Symantec Endpoint Security Complete Cloud

במסמך הזה מוסבר איך לשלב את Symantec Endpoint Security Complete Cloud עם Google SecOps.

תרחישים לדוגמה

ביצוע פעולות להעשרת הנתונים.

הגדרת שילוב של Symantec Endpoint Security Complete Cloud ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
ספריית הבסיס של ה-API String https://api.sep.securitycloud.symantec.com כן Symantec Endpoint Security Complete API root
מזהה לקוח String לא רלוונטי כן מזהה הלקוח של Symantec Endpoint Security Complete
סוד לקוח סיסמה כן סוד לקוח מלא של Symantec Endpoint Security
אימות SSL תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Symantec Endpoint Security Complete תקף.

פעולות

פינג

תיאור

בודקים את הקישוריות אל Symantec Endpoint Security Complete באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Marketplace ב-Google Security Operations.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק:
אם הפעולה הצליחה: 'החיבור לשרת Symantec Endpoint Security Complete בוצע בהצלחה עם פרמטרי החיבור שסופקו!'

הפעולה צריכה להיכשל ולהפסיק את ההרצה של ה-Playbook:
אם הפעולה לא מצליחה: "ההתחברות לשרת Symantec Endpoint Security Complete נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 כללי

העשרת ישויות

תיאור

העשרת ישויות באמצעות מידע מ-Symantec Endpoint Security Complete. הישויות הנתמכות: שם מארח, גיבוב, כתובת URL וכתובת IP. יש תמיכה רק בגיבובי SHA256.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
קבוצת מכשירים String ברירת מחדל כן מציינים את השם של קבוצת המכשירים שבה רוצים להשתמש כדי לאחזר מידע על נקודות קצה.
יצירת תובנה לגבי נקודת קצה תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תיצור תובנה שמכילה מידע על נקודות הקצה.
יצירת תובנה לגבי IOC תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תיצור תובנה שמכילה מידע על IOC מועשרים.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

  • שם המארח
  • גיבוב (hash)
  • כתובת URL
  • כתובת IP

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON – לנקודת קצה
{
    "id": "x10bQZJsRi6z87se02g3Vw",
    "os": {
        "ver": "10.0.18363",
        "name": "Windows 10 Enterprise Edition",
        "type": "WINDOWS_WORKSTATION",
        "64_bit": true,
        "lang": "en",
        "major_ver": 10,
        "minor_ver": 0,
        "sp": 0,
        "tz_offset": -480,
        "user": "Admin",
        "user_domain": "LocalComputer",
        "vol_avail_mb": 5443,
        "vol_cap_mb": 30138
    },
    "name": "DESKTOP-8P0TH6Q",
    "host": "DESKTOP-8P0TH6Q",
    "domain": "WORKGROUP",
    "created": "2020-11-19T12:24:23.422Z",
    "modified": "2021-03-05T10:39:03.884Z",
    "adapters": [
        {
            "addr": "2001:db8::",
            "category": "Public",
            "ipv4Address": "192.0.2.182",
            "ipv4_gw": "192.0.2.1",
            "ipv4_prefix": 24,
            "ipv6Address": "2001:db8:1:1:1:1:1:1",
            "ipv6_gw": "192.0.2.1",
            "ipv6_prefix": 64,
            "mask": "255.255.255.0"
        }
    ],
    "device_status": "SECURE",
    "parent_device_group_id": "rujWDk9WTcKsnLkCeZKl7A",
    "products": [
        {
            "name": "Symantec Endpoint Protection",
            "product_status": "SECURE",
            "version": "14.3.3384.1000",
            "agent_status": "ONLINE",
            "last_connected_time": "2021-03-05T10:39:23.271Z",
            "features": [
                {
                    "name": "APP_ISOLATION",
                    "state": "ENABLED",
                    "feature_status": "SECURE",
                    "engine_version": "6.7.0.2033"
                },
                {
                    "name": "FIREWALL",
                    "state": "ENABLED",
                    "feature_status": "SECURE"
                }
            ]
        }
    ]
}
תוצאה בפורמט JSON – ל-IOC
{
    "reputation": "BAD",
    "prevalence": "LessThanFifty",
    "firstSeen": "2021-04-01",
    "lastSeen": "2021-04-03",
    "targetOrgs": {
        "topCountries": [
            "us",
            "cm",
            "sg"
        ],
        "topIndustries": [
            "financial services"
        ]
    },
    "state": "blocked",
    "process_chain": [
        {
            "parent": {
                "parent": {
                    "file": "6a671b92a69755de6fd063fcbe4ba926d83b49f78c42dbaeed8cdb6bbc57576a",
                    "processName": "explorer.exe"
                },
                "file": "f686f2ff41923bb5c106c76d5f3df30146eb37683b81c4a57110dcc63032526a",
                "processName": "chrome.exe"
            }
        }
    ]
}
העשרה של ישויות – ל-Endpoint
שם שדה ההעשרה לוגיקה – מתי להחיל
id כשהנתונים זמינים בפורמט JSON
os כשהנתונים זמינים בפורמט JSON
hostname כשהנתונים זמינים בפורמט JSON
דומיין כשהנתונים זמינים בפורמט JSON
ips כשהנתונים זמינים בפורמט JSON
mac
סטטוס כשהנתונים זמינים בפורמט JSON
קישור כשהנתונים זמינים בפורמט JSON
העשרת ישויות – עבור IOC
שם שדה ההעשרה לוגיקה – מתי להחיל
מוניטין כשהנתונים זמינים בפורמט JSON
שכיחות כשהנתונים זמינים בפורמט JSON
מדינות כשהנתונים זמינים בפורמט JSON
first_seen כשהנתונים זמינים בפורמט JSON
last_seen כשהנתונים זמינים בפורמט JSON
תעשיות כשהנתונים זמינים בפורמט JSON
הסמוי הסופי כשהנתונים זמינים בפורמט JSON
Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של Playbook:
if enriched some(is_success = true): "Successfully enriched the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier)

אם לא בוצע обогащение של חלק מהנתונים (is_success = true): "Action wasn't able to enrich the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier)

אם לא בוצע обогащение לכל הישויות (is_success = false): 'No entities were enriched'.

הפעולה אמורה להיכשל ולהפסיק את ההרצה של ה-Playbook:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: 'שגיאה בהרצת הפעולה Enrich Entities'. הסיבה: {0}''.format(error.Stacktrace)

אם קבוצת המכשירים לא תקינה: "שגיאה בהרצת הפעולה 'הוספת פרטים לישויות'. הסיבה: קבוצת המכשירים שצוינה לא נמצאה. כדאי לבדוק את האיות'.

 כללי
טבלת ישויות **** ישות

הצגת רשימה של קבוצות מכשירים

תיאור

רשימה של קבוצות מכשירים זמינות ב-Symantec Endpoint Security Complete.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
לוגיקת הסינון DDL

שווה

DDL

שווה

מכיל

 לא מציינים את לוגיקת הסינון שרוצים להחיל.
ערך המסנן String לא רלוונטי לא מציינים באיזה ערך להשתמש במסנן.
המספר המקסימלי של קבוצות להחזרה מספר שלם 50 לא מציינים כמה קבוצות להחזיר. ברירת מחדל: 50.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההפעלה של ספר ההדרכה:
אם 200 ונתונים זמינים (is_success = true): 'הוחזרו בהצלחה קבוצות מכשירים זמינות ב-Symantec Endpoint Security Complete'.

אם הערך הוא 200 ולא זמינים נתונים (is_success=false) "לא נמצאו קבוצות מכשירים על סמך הקריטריונים שסופקו ב-Symantec Endpoint Security Complete".

הפעולה אמורה להיכשל ולהפסיק את ההרצה של תוכנית הפעולה:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "List Device Groups". Reason: {0}''.format(error.Stacktrace)

 כללי
Case Wall Table

שם: קבוצות מכשירים זמינות

עמודות:

מזהה

שם

כללי

תיאור

קבלת אינדיקטורים של פריצות שקשורים לישויות מ-Symantec Endpoint Security Complete. הישויות הנתמכות: Hash, כתובת URL וכתובת IP. יש תמיכה רק בגיבובי SHA256.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מסנן מקור CSV

byThreatActor,
byProcessChain,
bySignature,
bySampleTraits,
byNetworkingTrait,
bySimilarIncidents

 לא

מציינים את מסנן המקור. אם לא מספקים כלום, הפעולה תחזיר ישויות קשורות על סמך כל המקורות.
ערכים אפשריים:

byThreatActor, byProcessChain, bySignature, bySampleTraits, byNetworkingTrait,

bySimilarIncidents

ריצה

הפעולה הזו מופעלת בישויות הבאות:

  • גיבוב (hash)
  • כתובת URL
  • כתובת IP

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של playbook:
if 200 (is_success = true): "Successfully returned related IOCs for the provided entities from Symantec Endpoint Security Complete.".

אם לא נמצאו אינדיקטורים של פריצות (is_success = false): "No related IOCs were found for the provided entities from Symantec Endpoint Security Complete.".

הפעולה תיכשל ותפסיק את ההפעלה של ספריית המחזות:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: 'שגיאה בהפעלת הפעולה Get Related IOCs. הסיבה: {0}''.format(error.Stacktrace)

 כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.