Symantec Endpoint Security Complete Cloud

Este documento fornece orientações sobre como integrar o Symantec Endpoint Security Complete Cloud ao Google SecOps.

Casos de uso

Realizar ações de enriquecimento.

Configurar a integração do Symantec Endpoint Security Complete Cloud no Google Security Operations

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Raiz da API String https://api.sep.securitycloud.symantec.com Sim Raiz da API Symantec Endpoint Security Complete
ID do cliente String N/A Sim ID do cliente do Symantec Endpoint Security Complete
Chave secreta do cliente Senha Sim Chave secreta do cliente do Symantec Endpoint Security Complete
Verificar SSL Caixa de seleção Selecionado Sim Se estiver ativado, verifique se o certificado SSL para a conexão com o servidor do Symantec Endpoint Security Complete é válido.

Ações

Ping

Descrição

Teste a conectividade com o Symantec Endpoint Security Complete com os parâmetros fornecidos na página de configuração de integração na página do Google SecOps Content Hub.

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se for bem-sucedida: "A conexão com o servidor do Symantec Endpoint Security Complete foi estabelecida com os parâmetros fornecidos."

A ação deve falhar e interromper a execução de um playbook:
se não for bem-sucedida: "Falha ao se conectar ao servidor do Symantec Endpoint Security Complete! O erro é {0}".format(exception.stacktrace)

 Geral

Enriquecer entidades

Descrição

Enriqueça as entidades usando informações do Symantec Endpoint Security Complete. Entidades compatíveis: nome do host, hash, URL e endereço IP. Somente hashes SHA256 são compatíveis.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Grupo de dispositivos String Padrão Sim Especifique o nome do grupo de dispositivos que será usado para recuperar informações sobre endpoints.
Criar insight de endpoint Caixa de seleção Selecionado Não Se ativada, a ação vai criar um insight com informações sobre os endpoints.
Criar insight de IOC Caixa de seleção Selecionado Não Se ativada, a ação vai criar um insight com informações sobre os IOCs enriquecidos.

Corrida

Essa ação é executada nas seguintes entidades:

  • Nome do host
  • Hash
  • URL
  • Endereço IP

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado JSON: para endpoint
{
    "id": "x10bQZJsRi6z87se02g3Vw",
    "os": {
        "ver": "10.0.18363",
        "name": "Windows 10 Enterprise Edition",
        "type": "WINDOWS_WORKSTATION",
        "64_bit": true,
        "lang": "en",
        "major_ver": 10,
        "minor_ver": 0,
        "sp": 0,
        "tz_offset": -480,
        "user": "Admin",
        "user_domain": "LocalComputer",
        "vol_avail_mb": 5443,
        "vol_cap_mb": 30138
    },
    "name": "DESKTOP-8P0TH6Q",
    "host": "DESKTOP-8P0TH6Q",
    "domain": "WORKGROUP",
    "created": "2020-11-19T12:24:23.422Z",
    "modified": "2021-03-05T10:39:03.884Z",
    "adapters": [
        {
            "addr": "2001:db8::",
            "category": "Public",
            "ipv4Address": "192.0.2.182",
            "ipv4_gw": "192.0.2.1",
            "ipv4_prefix": 24,
            "ipv6Address": "2001:db8:1:1:1:1:1:1",
            "ipv6_gw": "192.0.2.1",
            "ipv6_prefix": 64,
            "mask": "255.255.255.0"
        }
    ],
    "device_status": "SECURE",
    "parent_device_group_id": "rujWDk9WTcKsnLkCeZKl7A",
    "products": [
        {
            "name": "Symantec Endpoint Protection",
            "product_status": "SECURE",
            "version": "14.3.3384.1000",
            "agent_status": "ONLINE",
            "last_connected_time": "2021-03-05T10:39:23.271Z",
            "features": [
                {
                    "name": "APP_ISOLATION",
                    "state": "ENABLED",
                    "feature_status": "SECURE",
                    "engine_version": "6.7.0.2033"
                },
                {
                    "name": "FIREWALL",
                    "state": "ENABLED",
                    "feature_status": "SECURE"
                }
            ]
        }
    ]
}
Resultado em JSON: para IOCs
{
    "reputation": "BAD",
    "prevalence": "LessThanFifty",
    "firstSeen": "2021-04-01",
    "lastSeen": "2021-04-03",
    "targetOrgs": {
        "topCountries": [
            "us",
            "cm",
            "sg"
        ],
        "topIndustries": [
            "financial services"
        ]
    },
    "state": "blocked",
    "process_chain": [
        {
            "parent": {
                "parent": {
                    "file": "6a671b92a69755de6fd063fcbe4ba926d83b49f78c42dbaeed8cdb6bbc57576a",
                    "processName": "explorer.exe"
                },
                "file": "f686f2ff41923bb5c106c76d5f3df30146eb37683b81c4a57110dcc63032526a",
                "processName": "chrome.exe"
            }
        }
    ]
}
Enriquecimento de entidade: para endpoint
Nome do campo de enriquecimento Lógica: quando aplicar
ID Quando disponível em JSON
os Quando disponível em JSON
nome do host Quando disponível em JSON
domínio Quando disponível em JSON
IPs Quando disponível em JSON
mac
status Quando disponível em JSON
link Quando disponível em JSON
Enriquecimento de entidades: para IOCs
Nome do campo de enriquecimento Lógica: quando aplicar
reputação Quando disponível em JSON
prevalência Quando disponível em JSON
countries Quando disponível em JSON
first_seen Quando disponível em JSON
last_seen Quando disponível em JSON
indústrias Quando disponível em JSON
estado Quando disponível em JSON
Painel de casos
Tipo de resultado Valor/Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
if enriched some(is_success = true): "Successfully enriched the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier)

Se não foi possível enriquecer algumas (is_success = true): "Action wasn't able to enrich the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier)

Se não tiver enriquecido tudo (is_success = false): "Nenhuma entidade foi enriquecida".

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Enriquecer entidades'. Motivo: {0}''.format(error.Stacktrace)

Se o grupo de dispositivos for inválido: "Erro ao executar a ação 'Enriquecer entidades'. Motivo: o grupo de dispositivos fornecido não foi encontrado. Verifique a ortografia.'

 Geral
Tabela de entidades **** Entidade

Listar grupos de dispositivos

Descrição

Liste os grupos de dispositivos disponíveis no Symantec Endpoint Security Complete.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Lógica de filtro DDL

Igual

DDL

Igual

Contém

 Não Especifique qual lógica de filtro deve ser aplicada.
Filtrar por valor String N/A Não Especifique qual valor deve ser usado no filtro.
Número máximo de grupos a serem retornados Inteiro 50 Não Especifique quantos grupos serão retornados. Padrão: 50.

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
Painel de casos
Tipo de resultado Valor/Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se 200 e os dados estiverem disponíveis (is_success = true): "Successfully returned available device groups in Symantec Endpoint Security Complete.".

Se 200 e nenhum dado estiver disponível (is_success=false) "Nenhum grupo de dispositivos foi encontrado com base nos critérios fornecidos no Symantec Endpoint Security Complete."

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Listar grupos de dispositivos'. Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela do painel de casos

Nome:grupos de dispositivos disponíveis

Colunas:

ID

Nome

Geral

Descrição

Receba IOCs relacionados às entidades do Symantec Endpoint Security Complete. Entidades compatíveis: hash, URL e endereço IP. Somente hashes SHA256 são aceitos.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Filtro de origem CSV

byThreatActor,
byProcessChain,
bySignature,
bySampleTraits,
byNetworkingTrait,
bySimilarIncidents

 Não

Especifique o filtro de origem. Se nada for fornecido, a ação vai retornar entidades relacionadas com base em todas as fontes.
Valores possíveis:

byThreatActor, byProcessChain, bySignature, bySampleTraits, byNetworkingTrait,

bySimilarIncidents

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • URL
  • Endereço IP

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
Painel de casos
Tipo de resultado Valor/Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se 200 (is_success = true): "Os IOCs relacionados às entidades fornecidas foram retornados com sucesso do Symantec Endpoint Security Complete.".

Se nenhum IOC for encontrado (is_success = false): "Nenhum IOC relacionado foi encontrado para as entidades fornecidas do Symantec Endpoint Security Complete".

A ação deve falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros: "Erro ao executar a ação 'Receber IOCs relacionados'. Motivo: {0}''.format(error.Stacktrace)

 Geral

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.