Tanium

Questo documento fornisce indicazioni su come integrare Tanium con Google SecOps.

Prerequisiti

Tanium utilizza i token API per autenticare le chiamate alle API REST. Per ulteriori informazioni su come generare token API, consulta Gestione dei token API nella documentazione di Tanium.

Integra Tanium con Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Root API URL N/D Sì Specifica la radice dell'API Tanium che l'integrazione deve utilizzare.
Token API Password N/D Sì Specifica il token API Tanium che deve essere utilizzato dall'integrazione.
Verifica SSL Casella di controllo Selezionata No Se abilitato, il server Google SecOps verifica che il certificato sia configurato per la radice dell'API.

Azioni

Dindin

Testa la connettività all'installazione di Tanium con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Pubblica su

Questa azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: "Connessione all'installazione di Tanium eseguita con i parametri di connessione forniti".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore critico, ad esempio credenziali errate o perdita di connettività: "Impossibile connettersi all'installazione di Tanium. Error is {0}".format(exception.stacktrace)

 Generale

Arricchisci le entità

Arricchisci le entità utilizzando le informazioni di Tanium. L'azione è un'azione asincrona di Google SecOps. Entità supportate: nome host, indirizzo IP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Campi aggiuntivi CSV N/D No

Specifica campi aggiuntivi da recuperare da Tanium per l'arricchimento delle entità.

Il parametro accetta più valori sotto forma di stringa separata da virgole.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

  • Indirizzo IP
  • Nome host

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
    "data": {
        "now": "2022/01/28 10:18:54 GMT-0000",
        "max_available_age": "",
        "result_sets": [
            {
                "age": 0,
                "id": X,
                "report_count": 2,
                "saved_question_id": 0,
                "question_id": X,
                "archived_question_id": 0,
                "seconds_since_issued": 0,
                "issue_seconds": 0,
                "expire_seconds": 0,
                "tested": 4,
                "passed": 1,
                "mr_tested": 4,
                "mr_passed": 4,
                "estimated_total": 4,
                "select_count": 10,
                "error_count": 0,
                "no_results_count": 0,
                "columns": [
                    {
                        "hash": X,
                        "name": "Computer ID",
                        "type": 1
                    },
                    {
                        "hash": 0,
                        "name": "Count",
                        "type": 3
                    }
                ],
                "cache_id": "X",
                "expiration": 0,
                "filtered_row_count": 1,
                "filtered_row_count_machines": 1,
                "row_count": 1,
                "row_count_machines": 1,
                "item_count": 1,
                "rows": [
                    {
                        "id": x,
                        "cid": x,
                        "data": [
                            [
                                {
                                    "text": "X"
                                }
                            ],
                            [
                                {
                                    "text": "No User"
                                }
                            ],
                            [
                                {
                                    "text": "1"
                                }
                            ]
                        ]
                    }
                ]
            }
        ]
    }
}
Tabella di arricchimento

Prefisso: Tanium_

Nome del campo di arricchimento Logica - Quando applicarle
Computer_ID Se disponibile in JSON
Operating_System Se disponibile in JSON
OS_Platform Se disponibile in JSON
Service_Pack Se disponibile in JSON
Domain_Name Se disponibile in JSON
Tempo di attività Se disponibile in JSON
System_UUID Se disponibile in JSON
IP_Address Se disponibile in JSON
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se i dati sono disponibili per un'entità (is_success = true): "Le seguenti entità sono state arricchite correttamente utilizzando le informazioni di Tanium: {entity.identifier}".

Se i dati non sono disponibili per un'entità (is_success=true): "L'azione non è stata in grado di arricchire le seguenti entità utilizzando le informazioni di Tanium: {entity.identifier}"

Se sono presenti più corrispondenze in Tanium per l'entità fornita (is_success=true): "Sono stati trovati più risultati in Tanium per le entità, prendendo la prima corrispondenza: {entity.identifier}"

Se i dati non sono disponibili per tutte le entità (is_success=false): "Nessuna delle entità fornite è stata arricchita."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato il codice di stato 400 (sintassi della domanda errata): "Errore durante l'esecuzione dell'azione "Arricchisci entità" perché il testo della domanda fornito non è valido. "

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Arricchisci entità"." Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella della bacheca casi

Nome tabella: {entity.identifier}

Colonne della tabella:

  • Chiave
  • Valore
 Entità

Crea domanda

Crea una nuova domanda Tanium in base ai parametri specificati e la domanda viene posta immediatamente. L'azione restituisce l'ID della domanda che può essere passato all'azione "Ottieni risultati della domanda" per ottenere i risultati della domanda. Tieni presente che l'azione non funziona con le entità Google SecOps.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Testo domanda Stringa N/D Sì

Specifica i contenuti della domanda Tanium.

Esempio: recupera il sistema operativo da tutte le macchine

Pubblica su

L'azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
    "data": {
        "id": X
    }
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se i dati sono disponibili (is_success = true): "Successfully created Tanium question with id {question_id_from_response}".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato il codice di stato 400 (sintassi della domanda errata): "Errore durante l'esecuzione dell'azione "Crea domanda" perché il testo della domanda fornito non è valido. "

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Crea domanda". Reason: {0}''.format(error.Stacktrace)

 Generale

Ottieni i risultati della domanda

Recupera i risultati per la domanda di Tanium. L'azione è un'azione asincrona di Google SecOps. Tieni presente che l'azione non funziona con le entità Google SecOps.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID domanda Numero intero N/D Sì Specifica l'ID della domanda Tanium per cui ottenere i risultati.
Crea tabella Case Wall Casella di controllo Selezionata No Se abilitata, l'azione crea una tabella della bacheca casi come parte dei risultati dell'azione.
Numero massimo di righe da restituire Numero intero 50 Sì Specifica il numero massimo di righe che l'azione deve restituire per la domanda.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
  "id": 1,
  "report_count": 3,
  "saved_question_id": 0,
  "question_id": 1,
  "seconds_since_issued": 600,
  "issue_seconds": 0,
  "expire_seconds": 600,
  "tested": 3,
  "passed": 3,
  "mr_tested": 3,
  "mr_passed": 3,
  "estimated_total": 3,
  "select_count": 3,
  "error_count": 0,
  "no_results_count": 0,
  "row_count": 3,
  "row_count_machines": 3,
  "item_count": 3,
  "filtered_row_count": 3,
  "filtered_row_count_machines": 3,
  "columns": [
    {
      "hash": 1,
      "name": "IP Address",
      "type": 5
    },
    {
      "hash": 2,
      "name": "Computer Name",
      "type": 1
    },
    {
      "hash": 3,
      "name": "Operating System",
      "type": 1
    }
  ],
  "rows": [
    {
      "IP Address": [
        "2001:db8:a::100",
        "192.0.2.10"
      ],
      "Computer Name": [
        "CLIENT-A01"
      ],
      "Operating System": [
        "Windows Server 2022 Datacenter"
      ]
    },
    {
      "IP Address": [
        "2001:db8:a::101"
      ],
      "Computer Name": [
        "CLIENT-B02"
      ],
      "Operating System": [
        "Windows Server 2019 Standard Evaluation"
      ]
    },
    {
      "IP Address": [
        "198.51.100.5"
      ],
      "Computer Name": [
        "server-web-prod.example.com"
      ],
      "Operating System": [
        "Debian 12.12"
      ]
    }
  ]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se i dati sono disponibili (is_success=true): "Risultati recuperati correttamente per il seguente ID domanda Tanium: {question id}".

Se i dati non sono disponibili (is_success=false): "Nessun risultato trovato per l'ID domanda Tanium: {question id}"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato il codice di stato 404 (la domanda non esiste): "Impossibile trovare la domanda Tanium con ID domanda {question_id}. "

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Ottieni risultati della domanda". Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella

Nome tabella: Tanium Question {question_id} Results

Colonne della tabella:

Le colonne vengono generate in base ai dati restituiti da una domanda.

 Generale

Elenca eventi endpoint

Elenca gli eventi correlati agli endpoint di Tanium. L'azione funziona con l'API Tanium Threat Response.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Tipo di evento DDL

Combinato

Valori possibili:

  • File
  • Rete
  • Processo
  • Registro
  • Driver
  • Combinato
  • DNS
  • Immagine
 No Specifica il tipo di evento che deve essere restituito.
Intervallo di tempo DDL

Ultima ora

Valori possibili:

  • Ultima ora
  • Ultime 6 ore
  • Ultime 24 ore
  • Settimana scorsa
  • Mese scorso
  • Tempo di avviso fino ad ora
  • 5 minuti intorno all'ora dell'avviso
  • 30 minuti intorno all'ora dell'avviso
  • 1 ora intorno all'ora dell'avviso
  • Personalizzato
 No

Specifica un intervallo di tempo per i risultati.

Se è selezionata l'opzione "Ora di avviso fino ad ora", l'azione utilizza l'ora di inizio dell'avviso come ora di inizio della ricerca e l'ora di fine è l'ora corrente.

Se è selezionata l'opzione "30 minuti intorno all'ora dell'avviso", l'azione cerca gli avvisi 30 minuti prima e 30 minuti dopo l'avviso. La stessa idea si applica a "1 ora intorno all'ora dell'avviso" e "5 minuti intorno all'ora dell'avviso". Se selezioni "Personalizzato", devi anche fornire il parametro "Ora di inizio".
Ora di inizio Stringa N/D No

Specifica l'ora di inizio dei risultati.

Questo parametro è obbligatorio se per il parametro "Periodo di tempo" è selezionato "Personalizzato".

Formato: ISO 8601
Ora di fine Stringa N/D No

Specifica l'ora di fine per i risultati.

Se non viene fornito alcun valore e per il parametro "Periodo di tempo" è selezionato "Personalizzato", questo parametro utilizza l'ora corrente.

Formato: ISO 8601
Campo di ordinamento Stringa timestamp No Specifica il parametro da utilizzare per l'ordinamento.
Ordinamento DDL

ASC Possible

Valori:

  • CRESC
  • DECR
 No Specifica l'ordine di ordinamento.
Numero massimo di eventi da restituire Numero intero 50 No

Specifica il numero di eventi da restituire per entità.

Massimo: 500

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
  "events": [
    {
      "create_time": "2022-01-18 11:59:52.000",
      "end_time": null,
      "exit_code": null,
      "pid": 2,
      "process_path": "kthreadd",
      "id": "72057594037927939",
      "process_table_id": "72057594037927939",
      "parent_process_table_id": "72057594037927937",
      "parent_pid": -1,
      "user_name": "root",
      "group_name": "root",
      "hash_type_name": null,
      "hash": null,
      "process_command_line": null,
      "parent_path": "<Unknown Process>",
      "parent_command_line": "<Unknown Process>",
      "parent_hash": null,
      "create_time_raw": 1642507192000,
      "end_time_raw": null
    }
  ]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se viene trovato almeno un evento per un endpoint (is_success=true): "Successfully returned events for the following endpoints in Tanium:\n".format(entity)."

Se non vengono trovati eventi per un endpoint (is_success=true): "No events were found for the following endpoints in Tanium:\n".format(entity)."

Se non vengono trovati eventi per tutti gli endpoint (is_success=true): "Non sono stati trovati eventi per gli endpoint forniti in Tanium."

Se non è stato possibile creare la connessione o non è stata trovata alcuna connessione per alcuni endpoint (is_success=true): "L'azione non è riuscita a recuperare informazioni sugli eventi dai seguenti endpoint in Tanium a causa di problemi di connettività dell'agente: {entity}. Assicurati che questi nomi host siano connessi al modulo Tanium Threat Response."

Se non sono stati arricchiti tutti (is_success=false): "Non sono state trovate informazioni sugli IOC."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Arricchisci IOC". Reason: {0}''.format(error.Stacktrace)

Se non è stato possibile creare la connessione o non viene trovata alcuna connessione per tutti gli endpoint (is_success=false): "Errore durante l'esecuzione dell'azione "Elenca eventi endpoint". Motivo: l'azione non è riuscita a recuperare informazioni sugli eventi dagli endpoint forniti in Tanium a causa di problemi di connettività dell'agente. Assicurati che questi nomi host siano connessi al modulo Tanium Threat Response."

 Generale

Endpoint di quarantena

Metti in quarantena gli endpoint in Tanium. L'azione funziona con l'API Tanium Threat Response.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Solo avvio Casella di controllo Deselezionata Sì Se abilitata, l'azione avvia solo l'esecuzione dell'attività senza attendere i risultati.
Nomi pacchetto Stringa
  • Apply Linux IPTables Quarantine per Linux
  • Apply Mac PF Quarantine per macOS
  • Apply Windows IPsec Quarantine per Windows
 Sì Un oggetto JSON contenente tutti i nomi dei pacchetti per ogni sistema operativo.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

  • Indirizzo IP
  • Nome host

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
  "id": 82,
  "type": "responseAction",
  "status": "COMPLETED",
  "metadata": {
      "id": 2,
      "type": "gatherSnapshot",
      "status": "RUNNING",
      "computerName": "EX01.exlab.local",
      "userId": 1,
      "userName": "tanium",
      "options": {},
      "results": {
          "taskIds": [
              73
          ],
          "actionIds": []
      },
      "expirationTime": "2022-03-08T14:31:50.211Z",
      "createdAt": "2022-03-01T14:31:50.212Z",
      "updatedAt": "2022-03-01T14:36:19.533Z"
  },
  "results": {
      "didActionComplete": false,
      "stopped": true,
      "finished": true
  },
  "error": null,
  "startTime": "2022-03-01T14:42:10.390Z",
  "endTime": "2022-03-01T15:29:50.495Z",
  "createdAt": "2022-03-01T14:42:10.379Z",
  "updatedAt": "2022-03-01T14:42:10.379Z"
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se almeno un endpoint è in quarantena (is_success=true): "Successfully initiated quarantine on the following endpoints in Tanium:\n".format(entity)

Se almeno un endpoint non è in quarantena, ma non a causa di un timeout (is_success=false): "L'azione non è riuscita a mettere in quarantena i seguenti endpoint in Tanium: {entity}. Assicurati che l'agente Tanium Threat Response sia connesso correttamente e che il nome host/indirizzo IP sia corretto."

Se non tutti gli endpoint sono in quarantena, ma non a causa di un timeout (is_success=false): "L'azione non è riuscita a mettere in quarantena gli endpoint forniti in Tanium. Assicurati che l'agente Tanium Threat Response sia connesso correttamente e che il nome host/indirizzo IP sia corretto."

Entità asincrone in attesa: {entities}

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Arricchisci IOC". Reason: {0}''.format(error.Stacktrace)

Se non è stato possibile creare la connessione o non è stata trovata alcuna connessione per tutti gli endpoint (is_success=false): "Errore durante l'esecuzione dell'azione "Isola endpoint". Motivo: l'azione non è riuscita a mettere in quarantena gli endpoint forniti in Tanium a causa di problemi di connettività dell'agente. Assicurati che gli endpoint siano connessi al modulo Tanium Threat Response e che il nome host/indirizzo IP sia corretto."

Se si verifica un timeout: "Errore durante l'esecuzione dell'azione "Isola endpoint". Motivo: l'azione ha riscontrato un timeout durante l'esecuzione. Entità in attesa: {entities that are still in progress}. Aumenta il timeout nell'IDE o attiva "Solo avvio"."

 Generale

Scarica file

Scarica un file dagli endpoint in Tanium. L'azione funziona con l'API Tanium Threat Response.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Percorsi file CSV N/D Sì Specifica il percorso assoluto dei file sull'endpoint da scaricare.
Percorso della cartella di download Stringa N/D Sì Specifica il percorso della cartella in cui vuoi archiviare i file.
Sovrascrivi Casella di controllo Deselezionata Sì Se abilitata, l'azione sovrascrive il file con lo stesso nome.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

  • Indirizzo IP
  • Nome host

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
    "absolute_file_path": [
        "file_path_1",
        "file_path_2"
    ],
    "entity": [
        {
            "identifier": "",
            "task_details": {
                "id": 81,
                "type": "fileDownload",
                "status": "COMPLETED",
                "metadata": {
                    "connection": "remote:centos-003:3864230059:1",
                    "paths": [
                        "/tmp/saaj-impl.jar"
                    ],
                    "compress": "true"
                },
                "results": {
                    "completed": [
                        "/tmp/saaj-impl.jar"
                    ],
                    "failed": [],
                    "fileResults": [
                        {
                            "response": {
                                "source": "/tmp/saaj-impl.jar",
                                "target": "/opt/Tanium/TaniumModuleServer/services/threat-response-service/tmp/4965e791-db87-4f31-ba60-2e52c9bac3de",
                                "totalBytes": 503502,
                                "transferHash": "5402c16c3873a722b94d8a3101cb98f5e4f862acc69cdee3a94cf40c1b04b265",
                                "totalTimeMs": 260,
                                "avgBytesPerSecond": 504123.0769230769
                            },
                            "uuid": "eb5077b3-9b02-42e2-bba4-58d9668a14e4",
                            "finalPath": "/opt/Tanium/TaniumModuleServer/services/threat-response-files/evidence/files/eb5077b3-9b02-42e2-bba4-58d9668a14e4.zip"
                        }
                    ]
                },
                "error": null,
                "startTime": "2022-03-01T14:38:23.952Z",
                "endTime": "2022-03-01T14:38:24.559Z",
                "createdAt": "2022-03-01T14:38:23.943Z",
                "updatedAt": "2022-03-01T14:38:23.943Z"
            }
        }
    ]
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se viene scaricato almeno un file per entità (is_success=true): "I seguenti file sono stati scaricati correttamente dall'endpoint {entity} in Tanium:\n".format(downloaded files)."

Se almeno un file non viene scaricato per entità, ma non a causa di un timeout (is_success=false): "L'azione non è riuscita a scaricare i seguenti file dall'endpoint {entity} in Tanium: {pending files}. Assicurati che l'agente Tanium Threat Response sia connesso correttamente e che il nome host/indirizzo IP sia corretto. Il risultato JSON contiene ulteriori dettagli sulle attività."

Entità asincrone in attesa: {entities}

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Scarica file". Reason: {0}''.format(error.Stacktrace)"

Se esiste già un file con lo stesso nome, ma "Overwrite" == false: "Errore durante l'esecuzione dell'azione "Download File". Motivo: i file con percorso {0} esistono già. Elimina i file o imposta "Overwrite" su true."

Se si verifica un timeout: "Errore durante l'esecuzione dell'azione "Scarica file". Motivo: l'azione ha riscontrato un timeout durante l'esecuzione. Entità in attesa: {entities that are still in progress}. Aumenta il timeout nell'IDE."

 Generale

Elimina file

Scarica un file dagli endpoint in Tanium. L'azione funziona con l'API Tanium Threat Response.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Percorsi file CSV N/D Sì Specifica il percorso assoluto dei file sull'endpoint da eliminare.

Pubblica su

Questa azione funziona con le seguenti entità:

  • Indirizzo IP
  • Nome host

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
  "success": [],
  "not_exist_already_or_errors": []
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se viene eliminato almeno un file (codice di stato: 204, is_success=true): "Successfully deleted files from the following endpoints in Tanium:\n".format(entity)."

Se almeno un file non esiste su un endpoint (codice di stato: 500, is_success=true): "Status about some of the files is not clear, please check the JSON result. Tanium restituisce il codice di stato 500 se il file non viene trovato, ma anche se si verificano altri problemi."

Se almeno un file non esiste su tutti gli endpoint (codice di stato: 500, is_success=false): "Status about all of the files is not clear, please check the JSON result. Tanium restituisce il codice di stato 500 se il file non viene trovato, ma anche se si verificano altri problemi."

Se non viene trovato almeno un endpoint (is_success=true): "L'azione non è riuscita a eliminare i file dai seguenti endpoint in Tanium: {entity}. Assicurati che l'agente Tanium Threat Response sia connesso correttamente e che il nome host/indirizzo IP sia corretto."

Se non vengono trovati tutti gli endpoint (is_success=false): "L'azione non è riuscita a eliminare i file dagli endpoint forniti in Tanium. Assicurati che l'agente Tanium Threat Response sia connesso correttamente e che il nome host/indirizzo IP sia corretto."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elimina file". Reason: {0}''.format(error.Stacktrace)

 Generale

Ottieni dettagli attività

Recupera i dettagli di un'attività in Tanium. L'azione funziona con l'API Tanium Threat Response.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID attività CSV N/D Sì Specifica un elenco separato da virgole di ID attività per cui vuoi recuperare i dettagli.
Attendi il completamento Casella di controllo Selezionata No

Se abilitata, l'azione attende che l'attività abbia uno dei seguenti stati:

  • Completato
  • Incompleto
  • Errore

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
    "id": 81,
    "type": "fileDownload",
    "status": "COMPLETED",
    "metadata": {
        "connection": "remote:centos-003:3864230059:1",
        "paths": [
            "/tmp/saaj-impl.jar"
        ],
        "compress": "true"
    },
    "results": {
        "completed": [
            "/tmp/saaj-impl.jar"
        ],
        "failed": [],
        "fileResults": [
            {
                "response": {
                    "source": "/tmp/saaj-impl.jar",
                    "target": "/opt/Tanium/TaniumModuleServer/services/threat-response-service/tmp/4965e791-db87-4f31-ba60-2e52c9bac3de",
                    "totalBytes": 503502,
                    "transferHash": "5402c16c3873a722b94d8a3101cb98f5e4f862acc69cdee3a94cf40c1b04b265",
                    "totalTimeMs": 260,
                    "avgBytesPerSecond": 504123.0769230769
                },
                "uuid": "eb5077b3-9b02-42e2-bba4-58d9668a14e4",
                "finalPath": "/opt/Tanium/TaniumModuleServer/services/threat-response-files/evidence/files/eb5077b3-9b02-42e2-bba4-58d9668a14e4.zip"
            }
        ]
    },
    "error": null,
    "startTime": "2022-03-01T14:38:23.952Z",
    "endTime": "2022-03-01T14:38:24.559Z",
    "createdAt": "2022-03-01T14:38:23.943Z",
    "updatedAt": "2022-03-01T14:38:23.943Z"
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se viene recuperata almeno un'attività (is_success=true): "Successfully fetched details about the following tasks in Tanium:\n".format(id)."

Se almeno un'attività non viene trovata (is_success=true): "L'azione non è riuscita a trovare le seguenti attività in Tanium:\n".format(id)."

Se non viene trovata almeno un'attività (is_success=true): "Nessuna attività trovata in Tanium".

Recupero asincrono dei dettagli sulle attività: {task ids}

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera dettagli attività". Reason: {0}''.format(error.Stacktrace)"

Se si verifica un timeout e il parametro "Attendi il completamento" è abilitato: "Errore durante l'esecuzione dell'azione "Recupera dettagli attività". Motivo: l'azione ha riscontrato un timeout durante l'esecuzione. Attività in sospeso: {attività ancora in corso}. Aumenta il timeout nell'IDE."

 Generale

Crea connessione

Crea la connessione all'endpoint in Tanium.

Entità

Questa azione viene eseguita sulle entità nome host e indirizzo IP.

Input azione

N/D

Output azione

Tipo di output dell'azione
Allegato della bacheca richieste N/D
Link alla bacheca casi N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON N/D
Risultato dello script Disponibile
Risultato dello script
Nome del risultato dello script Valore
is_success Vero/Falso
Bacheca casi

L'azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully created a connection for the following entities: LIST_OF_SUCCESSFUL_ENTITIES

No suitable entities were found in the scope.

 Azione riuscita.

Action wasn't able to create a connection for the following entities: LIST_OF_FAILED_ENTITIES

Error executing action "Create Connection". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.

Elenco dei collegamenti

Elenca le connessioni degli endpoint in Tanium.

Entità

Questa azione non viene eseguita sulle entità.

Input azione

N/D

Output azione

Tipo di output dell'azione
Allegato della bacheca richieste N/D
Link alla bacheca casi N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON N/D
Risultato dello script Disponibile
Risultato dello script
Nome del risultato dello script Valore
is_success Vero/Falso
Bacheca casi

L'azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully found connections in INTEGRATION

No connections were found in INTEGRATION

 Azione riuscita.
Error executing action "List Connections". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.