Symantec Endpoint Security Complete Cloud

Important : Cette intégration fait référence à Symantec Endpoint Security Complete.

Ce document explique comment intégrer Symantec Endpoint Security Complete Cloud à Google SecOps.

Cas d'utilisation

Effectuer des actions d'enrichissement

Configurer l'intégration de Symantec Endpoint Security Complete Cloud dans Google Security Operations

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Racine de l'API	Chaîne	https://api.sep.securitycloud.symantec.com	Oui	Racine de l'API Symantec Endpoint Security Complete
ID client	Chaîne	N/A	Oui	ID client Symantec Endpoint Security Complete
Code secret du client	Mot de passe		Oui	Code secret du client Symantec Endpoint Security Complete
Vérifier le protocole SSL	Case à cocher	Cochée	Oui	Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur Symantec Endpoint Security Complete est valide.

Remarque : Vous pourrez apporter des modifications ultérieurement si nécessaire. Une fois configurées, les instances peuvent être utilisées dans les playbooks. Pour en savoir plus sur la configuration et la compatibilité de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Ping

Description

Testez la connectivité à Symantec Endpoint Security Complete avec les paramètres fournis sur la page de configuration de l'intégration dans la page Google SecOps Content Hub.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Mur des cas

Type de résultat	Valeur / Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : en cas de réussite : "Successfully connected to the Symantec Endpoint Security Complete server with the provided connection parameters!" L'action doit échouer et arrêter l'exécution d'un playbook : en cas d'échec : "Failed to connect to the Symantec Endpoint Security Complete server! Error is {0}".format(exception.stacktrace)	Général

Enrichir les entités

Description

Enrichissez les entités à l'aide des informations de Symantec Endpoint Security Complete. Entités acceptées : nom d'hôte, hachage, URL et adresse IP. Seuls les hachages SHA256 sont acceptés.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Groupe d'appareils	Chaîne	Par défaut	Oui	Spécifiez le nom du groupe d'appareils à utiliser pour récupérer des informations sur les points de terminaison.
Créer un insight sur les points de terminaison	Case à cocher	Cochée	Non	Si cette option est activée, l'action crée un insight contenant des informations sur les points de terminaison.
Créer un insight d'IOC	Case à cocher	Cochée	Non	Si cette option est activée, l'action crée un insight contenant des informations sur les IOC enrichis.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

• Nom d'hôte
• Hash
• URL
• Adresse IP

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON pour le point de terminaison

{
    "id": "x10bQZJsRi6z87se02g3Vw",
    "os": {
        "ver": "10.0.18363",
        "name": "Windows 10 Enterprise Edition",
        "type": "WINDOWS_WORKSTATION",
        "64_bit": true,
        "lang": "en",
        "major_ver": 10,
        "minor_ver": 0,
        "sp": 0,
        "tz_offset": -480,
        "user": "Admin",
        "user_domain": "LocalComputer",
        "vol_avail_mb": 5443,
        "vol_cap_mb": 30138
    },
    "name": "DESKTOP-8P0TH6Q",
    "host": "DESKTOP-8P0TH6Q",
    "domain": "WORKGROUP",
    "created": "2020-11-19T12:24:23.422Z",
    "modified": "2021-03-05T10:39:03.884Z",
    "adapters": [
        {
            "addr": "2001:db8::",
            "category": "Public",
            "ipv4Address": "192.0.2.182",
            "ipv4_gw": "192.0.2.1",
            "ipv4_prefix": 24,
            "ipv6Address": "2001:db8:1:1:1:1:1:1",
            "ipv6_gw": "192.0.2.1",
            "ipv6_prefix": 64,
            "mask": "255.255.255.0"
        }
    ],
    "device_status": "SECURE",
    "parent_device_group_id": "rujWDk9WTcKsnLkCeZKl7A",
    "products": [
        {
            "name": "Symantec Endpoint Protection",
            "product_status": "SECURE",
            "version": "14.3.3384.1000",
            "agent_status": "ONLINE",
            "last_connected_time": "2021-03-05T10:39:23.271Z",
            "features": [
                {
                    "name": "APP_ISOLATION",
                    "state": "ENABLED",
                    "feature_status": "SECURE",
                    "engine_version": "6.7.0.2033"
                },
                {
                    "name": "FIREWALL",
                    "state": "ENABLED",
                    "feature_status": "SECURE"
                }
            ]
        }
    ]
}

Résultat JSON (pour les IOC)

{
    "reputation": "BAD",
    "prevalence": "LessThanFifty",
    "firstSeen": "2021-04-01",
    "lastSeen": "2021-04-03",
    "targetOrgs": {
        "topCountries": [
            "us",
            "cm",
            "sg"
        ],
        "topIndustries": [
            "financial services"
        ]
    },
    "state": "blocked",
    "process_chain": [
        {
            "parent": {
                "parent": {
                    "file": "6a671b92a69755de6fd063fcbe4ba926d83b49f78c42dbaeed8cdb6bbc57576a",
                    "processName": "explorer.exe"
                },
                "file": "f686f2ff41923bb5c106c76d5f3df30146eb37683b81c4a57110dcc63032526a",
                "processName": "chrome.exe"
            }
        }
    ]
}

Enrichissement d'entités – pour les points de terminaison

Nom du champ d'enrichissement	Logique : quand les utiliser ?
id	Lorsqu'il est disponible au format JSON
os	Lorsqu'il est disponible au format JSON
nom d'hôte	Lorsqu'il est disponible au format JSON
domaine	Lorsqu'il est disponible au format JSON
ips	Lorsqu'il est disponible au format JSON
mac
état	Lorsqu'il est disponible au format JSON
lien	Lorsqu'il est disponible au format JSON

Enrichissement d'entités (pour les IOC)

Nom du champ d'enrichissement	Logique : quand les utiliser ?
réputation	Lorsqu'il est disponible au format JSON
prévalence	Lorsqu'il est disponible au format JSON
pays	Lorsqu'il est disponible au format JSON
first_seen	Lorsqu'il est disponible au format JSON
last_seen	Lorsqu'il est disponible au format JSON
secteurs	Lorsqu'il est disponible au format JSON
state	Lorsqu'il est disponible au format JSON

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : if enriched some(is_success = true): "Successfully enriched the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier) Si certaines entités n'ont pas été enrichies (is_success = true) : "Action wasn't able to enrich the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier) Si l'enrichissement n'a pas été effectué pour toutes les entités (is_success = false) : "Aucune entité n'a été enrichie". L'action doit échouer et arrêter l'exécution d'un playbook en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace) Si le groupe d'appareils n'est pas valide : "Error executing action "Enrich Entities". Motif : le groupe d'appareils fourni est introuvable. Veuillez vérifier l'orthographe.'	Général
Tableau des entités	****	Entité

Lister les groupes d'appareils

Description

Répertoriez les groupes d'appareils disponibles dans Symantec Endpoint Security Complete.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Logique de filtrage	LDD	Égal à LDD Égal à Contient	Non	Spécifiez la logique de filtre à appliquer.
Valeur du filtre	Chaîne	N/A	Non	Spécifiez la valeur à utiliser dans le filtre.
Nombre maximal de groupes à renvoyer	Integer	50	Non	Spécifiez le nombre de groupes à renvoyer. Valeur par défaut : 50.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : si le code est 200 et que des données sont disponibles (is_success = true) : "Successfully returned available device groups in Symantec Endpoint Security Complete.". Si le code 200 est renvoyé et qu'aucune donnée n'est disponible (is_success=false) : "Aucun groupe d'appareils n'a été trouvé sur la base des critères fournis dans Symantec Endpoint Security Complete." L'action doit échouer et arrêter l'exécution d'un playbook : en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "List Device Groups". Reason: {0}''.format(error.Stacktrace)	Général
Tableau du mur des cas	Nom : Groupes d'appareils disponibles Colonnes : ID Nom	Général

Obtenir les IOC associés

Description

Obtenez les IOC liés aux entités à partir de Symantec Endpoint Security Complete. Entités acceptées : hachage, URL et adresse IP. Seuls les hachages SHA256 sont acceptés.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Filtre source	CSV	byThreatActor, byProcessChain, bySignature, bySampleTraits, byNetworkingTrait, bySimilarIncidents	Non	Spécifiez le filtre source. Si rien n'est fourni, l'action renvoie les entités associées, en fonction de toutes les sources. Valeurs possibles : byThreatActor, byProcessChain, bySignature, bySampleTraits, byNetworkingTrait, bySimilarIncidents

Exécuter sur

Cette action s'exécute sur les entités suivantes :

• Hash
• URL
• Adresse IP

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : si 200 (is_success = true) : "Successfully returned related IOCs for the provided entities from Symantec Endpoint Security Complete.". Si aucun IOC n'a été trouvé (is_success = false) : "No related IOCs were found for the provided entities from Symantec Endpoint Security Complete.". L'action doit échouer et arrêter l'exécution d'un playbook en cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. : "Error executing action "Get Related IOCs". Reason: {0}''.format(error.Stacktrace)	Général

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.