Symantec Endpoint Security Complete Cloud

In diesem Dokument wird beschrieben, wie Sie Symantec Endpoint Security Complete Cloud in Google SecOps einbinden.

Anwendungsbereiche

Anreicherungsaktionen ausführen

Symantec Endpoint Security Complete Cloud-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-Stamm String https://api.sep.securitycloud.symantec.com Ja Symantec Endpoint Security Complete API-Stamm
Client-ID String – Ja Symantec Endpoint Security Complete-Client-ID
Clientschlüssel Passwort Ja Clientschlüssel für Symantec Endpoint Security Complete
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Symantec Endpoint Security Complete-Server gültig ist.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Symantec Endpoint Security Complete mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Bei Erfolg: „Successfully connected to the Symantec Endpoint Security Complete server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
if not successful: „Failed to connect to the Symantec Endpoint Security Complete server! Error is {0}".format(exception.stacktrace)

 Allgemein

Entitäten anreichern

Beschreibung

Entitäten mit Informationen aus Symantec Endpoint Security Complete anreichern. Unterstützte Entitäten: Hostname, Hash, URL und IP-Adresse. Es werden nur SHA256-Hashes unterstützt.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Gerätegruppe String Standard Ja Geben Sie den Namen der Gerätegruppe an, die zum Abrufen von Informationen zu Endpunkten verwendet werden soll.
Endpunktstatistik erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik mit Informationen zu den Endpunkten erstellt.
IOC-Insight erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik mit Informationen zu angereicherten IOCs erstellt.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hostname
  • Hash
  • URL
  • IP-Adresse

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis – für Endpunkt
{
    "id": "x10bQZJsRi6z87se02g3Vw",
    "os": {
        "ver": "10.0.18363",
        "name": "Windows 10 Enterprise Edition",
        "type": "WINDOWS_WORKSTATION",
        "64_bit": true,
        "lang": "en",
        "major_ver": 10,
        "minor_ver": 0,
        "sp": 0,
        "tz_offset": -480,
        "user": "Admin",
        "user_domain": "LocalComputer",
        "vol_avail_mb": 5443,
        "vol_cap_mb": 30138
    },
    "name": "DESKTOP-8P0TH6Q",
    "host": "DESKTOP-8P0TH6Q",
    "domain": "WORKGROUP",
    "created": "2020-11-19T12:24:23.422Z",
    "modified": "2021-03-05T10:39:03.884Z",
    "adapters": [
        {
            "addr": "2001:db8::",
            "category": "Public",
            "ipv4Address": "192.0.2.182",
            "ipv4_gw": "192.0.2.1",
            "ipv4_prefix": 24,
            "ipv6Address": "2001:db8:1:1:1:1:1:1",
            "ipv6_gw": "192.0.2.1",
            "ipv6_prefix": 64,
            "mask": "255.255.255.0"
        }
    ],
    "device_status": "SECURE",
    "parent_device_group_id": "rujWDk9WTcKsnLkCeZKl7A",
    "products": [
        {
            "name": "Symantec Endpoint Protection",
            "product_status": "SECURE",
            "version": "14.3.3384.1000",
            "agent_status": "ONLINE",
            "last_connected_time": "2021-03-05T10:39:23.271Z",
            "features": [
                {
                    "name": "APP_ISOLATION",
                    "state": "ENABLED",
                    "feature_status": "SECURE",
                    "engine_version": "6.7.0.2033"
                },
                {
                    "name": "FIREWALL",
                    "state": "ENABLED",
                    "feature_status": "SECURE"
                }
            ]
        }
    ]
}
JSON-Ergebnis – für IOCs
{
    "reputation": "BAD",
    "prevalence": "LessThanFifty",
    "firstSeen": "2021-04-01",
    "lastSeen": "2021-04-03",
    "targetOrgs": {
        "topCountries": [
            "us",
            "cm",
            "sg"
        ],
        "topIndustries": [
            "financial services"
        ]
    },
    "state": "blocked",
    "process_chain": [
        {
            "parent": {
                "parent": {
                    "file": "6a671b92a69755de6fd063fcbe4ba926d83b49f78c42dbaeed8cdb6bbc57576a",
                    "processName": "explorer.exe"
                },
                "file": "f686f2ff41923bb5c106c76d5f3df30146eb37683b81c4a57110dcc63032526a",
                "processName": "chrome.exe"
            }
        }
    ]
}
Entitätsanreicherung – für Endpunkt
Name des Anreicherungsfelds Logik – Wann anwenden?
id Wenn in JSON verfügbar
os Wenn in JSON verfügbar
Hostname Wenn in JSON verfügbar
Domain Wenn in JSON verfügbar
ips Wenn in JSON verfügbar
mac
Status Wenn in JSON verfügbar
Link Wenn in JSON verfügbar
Entitätsanreicherung – für IOCs
Name des Anreicherungsfelds Logik – Wann anwenden?
Bewertung Wenn in JSON verfügbar
Prävalenz Wenn in JSON verfügbar
Länder Wenn in JSON verfügbar
first_seen Wenn in JSON verfügbar
last_seen Wenn in JSON verfügbar
Branchen Wenn in JSON verfügbar
state Wenn in JSON verfügbar
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
if enriched some(is_success = true): "Successfully enriched the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier)

Wenn einige Entitäten nicht angereichert wurden (is_success = true): „Die Aktion konnte die folgenden Entitäten nicht mit Symantec Endpoint Security Complete anreichern:\n“.format(entity.identifier)

Wenn nicht alle angereichert wurden (is_success = false): „Es wurden keine Entitäten angereichert.“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)

Bei ungültiger Gerätegruppe: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Grund: Die angegebene Gerätegruppe wurde nicht gefunden. Bitte überprüfen Sie die Schreibweise.'

 Allgemein
Entitätstabelle **** Entität

Gerätegruppen auflisten

Beschreibung

Verfügbare Gerätegruppen in Symantec Endpoint Security Complete auflisten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Filterlogik DDL

Gleich

DDL

Gleich

Enthält

 Nein Geben Sie an, welche Filterlogik angewendet werden soll.
Filterwert String – Nein Geben Sie an, welcher Wert im Filter verwendet werden soll.
Maximale Anzahl zurückzugebender Gruppen Ganzzahl 50 Nein Geben Sie an, wie viele Gruppen zurückgegeben werden sollen. Standardeinstellung: 50.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen und die Ausführung eines Playbooks nicht stoppen:
Wenn 200 und Daten verfügbar sind (is_success = true): „Verfügbare Gerätegruppen in Symantec Endpoint Security Complete wurden erfolgreich zurückgegeben.“

Wenn 200 und keine Daten verfügbar sind (is_success=false): „In Symantec Endpoint Security Complete wurden keine Gerätegruppen gefunden, die den angegebenen Kriterien entsprechen.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Gerätegruppen auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle mit Fall-Repository

Name: Verfügbare Gerätegruppen

Spalten:

ID

Name

Allgemein

Beschreibung

Rufen Sie IOCs im Zusammenhang mit den Entitäten aus Symantec Endpoint Security Complete ab. Unterstützte Entitäten: Hash, URL und IP-Adresse. Es werden nur SHA256-Hashes unterstützt.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Quellfilter CSV

byThreatActor,
byProcessChain,
bySignature,
bySampleTraits,
byNetworkingTrait,
bySimilarIncidents

 Nein

Geben Sie den Quellfilter an. Wenn nichts angegeben ist, gibt die Aktion verwandte Entitäten basierend auf allen Quellen zurück.
Mögliche Werte:

byThreatActor, byProcessChain, bySignature, bySampleTraits, byNetworkingTrait,

bySimilarIncidents

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • URL
  • IP-Adresse

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
if 200 (is_success = true): „Successfully returned related IOCs for the provided entities from Symantec Endpoint Security Complete.“

Wenn keine IOCs gefunden wurden (is_success = false): „Für die angegebenen Entitäten aus Symantec Endpoint Security Complete wurden keine zugehörigen IOCs gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Zugehörige IOCs abrufen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten