic list as a blocklist.

• Se non selezioni Use dynamic list as a blocklist:

  L'elenco dinamico funziona come una lista consentita. Il connettore importa solo gli avvisi il cui ruleInfo.name corrisponde a un valore nell'elenco. Se l'elenco è vuoto, non viene importato alcun avviso.

• Se selezioni Use dynamic list as a blocklist:

  L'elenco dinamico funziona come una lista bloccata. Il connettore importa tutti gli avvisi, esclusi quelli il cui ruleInfo.name corrisponde a un valore nell'elenco. Se l'elenco è vuoto, vengono importati tutti gli avvisi.

Parametri del connettore

Il connettore SentinelOne - Alerts Connector richiede i seguenti parametri:

Parametro	Descrizione
Product Field Name	Obbligatorio. Il nome del campo in cui è memorizzato il nome del prodotto. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita. Il valore predefinito è Product Name.
Event Field Name	Obbligatorio. Il nome del campo che determina il nome dell'evento (sottotipo). Il valore predefinito è ruleInfo_name.
Environment Field Name	Facoltativo. Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non è presente, il connettore utilizza il valore predefinito. Il valore predefinito è "".
Environment Regex Pattern	Facoltativo. Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari. Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto. Se il pattern dell'espressione regolare è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito. Il valore predefinito è .*.
PythonProcessTimeout	Obbligatorio. Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente. Il valore predefinito è 180.
API Root	Obbligatorio. La radice dell'API dell'istanza SentinelOne.
API Token	Obbligatorio. Il token API SentinelOne.
Status Filter	Facoltativo. Un elenco separato da virgole di stati degli avvisi da importare. I valori possibili sono: Unresolved In Progress Resolved Se non viene fornito alcun valore, il connettore recupera gli avvisi con gli stati Unresolved e In Progress.
Case Name Template	Facoltativo. Un modello per definire un nome della richiesta personalizzato. Il connettore aggiunge una chiave custom_case_name all'evento. Puoi utilizzare i segnaposto nel formato FIELD_NAME, che vengono compilati dai valori di stringa del primo evento. Esempio: Phishing - EVENT_MAILBOX.
Alert Name Template	Facoltativo. Un template per definire il nome dell'avviso. Puoi utilizzare i segnaposto nel formato FIELD_NAME, che vengono compilati dai valori di stringa del primo evento. Esempio: Phishing - EVENT_MAILBOX. Se non viene fornito un valore o se il modello non è valido, il connettore utilizza un nome di avviso predefinito.
Lowest Severity To Fetch	Facoltativo. La gravità minima degli avvisi da recuperare. Se non configuri questo parametro, il connettore importa gli avvisi con tutti i livelli di gravità. I valori possibili sono: Info Low Medium High Critical Se non viene fornito alcun valore, vengono importate tutte le gravità.
Max Hours Backwards	Obbligatorio. Il numero di ore prima dell'ora corrente per recuperare gli avvisi. Il valore predefinito è 24.
Max Alerts To Fetch	Obbligatorio. Il numero massimo di avvisi da elaborare in ogni iterazione del connettore. Il valore massimo è 100. Il valore predefinito è 10.
Use dynamic list as a blocklist	Obbligatorio. Se selezionata, il connettore utilizza l'elenco dinamico come lista bloccata. Non abilitata per impostazione predefinita.
Disable Overflow	Facoltativo. Se selezionata, il connettore ignora il meccanismo di overflow di Google SecOps. Non abilitata per impostazione predefinita.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server SentinelOne. Abilitato per impostazione predefinita.
Proxy Server Address	Facoltativo. L'indirizzo del server proxy da utilizzare.
Proxy Username	Facoltativo. Il nome utente del proxy con cui eseguire l'autenticazione.
Proxy Password	Facoltativo. La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Il connettore supporta i proxy.

Struttura degli avvisi

La tabella seguente descrive la mappatura dei campi degli avvisi di SentinelOne ai campi degli avvisi di Google SecOps:

Campo avviso Siemplify	Campo di avviso SentinelOne (chiave JSON dall'API)
SourceSystemName	Compilato dal framework.
TicketId	alertInfo.alertId
DisplayId	SentinelOne_Alert_{alertInfo.alertId}
Name	SentinelOne Alert: {ruleInfo.name}
Reason	ruleInfo.s1q1
Description	ruleInfo.description
DeviceVendor	Impostato come hardcoded: SentinelOne
DeviceProduct	Valore di riserva: Alerts
Priority	Mappato da ruleInfo.severity
RuleGenerator	SentinelOne Alert: {ruleInfo.name}
SourceGroupingIdentifier	ruleInfo.name
Severity	Mappato da ruleInfo.severity
Risk Score	Rappresentazione della gravità come numero intero
StartTime	Conversione da alertInfo.createdAt
EndTime	Transazione convertita da alertInfo.createdAt
Siemplify Alert - Extensions	N/D
Siemplify Alert - Attachments	N/D

Eventi del connettore

Di seguito è riportato un esempio di evento del connettore:

{
    "agentDetectionInfo": {
        "accountId": "1727154225040260868",
        "machineType": "server",
        "name": "windows-server-20230913",
        "osFamily": "windows",
        "osName": "Windows Server 2019 Datacenter",
        "osRevision": "17763",
        "siteId": "1727154229628829519",
        "uuid": "da943d26318e46a8b3f6fc480c02636d",
        "version": "23.1.2.400"
    },
    "agentRealtimeInfo": {
        "id": "1896661984701699721",
        "infected": true,
        "isActive": true,
        "isDecommissioned": false,
        "machineType": "server",
        "name": "windows-server-20230913",
        "os": "windows",
        "uuid": "da943d26318e46a8b3f6fc480c02636d"
    },
    "alertInfo": {
        "alertId": "1947486263439640318",
        "analystVerdict": "Undefined",
        "createdAt": "2024-05-11T00:27:23.135000Z",
        "dnsRequest": null,
        "dnsResponse": null,
        "dstIp": null,
        "dstPort": null,
        "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
        "eventType": "REGVALUEMODIFIED",
        "hitType": "Events",
        "incidentStatus": "Unresolved",
        "indicatorCategory": null,
        "indicatorDescription": null,
        "indicatorName": null,
        "isEdr": true,
        "loginAccountDomain": null,
        "loginAccountSid": null,
        "loginIsAdministratorEquivalent": null,
        "loginIsSuccessful": null,
        "loginType": null,
        "loginsUserName": null,
        "modulePath": null,
        "moduleSha1": null,
        "netEventDirection": null,
        "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryOldValue": "0060030100000000",
        "registryOldValueType": "BINARY",
        "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryValue": "0070030100000000",
        "reportedAt": "2024-05-11T00:27:33.873767Z",
        "source": "STAR",
        "srcIp": null,
        "srcMachineIp": null,
        "srcPort": null,
        "tiIndicatorComparisonMethod": null,
        "tiIndicatorSource": null,
        "tiIndicatorType": null,
        "tiIndicatorValue": null,
        "updatedAt": "2025-05-12T18:41:08.366615Z"
    },
    "containerInfo": {
        "id": null,
        "image": null,
        "labels": null,
        "name": null
    },
    "kubernetesInfo": {
        "cluster": null,
        "controllerKind": null,
        "controllerLabels": null,
        "controllerName": null,
        "namespace": null,
        "namespaceLabels": null,
        "node": null,
        "pod": null,
        "podLabels": null
    },
    "ruleInfo": {
        "description": null,
        "id": "1763599692710649014",
        "name": "Registry Value Modified",
        "queryLang": "1.0",
        "queryType": "events",
        "s1ql": "EventType = \"Registry Value Modified\"",
        "scopeLevel": "account",
        "severity": "Critical",
        "treatAsThreat": "UNDEFINED"
    },
    "sourceParentProcessInfo": {
        "commandline": "C:\\Windows\\system32\\services.exe",
        "effectiveUser": null,
        "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
        "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
        "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
        "filePath": "C:\\Windows\\System32\\services.exe",
        "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "services.exe",
        "pid": "896",
        "pidStarttime": "2024-04-26T17:33:41.962000Z",
        "realUser": null,
        "storyline": "DD880F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "DC880F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "sourceProcessInfo": {
        "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
        "effectiveUser": null,
        "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
        "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
        "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
        "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
        "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "cyserver.exe",
        "pid": "3204",
        "pidStarttime": "2024-04-26T17:34:17.273000Z",
        "realUser": null,
        "storyline": "74890F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "73890F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "targetProcessInfo": {
        "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
        "tgtFileHashSha1": null,
        "tgtFileHashSha256": null,
        "tgtFileId": null,
        "tgtFileIsSigned": "signed",
        "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
        "tgtFileOldPath": null,
        "tgtFilePath": null,
        "tgtProcCmdLine": null,
        "tgtProcImagePath": null,
        "tgtProcIntegrityLevel": "unknown",
        "tgtProcName": null,
        "tgtProcPid": null,
        "tgtProcSignedStatus": null,
        "tgtProcStorylineId": null,
        "tgtProcUid": null,
        "tgtProcessStartTime": "1970-01-01T00:00:00Z"
    }
}

SentinelOne - Connettore delle minacce

Utilizza il connettore SentinelOne - Threats per importare le minacce da SentinelOne.

Il connettore ti consente di filtrare gli avvisi in base a elenchi dinamici.

Il connettore SentinelOne - Threats filtra gli avvisi utilizzando il parametro alert_name.

Se selezioni il parametro Use whitelist as a blacklist, il connettore importa solo gli avvisi il cui alert_name non corrisponde ad alcun valore nell'elenco dinamico.

Se non configuri i valori alert_name nell'elenco dinamico, il connettore importa tutti gli avvisi.

Se non selezioni il parametro Use whitelist as a blacklist, il connettore importa solo gli avvisi il cui alert_name corrisponde a un valore nell'elenco dinamico.

Input del connettore

Il connettore SentinelOne - Threats Connector richiede i seguenti parametri:

Parametro	Descrizione
Product Field Name	Obbligatorio. Il nome del campo in cui è memorizzato il nome del prodotto. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito siemplify_event viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita. Il valore predefinito è siemplify_event.
Event Field Name	Obbligatorio. Il nome del campo che determina il nome dell'evento (sottotipo). Il valore predefinito è threatinfo_classification.
Environment Field Name	Facoltativo. Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non è presente, il connettore utilizza il valore predefinito. Il valore predefinito è "".
Environment Regex Pattern	Facoltativo. Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari. Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto. Se il pattern dell'espressione regolare è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Script Timeout	Obbligatorio. Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente. Il valore predefinito è 180.
API Root	Obbligatorio. La radice dell'API SentinelOne. Il valore predefinito è https://usea1-partners.sentinelone.net/.
API Token	Obbligatorio. Il token API SentinelOne.
API Version	Facoltativo. La versione dell'API SentinelOne che il connettore deve utilizzare. Importante: per acquisire indirizzi IP privati e IP interni (agentDetectionInfo_agentIpV4) è richiesta la versione 2.1 o successiva. La versione 2.0 recupera solo indirizzi IP pubblici. Il valore predefinito è 2.0.
Fetch Max Days Backwards	Facoltativo. Il numero di giorni precedenti a oggi per recuperare gli avvisi. Questo parametro può essere applicato all'iterazione iniziale del connettore dopo l'attivazione del connettore per la prima volta o al valore di riserva per un timestamp del connettore scaduto. Il valore predefinito è 1.
Max Alerts Per Cycle	Facoltativo. Il numero massimo di avvisi da elaborare in ogni iterazione del connettore. Il valore predefinito è 25.
Disable Overflow	Facoltativo. Se selezionata, il connettore ignora il meccanismo di overflow di Google SecOps. Non selezionato per impostazione predefinita.
Use whitelist as a blacklist	Obbligatorio. Se selezionata, il connettore utilizza l'elenco dinamico come lista bloccata. Non selezionato per impostazione predefinita.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server SentinelOne. Questo tipo di annuncio sarà selezionato per impostazione predefinita.
Proxy Server Address	Facoltativo. L'indirizzo del server proxy da utilizzare.
Proxy Username	Facoltativo. Il nome utente del proxy con cui eseguire l'autenticazione.
Proxy Password	Facoltativo. La password del proxy con cui eseguire l'autenticazione.
Event Object Type Filter	Facoltativo. Un elenco separato da virgole di oggetti evento da restituire con le informazioni sulle minacce. Il connettore utilizza questo parametro come filtro per restituire solo determinati oggetti, ad esempio process, ip, indicators. Se non imposti un valore, il connettore importa tutti i tipi di oggetti evento.
Event Type Filter	Facoltativo. Un elenco separato da virgole di tipi di eventi da restituire con le informazioni sulle minacce. Il connettore utilizza questo parametro come filtro per restituire solo determinati tipi di eventi, ad esempio Process Creation, Behavioral Indicators.
Max Events To Return	Facoltativo. Il numero di eventi da restituire per ogni minaccia. Il valore massimo è 199. Il valore predefinito è 199.

Regole del connettore

Il connettore supporta i proxy.

Il connettore supporta la lista consentita e la lista bloccata.

Eventi del connettore

Di seguito è riportato un esempio di evento del connettore:

{
    "data": [
        {
            "accountId": "ACCOUNT_ID",
            "accountName": "SentinelOne",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "203.0.113.180",
            "agentIsActive": false,
            "agentIsDecommissioned": true,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connecting",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "annotationUrl": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "COLLECTION_ID",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "MALICED_GROUP_ID",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": false,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": null
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-04-02T14:51:21.901754Z",
            "username": "DESKTOP-example\\username",
            "whiteningOptions": [
                "hash"
            ]
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 161
    }
}

Job

Per saperne di più sui job, consulta Configura un nuovo job e Pianificazione avanzata.

SentinelOneV2 - Sincronizza gli avvisi

Utilizza il job SentinelOneV2 - Sincronizza avvisi per sincronizzare gli stati degli avvisi e i verdetti degli analisti in modo bidirezionale tra Google SecOps e SentinelOne.

Requisiti per il lavoro

Per garantire che il job identifichi e sincronizzi i dati corretti, devono essere soddisfatte le seguenti condizioni:

• La richiesta Google SecOps deve contenere il tag SentinelOne Alert.

• Se l'avviso non proviene dal SentinelOne - Alerts Connector, devi aggiungere un valore di contesto Alert_ID all'avviso affinché il job identifichi il record SentinelOne corretto.

Logica operativa

Il job esegue la sincronizzazione in due fasi. Prima da Google SecOps a SentinelOne, poi da SentinelOne a Google SecOps.

Quando chiudi le richieste in SentinelOne, si applica la seguente logica:

• Se il Motivo di chiusura di Google SecOps è Malicious, il Verdetto di SentinelOne viene impostato su True Positive.

• Se il Motivo di chiusura di Google SecOps è Not Malicious, il Verdetto di SentinelOne viene impostato su False Positive.

• Per tutti gli altri motivi di chiusura, l'avviso viene contrassegnato come Resolved in SentinelOne senza che venga impostato un verdetto.

• Se un avviso di SentinelOne è contrassegnato come undefined, la richiesta di Google SecOps corrispondente viene chiusa con il motivo Inconclusive.

Parametri del job

Il job SentinelOne V2 - Sync Alerts richiede i seguenti parametri:

Parametro	Descrizione
Environment Name	Facoltativo. Il nome dell'ambiente da cui sincronizzare gli avvisi. Il valore predefinito è Default Environment.
API Root	Obbligatorio. La radice dell'API dell'istanza SentinelOne.
API Token	Obbligatorio. Il token API utilizzato per l'autenticazione con SentinelOne.
Max Hours Backwards	Obbligatorio. Il numero di ore precedenti all'ora corrente per sincronizzare gli avvisi durante la prima iterazione del job. Il valore predefinito è 24.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server SentinelOne. Abilitato per impostazione predefinita.

SentinelOneV2 - Sincronizza minacce

Utilizza il job SentinelOneV2 - Sincronizza minacce per sincronizzare i commenti e gli stati in modo bidirezionale tra gli avvisi di Google SecOps e le minacce di SentinelOne.

Requisiti per il lavoro

Per garantire che il job identifichi e sincronizzi i dati corretti, devono essere soddisfatte le seguenti condizioni:

• La richiesta Google SecOps deve contenere il tag SentinelOne Threat.

• Se l'avviso non proviene da SentinelOne - Threats Connector, devi aggiungere un valore di contesto Threat_ID all'avviso per consentire al job di identificare il record SentinelOne corretto.

Logica operativa

Il job sincronizza i dati in due fasi. La prima fase sincronizza i dati sulle minacce di SentinelOne con gli avvisi di Google SecOps. La seconda fase sincronizza i dati degli avvisi di Google SecOps con le minacce di SentinelOne.

Il job utilizza Max Hours Backwards per l'iterazione iniziale. Per tutte le richieste successive, il job utilizza il valore start_time dell'ultimo avviso elaborato.

Logica di sincronizzazione dei commenti

Il job utilizza last_update_time per filtrare i commenti ed evitare voci duplicate. I commenti sincronizzati utilizzano le seguenti strutture:

• Inviato da SentinelOne: SentinelOne {threat_id}: {comment}
• Inviato da Google SecOps: Google SecOps {case_id}: {comment}

Mappatura di stato ed esito

Quando un avviso viene chiuso in Google SecOps, il job aggiorna la minaccia SentinelOne in base alla seguente mappatura:

• Se il motivo della chiusura è Malicious, lo stato di SentinelOne viene impostato su Resolved e il verdetto su True Positive.

• Se il motivo della chiusura è Not Malicious, lo stato di SentinelOne viene impostato su Resolved e il verdetto su False Positive.

• Per tutti gli altri motivi di chiusura, lo stato di SentinelOne è impostato su Resolved senza un verdetto.

Parametri del job

Il job SentinelOneV2 - Sync Threats richiede i seguenti parametri:

Parametro	Descrizione
Environment Name	Obbligatorio. Il nome dell'ambiente in cui il job cerca le minacce. Il valore predefinito è Default Environment.
API Root	Obbligatorio. La radice dell'API dell'istanza SentinelOne.
API Token	Obbligatorio. Il token API utilizzato per l'autenticazione con SentinelOne.
Max Hours Backwards	Obbligatorio. Il numero di ore precedenti all'ora corrente per sincronizzare le minacce durante la prima iterazione del job. Il valore predefinito è 24.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server SentinelOne. Abilitato per impostazione predefinita.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.