VMware Carbon Black Cloud

Ce document fournit aux administrateurs des conseils sur la configuration et l'intégration de VMware Carbon Black Cloud au module SOAR de Google Security Operations.

Présentation

L'intégration de VMware Carbon Black Cloud vous aide à effectuer les tâches suivantes :

• Ingérez les événements et les alertes VMware Carbon Black Cloud pour créer des alertes.

  Google SecOps utilise des alertes pour effectuer des orchestrations avec des playbooks ou une analyse manuelle.

• Effectuer des actions d'enrichissement

  Obtenez des données de VMware Carbon Black Cloud pour enrichir les données des alertes Google SecOps.

• Effectuer des actions actives.

  Planifiez une analyse et mettez un hôte en quarantaine dans Google SecOps SOAR à l'aide de l'agent VMware Carbon Black Cloud.

Cette intégration utilise un ou plusieurs composants Open Source. Vous pouvez télécharger une copie du code source complet de cette intégration à partir du bucket Cloud Storage.

Prérequis

Cette section s'applique à la configuration initiale de l'intégration. Pour vous assurer que les données circulent comme prévu de VMware Carbon Black Cloud vers Google SecOps, suivez les étapes listées dans cette section dans VMware Carbon Black Cloud.

Pour configurer l'accès à l'API pour l'intégration VMware Carbon Black Cloud, procédez comme suit :

1. Configurez le niveau d'accès.
2. Créer une clé API

Cette intégration présente des limites. Pour en savoir plus sur les limites, consultez Configurer le remplacement de réputation dans la documentation de VMware Carbon Black Cloud.

Configurer le niveau d'accès

Pour configurer le niveau d'accès pour l'intégration de VMware Carbon Black Cloud, procédez comme suit :

1. Dans la console VMware Carbon Black Cloud, accédez à Settings> API Access (Paramètres > Accès à l'API).

2. Sélectionnez Niveaux d'accès.

3. Cliquez sur Ajouter un niveau d'accès.

4. Indiquez un nom et une description pour le nouveau niveau d'accès, puis sélectionnez les autorisations suivantes :

   Catégorie	Nom de l'autorisation	.Nom de la notation	Type d'autorisation
   Alertes	Informations générales	org.alerts	Lire
   Alertes	Ignorer	org.alerts.dismiss	Exécuter
   Appareil	Mettre l'e-mail en quarantaine	device.quarantine	Exécuter
   Appareil	Ignorer	device.bypass	Exécuter
   Appareil	Informations générales	appareil	Lire
   Appareil	Attribution de règles d'OS	device.policy	Mettre à jour
   Appareil	Analyse en arrière-plan	device.bg-scan	Exécuter
   Rechercher	Événements	org.search.events	Créer Lire

5. Cliquez sur Enregistrer.

Créer une clé API

Pour créer une clé API pour l'intégration VMware Carbon Black Cloud, procédez comme suit :

1. Dans la console VMware Carbon Black Cloud, accédez à Settings> API Access> API Keys (Paramètres > Accès à l'API > Clés API).

2. Cliquez sur Ajouter une clé API.

3. Saisissez le nom de la clé et sélectionnez le niveau d'accès que vous avez créé dans une section précédente.

4. Cliquez sur Enregistrer pour obtenir votre code secret de l'API et votre ID d'API.

   Enregistrez la valeur de votre clé secrète d'API, car vous ne pourrez pas la récupérer ultérieurement.

Intégrer VMware Carbon Black Cloud à Google SecOps

Pour configurer ou modifier les paramètres d'intégration, vous devez faire partie du groupe d'autorisations "Administrateurs" dans Google SecOps. Pour en savoir plus sur les groupes d'autorisations pour les utilisateurs, consultez Utiliser des groupes d'autorisations.

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom de l'instance	Chaîne	Non applicable	Non	Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description	Chaîne	Non applicable	Non	Description de l'instance.
Racine de l'API	Chaîne	https://defense.conferdeploy.net/	Oui	URL racine de l'API VMware Carbon Black Cloud.
Clé d'organisation	Chaîne	Non applicable	Oui	Clé d'organisation VMware Carbon Black Cloud.
ID de l'API	Chaîne	Non applicable	Oui	ID de l'API VMware Carbon Black Cloud (ID de clé API personnalisée).
Clé secrète de l'API	Chaîne	Non applicable	Oui	Clé secrète de l'API VMware Carbon Black Cloud (clé secrète de l'API personnalisée).
Vérifier le protocole SSL	Case à cocher	Sélectionné	Non	Si cette option est sélectionnée, Google SecOps vérifie que le certificat SSL de la connexion au serveur VMware Carbon Black Cloud est valide.
Exécuter à distance	Case à cocher	Non sélectionné	Non	Cochez la case pour exécuter l'intégration configurée à distance. Une fois que vous avez coché la case, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez modifier la configuration ultérieurement si nécessaire. Une fois les instances configurées, vous pouvez les utiliser dans des playbooks. Pour en savoir plus sur la configuration et la compatibilité de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Ping

Testez la connectivité à VMware Carbon Black Cloud.

Paramètres

Aucune.

Cas d'utilisation

L'action teste la connectivité lorsqu'elle est exécutée à partir de la page de configuration de l'intégration dans la page Google SecOps Content Hub. Vous pouvez exécuter cette action manuellement, mais vous ne pouvez pas l'utiliser dans vos playbooks.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Résultat du script	Disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lors de l'utilisation de l'action Ping :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur de cas, l'action Ping fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully connected to the VMware Carbon Black Cloud server with the provided connection parameters!	Action effectuée.
Failed to connect to the VMware Carbon Black Cloud server! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Enrichir les entités

Enrichissez les entités d'hôte ou d'adresse IP de Google SecOps SOAR en fonction des informations sur l'appareil provenant de VMware Carbon Black Cloud.

Cette action s'exécute sur les entités suivantes :

• Adresse IP
• Hôte

Cas d'utilisation

Enrichissez les entités d'hôte ou d'adresse IP de Google SecOps SOAR avec des informations provenant de VMware Carbon Black Cloud, si l'agent Carbon Black est installé sur une adresse IP ou une entité d'hôte respective.

Pour aider un intervenant en cas d'incident à examiner une éventuelle alerte de logiciel malveillant provenant d'un hôte sur lequel un capteur est installé, VMware Carbon Black Cloud peut fournir des données d'enrichissement telles que les informations sur l'hôte, l'état du capteur et sa règle Carbon Black.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Enrichissement d'entités

Champ d'enrichissement	Applicabilité
CB_Cloud.device_id	Toujours
CB_Cloud.antivirus_status	Toujours
CB_Cloud.antivirus_last_scan_time	Si les informations sont affichées dans le résultat JSON
CB_Cloud.owner_email	Si les informations sont affichées dans le résultat JSON
CB_Cloud.owner_first_name	Si les informations sont affichées dans le résultat JSON
CB_Cloud.owner_last_name	Si les informations sont affichées dans le résultat JSON
CB_Cloud.last_contact_time	Toujours
CB_Cloud._last_device_policy_changed_time	Si les informations sont affichées dans le résultat JSON
CB_Cloud.last_external_ip_address	Toujours
CB_Cloud.last_internal_ip_address	Toujours
CB_Cloud.last_location	Toujours
CB_Cloud.full_device_name	Toujours
CB_Cloud.organization_id	Toujours
CB_Cloud.organization_name	Toujours
CB_Cloud.device_os	Si les informations sont affichées dans le résultat JSON
CB_Cloud.device_os_version	Si les informations sont affichées dans le résultat JSON
CB_Cloud.passive_mode	Toujours
CB_Cloud.device_policy_id	Toujours
CB_Cloud.device_policy_name	Toujours
CB_Cloud.device_policy_override	Si la valeur est "true"
CB_Cloud.quarantined	Toujours
CB_Cloud.scan_status	Si les informations sont affichées dans le résultat JSON
CB_Cloud.sensor_out_of_date	Toujours
CB_Cloud.sensor_states	Toujours
CB_Cloud.sensor_version	Toujours
CB_Cloud.device_status	Toujours

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lors de l'utilisation de l'action "Enrichir les entités" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON obtenu lors de l'utilisation de l'action Enrichir les entités :

{
    "results": [
      {
        "activation_code": null,
        "activation_code_expiry_time": "2020-04-28T05:05:37.391Z",
        "ad_group_id": 649,
        "av_ave_version": null,
        "av_engine": "",
        "av_last_scan_time": null,
        "av_master": false,
        "av_pack_version": null,
        "av_product_version": null,
        "av_status": [
          "AV_DEREGISTERED"
        ],
        "av_update_servers": null,
        "av_vdf_version": null,
        "current_sensor_policy_name": "vmware-example",
        "deregistered_time": "2020-04-21T07:31:22.285Z",
        "device_meta_data_item_list": [
          {
            "key_name": "OS_MAJOR_VERSION",
            "key_value": "Windows 10",
            "position": 0
          },
          {
            "key_name": "SUBNET",
            "key_value": "10.0.2",
            "position": 0
          }
        ],
        "device_owner_id": 439953,
        "email": "User",
        "first_name": null,
        "id": 3401539,
        "last_contact_time": "2020-04-21T07:30:21.614Z",
        "last_device_policy_changed_time": "2020-04-21T05:05:57.518Z",
        "last_device_policy_requested_time": "2020-04-21T07:12:34.803Z",
        "last_external_ip_address": "198.51.100.209",
        "last_internal_ip_address": "203.0.113.15",
        "last_location": "OFFSITE",
        "last_name": null,
        "last_policy_updated_time": "2020-04-09T11:19:01.371Z",
        "last_reported_time": "2020-04-21T07:14:33.810Z",
        "last_reset_time": null,
        "last_shutdown_time": "2020-04-21T06:41:11.083Z",
        "linux_kernel_version": null,
        "login_user_name": null,
        "mac_address": "000000000000",
        "middle_name": null,
        "name": "<span class='hlt1'>WinDev2003Eval</span>",
        "organization_id": 1105,
        "organization_name": "cb-internal-alliances.com",
        "os": "WINDOWS",
        "os_version": "Windows 10 x64",
        "passive_mode": false,
        "policy_id": 36194,
        "policy_name": "vmware-example",
        "policy_override": false,
        "quarantined": false,
        "registered_time": "2020-04-21T05:05:37.407Z",
        "scan_last_action_time": null,
        "scan_last_complete_time": null,
        "scan_status": null,
        "sensor_kit_type": "WINDOWS",
        "sensor_out_of_date": false,
        "sensor_pending_update": false,
        "sensor_states": [
          "ACTIVE",
          "LIVE_RESPONSE_NOT_RUNNING",
          "LIVE_RESPONSE_NOT_KILLED",
          "LIVE_RESPONSE_ENABLED",
          "SECURITY_CENTER_OPTLN_DISABLED"
        ],
        "sensor_version": "3.4.0.1097",
        "status": "DEREGISTERED",
        "target_priority": "MEDIUM",
        "uninstall_code": "9EFCKADP",
        "vdi_base_device": null,
        "virtual_machine": false,
        "virtualization_provider": "UNKNOWN",
        "windows_platform": null
      }
    ],
    "num_found": 6
}

Messages de sortie

Sur un mur de cas, l'action "Enrichir les entités" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully enriched entities: ENTITY_ID_LIST No entities were enriched. Action was not able to find VMware Carbon Black Cloud info to enrich the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Failed to execute Enrich Entities action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Ignorer l'alerte VMware Carbon Black Cloud

Attention : À partir du 31 juillet 2024, vous ne pourrez plus utiliser l'API Alerts v6 dans VMware Carbon Black Cloud. Pour en savoir plus sur l'abandon de l'API Alerts v6 par VMware Carbon Black, consultez Alerts v6 API. Nous vous recommandons de mettre à jour la version de l'intégration pour passer à l'API Alerts v7.

Ignorer l'alerte VMware Carbon Black Cloud.

Dans les événements créés par le connecteur d'alertes VMware Carbon Black Cloud, le champ Event.id peut être transmis en tant qu'espace réservé pour l'ID d'alerte afin d'ignorer une alerte dans l'action "Ignorer l'alerte VMware Carbon Black Cloud".

Cette action accepte les ID d'alerte au format alphanumérique, comme 27162661199ea9a043c11ea9a29a93652bc09fd, et non au format apparaissant dans l'interface utilisateur, comme DONAELUN.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID d'alerte	Chaîne	Non applicable	Oui	ID de l'alerte à ignorer sur le serveur VMware Carbon Black Cloud. Spécifiez l'ID d'alerte au format alphanumérique, par exemple 27162661199ea9a043c11ea9a29a93652bc09fd, et non au format affiché dans l'UI, par exemple DONAELUN.
Motif du licenciement	LDD	Aucun motif de licenciement	Non	Motif du rejet de l'alerte VMware Carbon Black Cloud. Les valeurs possibles sont les suivantes : Aucun motif de licenciement Résolu Résolu : bénin/connu comme sûr Doublon/Nettoyage Autre
Détermination	LDD	Aucun	Non	Valeur de détermination à définir pour une alerte. Les valeurs possibles sont les suivantes : Aucun Vrai positif Faux positif
Message pour la fermeture de l'alerte	Chaîne	Non applicable	Non	Message à ajouter à la fermeture de l'alerte.

Cas d'utilisation

Ignorer ou fermer une alerte VMware Carbon Black Cloud en fonction de l'analyse effectuée dans Google SecOps SOAR.

Une fois l'alerte traitée dans Google SecOps SOAR, pour que l'état de l'alerte reste synchronisé entre VMware Carbon Black Cloud et Google SecOps SOAR, l'utilisateur doit effectuer une action qui fermera l'alerte VMware Carbon Black Cloud depuis Google SecOps SOAR.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Ignorer l'alerte VMware Carbon Black Cloud" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur de cas, l'action "Ignorer l'alerte VMware Carbon Black Cloud" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully dismissed VMware Carbon Black Cloud alert with alert id ALERT_ID Failed to dismiss VMware Carbon Black Cloud alert! Error is ERROR_REASON	Action effectuée.
Failed to execute Dismiss alert action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Mettre à jour une règle pour un appareil à l'aide de l'ID de la règle

Modifier une règle sur le capteur VMware Carbon Black Cloud d'un hôte. Le champ d'application de l'action est l'entité "Adresse IP" ou "Hôte".

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID de stratégie	Integer	Non applicable	Oui	Spécifiez une règle à associer au capteur VMware Carbon Black Cloud.

Cas d'utilisation

Créez une tâche de mise à jour de stratégie sur le serveur VMware Carbon Black Cloud à partir de Google SecOps SOAR.

Lors de l'analyse des alertes, un intervenant en cas d'incident a remarqué que le même hôte avait généré plusieurs alertes de faux positifs en peu de temps. Ils peuvent utiliser cette action pour créer une tâche de mise à jour de la règle qui rend la règle du capteur moins restrictive.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Mettre à jour une règle pour un appareil par ID de règle" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur d'incidents, l'action "Mettre à jour une règle pour un appareil par ID de règle" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully changed device policy to DEVICE_POLICY for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Action was not able assign policy DEVICE_POLICY for VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Failed to execute action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Analyse de l'appareil en arrière-plan

Créez une tâche d'analyse en arrière-plan de l'appareil sur le serveur VMware Carbon Black Cloud en fonction des entités d'adresse IP ou d'hôte.

Cas d'utilisation

Créez une tâche d'analyse en arrière-plan pour l'hôte à l'aide du capteur VMware Carbon Black Cloud depuis Google SecOps SOAR.

Lors de l'analyse des alertes, un intervenant en cas d'incident remarque qu'un hôte est peut-être compromis. L'intervenant en cas d'incident peut utiliser cette action pour demander une analyse en arrière-plan à la demande de l'hôte. Cette analyse vérifie s'il existe d'autres exécutables suspects sur l'hôte, et le capteur sur l'hôte crée des alertes pour ces exécutables suspects.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Analyse en arrière-plan de l'appareil" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur de cas, l'action "Analyse de l'appareil en arrière-plan" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created a background scan task for the following entities: ENTITY_ID_LIST No tasks were created Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Failed to execute action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Activer le mode de contournement pour l'appareil

Activez la tâche de mode de contournement pour un appareil sur le serveur VMware Carbon Black Cloud. La tâche est basée sur les entités d'adresse IP ou d'hôte Google SecOps SOAR.

Cas d'utilisation

Créez une tâche "Activer le mode de contournement" sur le serveur VMware Carbon Black Cloud à partir de Google SecOps SOAR.

Lors de l'analyse des alertes liées à un capteur de plate-forme ou à un hôte spécifique, un intervenant en cas d'incident a remarqué que le capteur créait plusieurs alertes de faux positifs. Ils peuvent utiliser cette action pour activer le mode de contournement afin de suivre les événements que l'agent distant traite comme des alertes et de mettre à jour les règles.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Activer le mode de contournement pour l'appareil" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur d'incidents, l'action "Activer le mode de contournement pour l'appareil" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created enable bypass mode task for the following entities: ENTITY_ID_LIST No taskswere created Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Failed to execute action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Désactiver le mode Contournement pour l'appareil

Créez une tâche de désactivation du mode de contournement pour les appareils sur le serveur VMware Carbon Black Cloud. La tâche est basée sur les entités d'adresse IP ou d'hôte Google SecOps SOAR.

Cas d'utilisation

Après avoir activé le mode de contournement sur un capteur spécifique et résolu les problèmes de configuration et de règles de VMware Carbon Black Cloud, un intervenant en cas d'incident a déterminé que le capteur Carbon Black fonctionnait comme prévu et qu'il n'était pas nécessaire de l'utiliser en mode de contournement. Ils exécutent l'action "Créer une tâche de désactivation du mode de contournement pour l'appareil" afin de créer une tâche de désactivation du mode de contournement sur un hôte spécifique.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Désactiver le mode de contournement pour l'appareil" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur de cas, l'action "Désactiver le mode de contournement pour l'appareil" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created disable bypass mode task for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Failed to execute action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Mettre l'appareil en quarantaine

Créez une tâche de mise en quarantaine d'un appareil sur le serveur VMware Carbon Black Cloud en fonction des entités d'adresse IP ou d'hôte Google SecOps SOAR.

Cas d'utilisation

Un intervenant en cas d'incident a remarqué qu'un hôte présentait des signes de compromission et peut utiliser cette tâche pour le mettre en quarantaine.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Mettre l'appareil en quarantaine" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Mettre l'appareil en quarantaine" :

[
  {
    "Entity": "siemplify-ID",
    "EntityResult": {
      "status": "done"
    }
  }
]

Messages de sortie

Sur un mur de cas, l'action "Mettre l'appareil en quarantaine" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created quarantine device task for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Failed to execute action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Retirer l'appareil de la quarantaine

Créez une tâche de suppression de la mise en quarantaine d'un appareil sur le serveur VMware Carbon Black Cloud en fonction des entités d'adresse IP ou d'hôte Google SecOps SOAR.

Cas d'utilisation

Après avoir analysé et corrigé une alerte liée à un hôte spécifique géré par VMware Carbon Black Cloud, un intervenant en cas d'incident a découvert que l'hôte n'était pas compromis. Ils exécutent l'action "Sortir l'appareil de la quarantaine" pour créer une tâche de sortie de quarantaine de l'hôte sur le serveur VMware Carbon Black Cloud et se connecter à l'hôte.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Sortir l'appareil de quarantaine" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur de cas, l'action "Retirer l'appareil de la quarantaine" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created quarantine device task for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Failed to execute action! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Exécuter la recherche de processus d'entité

Utilisez cette action pour rechercher des informations sur les processus stockés dans VMware Carbon Black Cloud.

Cette action s'exécute sur les entités suivantes :

• Adresse IP
• Hôte
• Utilisateur
• Hash
• Processus

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Commencer à partir de la ligne	Integer	0	Non	Spécifiez la ligne à partir de laquelle récupérer les données.
Nombre maximal de lignes à renvoyer	Integer	50	Non	Spécifiez le nombre de lignes que l'action doit renvoyer.
Créer un insight	Case à cocher	Non sélectionné	Non	Si cette option est sélectionnée, l'action crée un insight Google SecOps SOAR basé sur les informations de processus de Carbon Black Cloud.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Enrichissement d'entités

Champ d'enrichissement	Logique
IsSuspicous	Définissez cette option sur "True" lorsque les données renvoyées incluent une catégorie d'alerte (alert_category) définie sur THREAT et une liste d'ID d'alerte (alert_ids) associée au processus.

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Rechercher un processus d'entité" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Exécuter la recherche de processus d'entité" :

{
   "results": [
       {
           "alert_category": [
               "THREAT"
           ],
           "alert_id": [
               "19183229-384f-49a7-8ad7-87d0db243fcc",
               "4dfc6aed-656d-41d1-9568-0de349d7a8b3",
               "8eb04992-ed94-4471-8a71-fd78bad887de",
               "ac3b3b3a-f4ce-41dc-9de8-123d5a1e2572",
               "edc046a0-98f0-43eb-b3c0-a67469c11d19",
               "f365a912-1d79-421e-bccb-f57b52100be8"
           ],
           "backend_timestamp": "2021-02-02T18:38:46.520Z",
           "childproc_count": 0,
           "crossproc_count": 0,
           "device_external_ip": "161.47.37.87",
           "device_group_id": 0,
           "device_id": 3602123,
           "device_installed_by": "[e-mail]",
           "device_internal_ip": "172.26.115.53",
           "device_location": "UNKNOWN",
           "device_name": "desktop1-win10",
           "device_os": "WINDOWS",
           "device_os_version": "Windows 10 x64",
           "device_policy": "test",
           "device_policy_id": 32064,
           "device_target_priority": "HIGH",
           "device_timestamp": "2020-08-19T16:31:20.887Z",
           "document_guid": "sF1Ug1--SEyLWljQrWe8NA",
           "event_threat_score": [
               6
           ],
           "filemod_count": 0,
           "ingress_time": 1612291119946,
           "modload_count": 0,
           "netconn_count": 0,
           "org_id": "7DESJ9GN",
           "parent_effective_reputation": "KNOWN_MALWARE",
           "parent_guid": "7DESJ9GN-0036f6cb-000026d4-00000000-1d676428bd025e2",
           "parent_hash": [
               "86deb998e6b628755a1049a54b8863d32752d6176fb1ef3b7c4ee08c1f25edbc"
           ],
           "parent_name": "c:\\windows\\system32\\windowspowershell\\v1.o\\powershell.exe",
           "parent_pid": 9940,
           "parent_reputation": "KNOWN_MALWARE",
           "process_cmdline": [
               "powershell.exe -ep bypass"
           ],
           "process_cmdline_length": [
               25
           ],
           "process_effective_reputation": "COMPANY_BLACK_LIST",
           "process_guid": "7DESJ9GN-0036f6cb-000005b8-00000000-1d676428bdf1285",
           "process_hash": [
               "908b64b1971a979c7e3e8ce4621945cba84854cb98d76367b791a6e22b5f6d53",
               "cda48fc75952ad12d99e526d0b6bf70a"
           ],
           "process_name": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
           "process_pid": [
               1464
           ],
           "process_reputation": "COMPANY_BLACK_LIST",
           "process_sha256": "908b64b1971a979c7e3e8ce4621945cba84854cb98d76367b791a6e22b5f6d53",
           "process_start_time": "2020-08-19T16:05:24.057Z",
           "process_username": [
               "DESKTOP1-WIN10\\acalvio"
           ],
           "regmod_count": 0,
           "scriptload_count": 0,
           "watchlist_hit": [
               "BeCXz92RjiQxN1PnYlM6w:SdJksR9SsWuLCJNeBsNPw:10",
               "BeCXz92RjiQxN1PnYlM6w:s24xyq8SFapmQEMXv9yw:7",
               "BeCXz92RjiQxN1PnYlM6w:s24xyq8SFapmQEMXv9yw:8"
           ]
       }
   ],
   "num_found": 1,
   "num_available": 1,
   "approximate_unaggregated": 6,
   "num_aggregated": 6,
   "contacted": 47,
   "completed": 47
}

Messages de sortie

Sur un mur de cas, l'action "Exécuter la recherche de processus d'entité" fournit les messages de sortie suivants :

Message de sortie	Description du message
Process information was found for the following entities ENTITY_ID_LIST Process information was not found for all of the provided entities. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Error executing action "Execute Entity Processes Search". Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Lister les remplacements de réputation

Utilisez cette action pour lister les remplacements de réputation configurés dans VMware Carbon Black Cloud.

Cette action ne s'exécute pas sur les entités.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Liste de remplacement de la réputation	LDD	Non spécifié Valeurs possibles : Non spécifié White_List Black_List	Non	Spécifiez l'action de liste de remplacement à renvoyer.
Type de remplacement de la réputation	LDD	Non spécifié Valeurs possibles : Non spécifié CERT SHA256 IT_TOOL	Non	Spécifiez l'action de type de remplacement à renvoyer.
Commencer à partir de la ligne	Integer	0	Non	Spécifiez la ligne à partir de laquelle l'action doit récupérer les données.
Nombre maximal de lignes à renvoyer	Integer	50	Non	Spécifiez le nombre de lignes que l'action doit renvoyer.
Ordre de tri des lignes	LDD	ASC Valeurs possibles : ASC DESC		Spécifiez l'ordre de tri des lignes renvoyées. Les lignes sont triées en fonction de la valeur create_time.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Tableau du mur des cas

Sur le mur des demandes, la liste des forçages de réputation fournit les tableaux suivants :

• Table SHA-256

  Nom de la table : Found SHA-256 Reputation Overrides

  Colonnes de la table :

  • Hachage SHA-256
  • Nom de fichier
  • ID
  • Liste de remplacement
  • Description
  • Source
  • Référence source
  • Date et heure de création
  • Créé par

• Table CERT

  Nom de la table : Found CERT Reputation Overrides

  Colonnes de la table :

  • Autorité de certification
  • Signé par
  • ID
  • Liste de remplacement
  • Description
  • Source
  • Référence source
  • Date et heure de création
  • Créé par

• Tableau IT TOOL

  Nom de la table : Found IT_TOOL Reputation Overrides

  Colonnes de la table :

  • Chemin d'accès à l'outil informatique
  • Inclure les processus enfants
  • ID
  • Liste de remplacement
  • Description
  • Source
  • Référence source
  • Date et heure de création
  • Créé par

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Lister les remplacements de réputation" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Lister les remplacements de réputation" pour un certificat :

{
   "num_found": 2,
   "results": [
       {
           "id": "6b040826d43a11eb85899b2a3fb7559d",
           "created_by": "[e-mail]",
           "create_time": "2021-06-23T15:48:13.355Z",
           "override_list": "WHITE_LIST",
           "override_type": "CERT",
           "description": "",
           "source": "APP",
           "source_ref": null,
           "signed_by": "Example Software Corp.",
           "certificate_authority": "Symantec Class 3 SHA256 Code Signing CA"
       }
   ]
}

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Lister les remplacements de réputation" pour un hachage SHA-256 :

{
   "num_found": 25,
   "results": [
       {
           "id": "0a0d2bf89d4d11ebbef6695028ab76fe",
           "created_by": "I2TK7ET355",
           "create_time": "2021-04-14T18:12:57.161Z",
           "override_list": "WHITE_LIST",
           "override_type": "SHA256",
           "description": "Test Data",
           "source": "APP",
           "source_ref": null,
           "sha256_hash": "f6a55db64b3369e7e0ce9abe8046c89ff3714c15c3174f04c10390c17af16f0e",
           "filename": null
       }
   ]
}

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Lister les exceptions de réputation" pour un outil informatique :

{
   "id": "067ebeeaf03311eb8bb20bf76c87cd52",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:05:50.790Z",
   "override_list": "BLACK_LIST",
   "override_type": "IT_TOOL",
   "description": "An override for an IT_TOOL",
   "source": "APP",
   "source_ref": null,
   "path": "C:\\TMP\\TMP\\TMP\\foo.exe",
   "include_child_processes": false
}

Messages de sortie

Sur un mur de cas, l'action "Lister les forçages de réputation" fournit les messages de sortie suivants :

Message de sortie	Description du message
Reputation overrides found. No reputation overrides found.	Action effectuée.
Error executing action "List Reputation Overrides". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Créer un remplacement de réputation pour un certificat

Créez un remplacement de réputation pour le certificat. Pour en savoir plus sur le remplacement de la réputation, consultez Remplacement de la réputation.

Cette action ne s'exécute pas sur les entités.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Autorité de certification	Chaîne	Non applicable	Non	Spécifiez l'autorité de certification qui valide le certificat à ajouter au remplacement de réputation.
Signé par	Chaîne		Oui	Spécifiez le nom du signataire à ajouter au remplacement de réputation.
Description	Chaîne	Non applicable	Non	Spécifiez une description pour le remplacement de réputation créé.
Liste de remplacement de la réputation	LDD	Non spécifié	Oui	Spécifiez une liste de remplacement à créer.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lors de l'utilisation de l'action "Créer un remplacement de réputation pour un certificat" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Créer un remplacement de réputation pour un certificat" :

{
   "id": "fb19756cf03311eb81e9bf7658b8ce59",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:12:41.168Z",
   "override_list": "WHITE_LIST",
   "override_type": "CERT",
   "description": "An override for a CERT",
   "source": "APP",
   "source_ref": null,
   "signed_by": "Test signer for override",
   "certificate_authority": "test cert ca"
}

Messages de sortie

Sur un mur de cas, l'action "Créer un remplacement de réputation pour un certificat" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created new reputation override: OVERRIDE_ID Action failed to create a new certificate reputation override. Reason:ERROR_REASON	Action effectuée.
Error executing action because Reputation Override List is not specified. Error executing action "Create a Reputation Override for Certificate". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Créer un remplacement de réputation pour le hachage SHA-256

Créez un remplacement de réputation pour le hachage fourni au format SHA-256. Pour en savoir plus sur le remplacement de la réputation, consultez Remplacement de la réputation.

Cette action s'exécute sur l'entité FileHash si elle est fournie.

Vous pouvez fournir le hachage SHA-256 en tant qu'entité FileHash (artefact) Google SecOps SOAR ou en tant que paramètre d'entrée d'action. Si le hachage est transmis à l'action à la fois en tant qu'entité et en tant que paramètre d'entrée, l'action est exécutée sur le paramètre d'entrée.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Hachage SHA-256	Chaîne	Non applicable	Non	Spécifiez une valeur de hachage SHA-256 pour laquelle créer un remplacement.
Nom de fichier	Chaîne	Non applicable	Oui	Spécifiez un nom de fichier correspondant à ajouter à un forçage de réputation.
Description	Chaîne	Non applicable	Non	Spécifiez une description pour le remplacement de réputation créé.
Liste de remplacement de la réputation	LDD	Non spécifié	Oui	Spécifiez une liste de remplacement à créer.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Créer un remplacement de réputation pour le hachage SHA-256" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Créer un remplacement de réputation pour un hachage SHA-256" :

{
   "id": "1ea6c923f03211eb83cf87b4dce84539",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T05:59:21.821Z",
   "override_list": "BLACK_LIST",
   "override_type": "SHA256",
   "description": "An override for a sha256 hash",
   "source": "APP",
   "source_ref": null,
   "sha256_hash": "af62e6b3d475879c4234fe7bd8ba67ff6544ce6510131a069aaac75aa92aee7a",
   "filename": "foo.exe"
}

Messages de sortie

Sur un mur de cas, l'action "Créer un remplacement de réputation pour le hachage SHA-256" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created reputation override for the following entities: ENTITY_ID_LIST Action failed to to create reputation override for the following entities: ENTITY_ID_LIST + API_ERROR No reputation overrides were created.	Action effectuée.
Error executing action because wrong hash format was provided. Action is working only with Sha-256 hashes. Error executing action because Reputation Override List is not specified. Error executing action "Create a Reputation Override for SHA-256 Hash". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Créer un remplacement de réputation pour l'outil informatique

Utilisez cette action pour créer un remplacement de réputation pour l'outil informatique spécifique, tel que Jira ou ServiceNow. Le remplacement de la réputation est basé sur un nom de fichier et un chemin d'accès. Pour en savoir plus sur le remplacement de la réputation, consultez Remplacement de la réputation.

Cette action s'exécute sur l'entité "Fichier" si elle est fournie.

Vous pouvez fournir le nom du fichier en tant qu'entité (artefact) de fichier Google SecOps SOAR ou en tant que paramètre d'entrée d'action. Si le nom de fichier est transmis à l'action à la fois en tant qu'entité et en tant que paramètre d'entrée, l'action utilise le paramètre d'entrée. L'action ajoute le nom de fichier au paramètre Chemin d'accès au fichier pour obtenir le chemin d'accès obtenu et l'ajouter au remplacement.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du fichier	Chaîne	Non applicable	Non	Spécifiez le nom de fichier correspondant à ajouter au remplacement de réputation.
Chemin d'accès au fichier	Chaîne	Non applicable	Oui	Spécifiez le chemin d'accès où l'outil informatique correspondant est stocké sur le disque pour ajouter le chemin d'accès au remplacement de réputation. Exemple : C\\TMP\\.
Inclure les processus enfants	Case à cocher	Non sélectionné	Non	Si vous sélectionnez cette option, incluez les processus enfants de l'outil informatique dans la liste approuvée.
Description	Chaîne	Non applicable	Non	Spécifiez une description pour le remplacement de réputation créé.
Liste de remplacement de la réputation	LDD	Non spécifié	Oui	Spécifiez la liste de remplacement à créer.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Créer un remplacement de réputation pour l'outil informatique" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Créer un remplacement de réputation pour l'outil informatique" :

{
   "id": "067ebeeaf03311eb8bb20bf76c87cd52",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:05:50.790Z",
   "override_list": "BLACK_LIST",
   "override_type": "IT_TOOL",
   "description": "An override for an IT_TOOL",
   "source": "APP",
   "source_ref": null,
   "path": "C:\\TMP\\TMP\\TMP\\foo.exe",
   "include_child_processes": false
}

Messages de sortie

Sur un mur de cas, l'action "Créer un remplacement de réputation pour l'outil IT" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully created reputation override for the following entities: ENTITY_ID_LIST No reputation overrides were created. Action failed to create reputation override for the following entities: ENTITY_ID_LIST + API_ERROR	Action effectuée.
Error executing action because Reputation Override List is not specified. Error executing action "Create a Reputation Override for IT Tool". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Supprimer un remplacement de réputation

Supprimez un remplacement de réputation à l'aide de l'ID de remplacement de réputation fourni. Pour en savoir plus sur le remplacement de la réputation, consultez Remplacement de la réputation.

Cette action ne s'exécute pas sur les entités.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID de remplacement de la réputation	Chaîne	Non applicable	Oui	Spécifiez l'ID du remplacement de réputation à supprimer.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lors de l'utilisation de l'action "Supprimer le remplacement de réputation" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Messages de sortie

Sur un mur des cas, l'action "Supprimer un forçage de réputation" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully deleted reputation override OVERRIDE_ID_ No tasks were created. Action failed to delete reputation override OVERRIDE_ID. Reason: ERROR_REASON Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	Action effectuée.
Error executing action "Delete a Reputation Override". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Lister les failles de l'hôte

Utilisez cette action pour lister les failles détectées par Carbon Black Cloud sur l'hôte.

Cette action s'exécute sur les entités suivantes :

• Adresse IP
• Nom d'hôte

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Filtre de gravité	CSV	Non applicable	Non	Spécifiez la liste des niveaux de gravité des failles, séparés par une virgule. Si rien n'est fourni, l'action ingère toutes les failles associées. Valeurs possibles : Critique, Important, Modéré, Faible.
Nombre maximal de failles à renvoyer	Integer	100	Non	Spécifiez le nombre de failles à renvoyer pour chaque hôte. Si rien n'est fourni, l'action traite toutes les failles associées.

Sorties de l'action

L'action fournit les résultats suivants :

Type de sortie de l'action
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Enrichissement d'entités	Non disponible
Résultat du script	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action "Lister les failles de l'hôte" :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

L'exemple suivant décrit le résultat JSON reçu lors de l'utilisation de l'action "Lister les failles de l'hôte" :

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "moderate": 1,
            "low": 1
        }
    },
    "details": [
        {
            "os_product_id": "161_0",
            "category": "OS",
            "os_info": {
                "os_type": "WINDOWS",
                "os_name": "Microsoft Windows 10 Enterprise",
                "os_version": "10.0.10240",
                "os_arch": "64-bit"
            },
            "product_info": {
                "vendor": null,
                "product": null,
                "version": null,
                "release": null,
                "arch": null
            },
            "vuln_info": {
                "cve_id": "CVE-2015-2534",
                "cve_description": "Hyper-V in Microsoft Windows 8.1, Windows Server 2012 R2, and Windows 10 improperly processes ACL settings, which allows local users to bypass intended network-traffic restrictions via a crafted application, aka \"Hyper-V Security Feature Bypass Vulnerability.\"",
                "risk_meter_score": 0.9,
                "severity": "LOW",
                "fixed_by": "KB3091287",
                "solution": null,
                "created_at": "2015-09-09T00:59:00Z",
                "nvd_link": "http://example",
                "cvss_access_complexity": null,
                "cvss_access_vector": null,
                "cvss_authentication": null,
                "cvss_availability_impact": null,
                "cvss_confidentiality_impact": null,
                "cvss_integrity_impact": null,
                "easily_exploitable": null,
                "malware_exploitable": null,
                "active_internet_breach": null,
                "cvss_exploit_subscore": null,
                "cvss_impact_subscore": null,
                "cvss_vector": null,
                "cvss_v3_exploit_subscore": null,
                "cvss_v3_impact_subscore": null,
                "cvss_v3_vector": null,
                "cvss_score": null,
                "cvss_v3_score": null
            },
            "device_count": 1,
            "affected_assets": null
        },
        {
            "os_product_id": "161_0",
            "category": "OS",
            "os_info": {
                "os_type": "WINDOWS",
                "os_name": "Microsoft Windows 10 Enterprise",
                "os_version": "10.0.10240",
                "os_arch": "64-bit"
            },
            "product_info": {
                "vendor": null,
                "product": null,
                "version": null,
                "release": null,
                "arch": null
            },
            "vuln_info": {
                "cve_id": "CVE-2017-8554",
                "cve_description": "The kernel in Microsoft Windows 7 SP1, Windows Server 2008 SP2 and R2 SP1, Windows 8.1 and Windows RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, and 1703, and Windows Server 2016 allows an authenticated attacker to obtain memory contents via a specially crafted application.",
                "risk_meter_score": 0.9,
                "severity": "LOW",
                "fixed_by": "KB5016639",
                "solution": null,
                "created_at": "2017-06-29T13:29:00Z",
                "nvd_link": "http://example",
                "cvss_access_complexity": null,
                "cvss_access_vector": null,
                "cvss_authentication": null,
                "cvss_availability_impact": null,
                "cvss_confidentiality_impact": null,
                "cvss_integrity_impact": null,
                "easily_exploitable": null,
                "malware_exploitable": null,
                "active_internet_breach": null,
                "cvss_exploit_subscore": null,
                "cvss_impact_subscore": null,
                "cvss_vector": null,
                "cvss_v3_exploit_subscore": null,
                "cvss_v3_impact_subscore": null,
                "cvss_v3_vector": null,
                "cvss_score": null,
                "cvss_v3_score": null
            },
            "device_count": 1,
            "affected_assets": null
        }
    ]
}

Messages de sortie

Sur un mur de cas, l'action "Lister les failles de l'hôte" fournit les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved vulnerabilities for the following hosts: ENTITIES No vulnerabilities were found. No vulnerabilities were found for the following hosts: ENTITIES	Action effectuée.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the "Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Connecteurs

Les connecteurs suivants sont disponibles pour l'intégration de VMware Carbon Black Cloud :

1. Connecteur d'alerte, obsolète. Il utilise les mêmes données d'alerte Carbon Black pour les alertes et les événements Google SecOps SOAR, ce qui signifie que les données d'événement Carbon Black sont complètement ignorées. Utilisez plutôt le connecteur de référence ou le connecteur de suivi.

2. Baseline Connector récupère les alertes et les événements de Carbon Black. Ce connecteur ne surveille pas si de nouveaux événements sont ajoutés aux alertes Carbon Black.

3. Le connecteur de suivi récupère les alertes et les événements de Carbon Black, et surveille si de nouveaux événements sont ajoutés aux alertes déjà ingérées. Si un nouvel événement apparaît dans une alerte CB, le connecteur crée une alerte Google SecOps SOAR avec les événements qui ont été ajoutés à une alerte Carbon Black.

Pour savoir comment configurer un connecteur dans Google SecOps SOAR, consultez Configurer le connecteur.

Connecteur d'alertes VMware Carbon Black Cloud (obsolète)

Obsolète : ce connecteur est obsolète.

Attention : À partir du 31 juillet 2024, vous ne pourrez plus utiliser l'API Alerts v6 dans VMware Carbon Black Cloud. Pour en savoir plus sur l'abandon de l'API Alerts v6 par VMware Carbon Black, consultez API Alerts v6 dans VMware Carbon Black Cloud. Nous vous recommandons de passer à la version 7 de l'API Alerts.

Recevez des alertes de VMware Carbon Black Cloud en tant qu'alertes Google SecOps SOAR pour les analyser dans la plate-forme Google SecOps SOAR.

Présentation du connecteur

Le connecteur se connecte régulièrement au point de terminaison de l'API VMware Carbon Black Cloud et extrait une liste des alertes générées sur une période spécifique. Si de nouvelles alertes sont présentes, le connecteur crée des alertes Google SecOps SOAR basées sur les alertes Carbon Black Cloud et enregistre le code temporel du connecteur comme heure de la dernière alerte ingérée avec succès. Lors de la prochaine exécution du connecteur, celui-ci n'interrogera l'API Carbon Black que pour les alertes créées après le code temporel.

Le connecteur recherche les alertes en double (marquées comme "overflow") et ne crée pas d'alertes Google SecOps SOAR à partir de ces alertes en double.

Mode test : le connecteur dispose d'un mode test à des fins de débogage et de dépannage. En mode test, le connecteur effectue les opérations suivantes :

• Ne pas mettre à jour le code temporel de la dernière exécution.
• Récupérez les alertes en fonction du nombre d'heures spécifié pour lequel vous souhaitez extraire les alertes.
• Renvoie une seule alerte pour l'ingestion.

Communications chiffrées : le connecteur est compatible avec les communications chiffrées (SSL ou TLS).

Compatibilité avec les proxys : le connecteur est compatible avec la connexion aux points de terminaison de l'API à l'aide d'un proxy pour le trafic HTTPS.

Compatibilité avec Unicode : le connecteur est compatible avec l'encodage Unicode pour les alertes traitées.

Autorisations des API

Le connecteur Carbon Black Cloud utilise les mêmes identifiants API que l'intégration Carbon Black Cloud. Pour en savoir plus sur la configuration de l'API pour Carbon Black Cloud, consultez la section Prérequis.

Paramètres du connecteur

Pour configurer ou modifier les paramètres du connecteur, vous devez faire partie du groupe d'autorisations "Administrateurs" dans Google SecOps. Pour en savoir plus sur les groupes d'autorisations pour les utilisateurs, consultez Utiliser des groupes d'autorisations.

Utilisez les paramètres suivants pour configurer le connecteur :

Paramètre	Type	Valeur par défaut	Obligatoire	Description
Environnement	LDD	Non applicable	Oui	Sélectionnez l'environnement requis. Par exemple, "Client 1". Si le champ "Environnement" de l'alerte est vide, l'alerte est injectée dans cet environnement.
Exécuter chaque	Integer	0:0:0:10	Non	Sélectionnez l'heure d'exécution de la connexion.
Nom du champ de produit	Chaîne	ProductName	Oui	Nom du champ dans lequel le nom du produit est stocké.
Nom du champ d'événement	Chaîne	AlertName	Oui	Nom du champ dans lequel le nom de l'événement est stocké.
ID de classe d'événement	Chaîne	AlertName	Non	Nom du champ utilisé pour déterminer le nom de l'événement (sous-type).
Délai avant expiration du processus Python	Chaîne	180	Oui	Délai avant expiration (en secondes) du processus Python exécutant le script actuel.
Nom du champ d'environnement	Chaîne	""	Non	Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ d'environnement est introuvable, l'environnement est "".
Modèle d'expression régulière de l'environnement	Chaîne	.*	Non	Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur brute Environment Field Name requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est "".
Racine de l'API	Chaîne	Non applicable	Oui	URL racine de l'API VMware Carbon Black Cloud.
Clé d'organisation	Chaîne	N/A	Oui	Clé d'organisation VMware Carbon Black Cloud.
ID de l'API	Chaîne	N/A	Oui	ID de l'API VMware Carbon Black Cloud (ID de clé API personnalisée).
Clé secrète de l'API	Chaîne	N/A	Oui	Clé secrète de l'API VMware Carbon Black Cloud (clé secrète de l'API personnalisée).
Heure du décalage en heures	Integer	24	Oui	Nombre d'heures dans le passé à partir desquelles récupérer les alertes.
Nombre maximal d'alertes par cycle	Integer	10	Oui	Nombre d'alertes à traiter lors d'une seule exécution du connecteur.
Gravité minimale à récupérer	Integer	N/A	Non	Gravité minimale de l'alerte Carbon Black Cloud à ingérer dans Google SecOps SOAR.
Champ d'alerte à utiliser pour le champ "Nom"	Chaîne	type	Oui	Champ d'alerte Carbon Black Cloud à utiliser pour le champ "Nom de l'alerte" de Google SecOps SOAR. Les valeurs possibles sont "type" et "policy_name".
Quel champ d'alerte utiliser pour le générateur de règles ?	Chaîne	type	Oui	Champ d'alerte Carbon Black Cloud à utiliser pour le champ du générateur de règles d'alerte Google SecOps SOAR. Les valeurs possibles sont "type", "category" et "policy_name".
Adresse du serveur proxy	IP_OR_HOST	Non applicable	Non	Serveur proxy à utiliser pour la connexion.
Nom d'utilisateur du serveur proxy	Chaîne	Non applicable	Non	Nom d'utilisateur du serveur proxy.
Mot de passe du serveur proxy	Mot de passe	Non applicable	Non	Mot de passe du serveur proxy.

Règles du connecteur

• Le connecteur est compatible avec l'utilisation de proxys.

Connecteur de référence pour les alertes et événements VMware Carbon Black Cloud

Attention : À partir du 31 juillet 2024, vous ne pourrez plus utiliser l'API Alerts v6 dans VMware Carbon Black Cloud. Pour en savoir plus sur l'abandon de l'API Alerts v6 par VMware Carbon Black, consultez Alerts v6 API (API Alerts v6) dans VMware Carbon Black Cloud. Nous vous recommandons de passer à la version 7 de l'API Alerts. Dans l'API Alerts v7, le mappage par défaut du connecteur renvoie la valeur backend_timestamp au lieu de StartTime et backend_update_timestamp au lieu de EndTime. Pour conserver toutes vos modifications de mappage personnalisé, n'écrasez pas le mappage lors de la mise à jour de l'intégration et modifiez manuellement les valeurs des champs StartTime et EndTime.

Présentation

Utilisez le connecteur VMware Carbon Black Cloud Baseline pour ingérer les alertes Carbon Black Cloud et les événements associés aux alertes. Après avoir ingéré les alertes, Google SecOps les marque comme traitées et ne récupère aucune mise à jour les concernant. Pour récupérer les mises à jour des alertes, utilisez le connecteur de suivi.

Personnaliser les champs "Nom de l'alerte" et "Générateur de règles" dans Google SecOps

Le connecteur permet de personnaliser les valeurs des champs Nom de l'alerte et Générateur de règles de Google SecOps SOAR à l'aide de modèles. Pour les modèles, le connecteur récupère les données à partir des données d'alerte Carbon Black Cloud renvoyées par l'API.

Voici un exemple de données d'alerte Carbon Black Cloud renvoyées par l'API. Les données d'alerte font référence aux champs disponibles dans l'alerte et peuvent être utilisées pour les modèles :

{
            "id": "aa751d91-6623-1a6b-8b4a-************",
            "legacy_alert_id": "aa751d91-6623-1a6b-8b4a-************",
            "org_key": "7DE****",
            "create_time": "2022-03-22T18:12:48.593Z",
            "last_update_time": "2022-03-22T18:13:12.504Z",
            "first_event_time": "2022-03-22T15:16:01.015Z",
            "last_event_time": "2022-03-22T15:45:25.316Z",
            "threat_id": "31c53f050ca571be0af1b29f2d06****",
            "severity": 5,
            "category": "THREAT",
            "device_id": 131****,
            "device_os": "WINDOWS",
            "device_os_version": "Windows 10 x64",
            "device_name": "**********",
            "device_username": "Administrator",
            "policy_name": "default",
            "target_value": "MEDIUM",
            "workflow": {
                "state": "OPEN",
                "remediation": null,
                "last_update_time": "2022-03-22T18:12:48.593Z",
                "comment": null,
                "changed_by": "Carbon Black"
            },
            "notes_present": false,
            "tags": null,
            "policy_id": 6525,
            "reason": "The application windowsazureguestagent.exe invoked another application (arp.exe).",
            "reason_code": "T_RUN_ANY",
            "process_name": "waappagent.exe",
            "device_location": "OFFSITE",
            "created_by_event_id": "a44e00b5aa0b11ec9973f78f4c******",
            "threat_indicators": [
                {
                    "process_name": "waappagent.exe",
                    "sha256": "a5664303e573266e0f9e5fb443609a7eb272f64680c38d78bce110384b37faca",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "services.exe",
                    "sha256": "dfbea9e8c316d9bc118b454b0c722cd674c30d0a256340200e2c3a7480cba674",
                    "ttps": [
                        "RUN_BLACKLIST_APP"
                    ]
                },
                {
                    "process_name": "svchost.exe",
                    "sha256": "f3feb95e7bcfb0766a694d93fca29eda7e2ca977c2395b4be75242814eb6d881",
                    "ttps": [
                        "COMPANY_BLACKLIST",
                        "MODIFY_MEMORY_PROTECTION",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "windowsazureguestagent.exe",
                    "sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                }
            ],
            "threat_activity_dlp": "NOT_ATTEMPTED",
            "threat_activity_phish": "NOT_ATTEMPTED",
            "threat_activity_c2": "NOT_ATTEMPTED",
            "threat_cause_actor_sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
            "threat_cause_actor_name": "windowsazureguestagent.exe",
            "threat_cause_actor_process_pid": "3504-132914439190103761-0",
            "threat_cause_process_guid": "7DESJ9GN-004fd50b-00000db0-00000000-1d834fa6d7246d1",
            "threat_cause_parent_guid": null,
            "threat_cause_reputation": "TRUSTED_WHITE_LIST",
            "threat_cause_threat_category": null,
            "threat_cause_vector": "UNKNOWN",
            "threat_cause_cause_event_id": "a74fa7a3aa0b11ec9b401dea771569d9",
            "blocked_threat_category": "UNKNOWN",
            "not_blocked_threat_category": "NON_MALWARE",
            "kill_chain_status": [
                "INSTALL_RUN"
            ],
            "sensor_action": null,
            "run_state": "RAN",
            "policy_applied": "NOT_APPLIED",
            "type": "CB_ANALYTICS",
            "alert_classification": null
        }

Paramètres du connecteur

Pour configurer ou modifier les paramètres du connecteur, vous devez faire partie du groupe d'autorisations "Administrateurs" dans Google SecOps. Pour en savoir plus sur les groupes d'autorisations pour les utilisateurs, consultez Utiliser des groupes d'autorisations.

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du champ de produit	Chaîne	ProductName	Oui	Nom du champ dans lequel le nom du produit est stocké.
Nom du champ d'événement	Chaîne	AlertName	Oui	Nom du champ dans lequel le nom de l'événement est stocké.
Nom du champ d'environnement	Chaîne	""	Non	Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ d'environnement est introuvable, l'environnement est "".
Modèle d'expression régulière de l'environnement	Chaîne	.*	Non	Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur brute Environment Field Name requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est "".
Racine de l'API	Chaîne	https://defense.conferdeploy.net	Oui	URL racine de l'API VMware Carbon Black Cloud.
Clé d'organisation	Chaîne	Non applicable	Oui	Clé d'organisation VMware Carbon Black Cloud. Par exemple, 7DDDD9DD.
ID de l'API	Chaîne	Non applicable	Oui	ID de l'API VMware Carbon Black Cloud (ID de clé API personnalisée).
Clé secrète de l'API	Chaîne	Non applicable	Oui	Clé secrète de l'API VMware Carbon Black Cloud (clé secrète de l'API personnalisée).
Heure du décalage en heures	Integer	24	Oui	Nombre d'heures dans le passé à partir desquelles récupérer les alertes.
Nombre maximal d'alertes par cycle	Integer	10	Oui	Nombre d'alertes à traiter lors d'une seule exécution du connecteur.
Gravité minimale à récupérer	Integer	N/A	Non	Gravité minimale de l'alerte Carbon Black Cloud à ingérer dans Google SecOps SOAR. Par exemple, 4 ou 7.
Champ d'alerte à utiliser pour le champ "Nom"	Chaîne	type	Oui	Champ d'alerte Carbon Black Cloud à utiliser pour le champ "Nom de l'alerte" de Google SecOps SOAR. Les valeurs possibles sont "type" et "policy_name".
Quel champ d'alerte utiliser pour le générateur de règles ?	Chaîne	type	Oui	Champ d'alerte Carbon Black Cloud à utiliser pour le champ du générateur de règles d'alerte Google SecOps SOAR. Les valeurs possibles sont "type", "category" et "policy_name".
Réputation de l'alerte à ingérer	Chaîne	Non applicable	Non	La réputation Carbon Black Cloud de l'alerte à ingérer. Ce paramètre accepte plusieurs valeurs sous forme de chaîne d'éléments séparés par une virgule.
Limite d'événements à ingérer par alerte	Integer	25	Oui	Nombre d'événements à ingérer dans chaque alerte Carbon Black Cloud.
Adresse du serveur proxy	IP_OR_HOST	Non applicable	Non	Serveur proxy à utiliser pour la connexion.
Nom d'utilisateur du serveur proxy	Chaîne	Non applicable	Non	Nom d'utilisateur du serveur proxy.
Mot de passe du serveur proxy	Mot de passe	Non applicable	Non	Mot de passe du serveur proxy.
Modèle de nom d'alerte	Chaîne	Non applicable	Non	Si cette option est spécifiée, le connecteur utilise cette valeur des données d'alerte de la réponse de l'API Carbon Black Cloud pour renseigner le champ "Nom de l'alerte". Vous pouvez fournir des espaces réservés au format suivant : [nom du champ]. Exemple : Alerte - [raison]. La longueur maximale de ce champ est de 256 caractères. Si rien n'est fourni ou si vous fournissez un modèle non valide, le connecteur utilise le nom d'alerte par défaut.
Modèle de générateur de règles	Chaîne	N/A	Non	Si cette valeur est spécifiée, le connecteur l'utilise à partir des données d'alerte de la réponse de l'API Carbon Black Cloud pour renseigner le champ du générateur de règles. Vous pouvez fournir des espaces réservés au format suivant : [nom du champ]. Exemple : Alerte - [raison]. La longueur maximale de ce champ est de 256 caractères. Si rien n'est fourni ou si vous fournissez un modèle non valide, le connecteur utilise la valeur par défaut du générateur de règles.

Règles du connecteur

• Le connecteur est compatible avec l'utilisation de proxys.

Connecteur de suivi des alertes et des événements VMware Carbon Black Cloud

Attention : À partir du 31 juillet 2024, vous ne pourrez plus utiliser l'API Alerts v6 dans VMware Carbon Black Cloud. Pour en savoir plus sur l'abandon de l'API Alerts v6 par VMware Carbon Black, consultez API Alerts v6 dans VMware Carbon Black Cloud. Nous vous recommandons de mettre à jour la version de l'intégration pour passer à l'API Alerts v7. Dans l'API Alerts v7, le mappage par défaut du connecteur renvoie la valeur backend_timestamp au lieu de StartTime et backend_update_timestamp au lieu de EndTime. Pour conserver toutes vos modifications de mappage personnalisé, n'écrasez pas le mappage lors de la mise à jour de l'intégration et modifiez manuellement les valeurs des champs StartTime et EndTime.

Présentation

Utilisez le connecteur VMware Carbon Black Cloud Tracking pour récupérer les alertes Carbon Black Cloud et les événements associés. Si le connecteur détecte de nouveaux événements pour des alertes Carbon Black Cloud déjà traitées, il crée une alerte Google SecOps SOAR supplémentaire pour chaque nouvel événement détecté.

Personnaliser les champs "Nom de l'alerte" et "Générateur de règles" dans Google SecOps

Le connecteur permet de personnaliser les valeurs des champs Nom de l'alerte et Générateur de règles de Google SecOps SOAR à l'aide de modèles. Pour les modèles, le connecteur récupère les données à partir des données d'alerte Carbon Black Cloud renvoyées par l'API.

Voici un exemple de données d'alerte Carbon Black Cloud renvoyées par l'API. Les données d'alerte font référence aux champs disponibles dans l'alerte et peuvent être utilisées pour les modèles :

{
            "id": "aa751d91-6623-1a6b-8b4a-************",
            "legacy_alert_id": "aa751d91-6623-1a6b-8b4a-************",
            "org_key": "7DE****",
            "create_time": "2022-03-22T18:12:48.593Z",
            "last_update_time": "2022-03-22T18:13:12.504Z",
            "first_event_time": "2022-03-22T15:16:01.015Z",
            "last_event_time": "2022-03-22T15:45:25.316Z",
            "threat_id": "31c53f050ca571be0af1b29f2d06****",
            "severity": 5,
            "category": "THREAT",
            "device_id": 131****,
            "device_os": "WINDOWS",
            "device_os_version": "Windows 10 x64",
            "device_name": "**********",
            "device_username": "Administrator",
            "policy_name": "default",
            "target_value": "MEDIUM",
            "workflow": {
                "state": "OPEN",
                "remediation": null,
                "last_update_time": "2022-03-22T18:12:48.593Z",
                "comment": null,
                "changed_by": "Carbon Black"
            },
            "notes_present": false,
            "tags": null,
            "policy_id": 6525,
            "reason": "The application windowsazureguestagent.exe invoked another application (arp.exe).",
            "reason_code": "T_RUN_ANY",
            "process_name": "waappagent.exe",
            "device_location": "OFFSITE",
            "created_by_event_id": "a44e00b5aa0b11ec9973f78f4c******",
            "threat_indicators": [
                {
                    "process_name": "waappagent.exe",
                    "sha256": "a5664303e573266e0f9e5fb443609a7eb272f64680c38d78bce110384b37faca",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "services.exe",
                    "sha256": "dfbea9e8c316d9bc118b454b0c722cd674c30d0a256340200e2c3a7480cba674",
                    "ttps": [
                        "RUN_BLACKLIST_APP"
                    ]
                },
                {
                    "process_name": "svchost.exe",
                    "sha256": "f3feb95e7bcfb0766a694d93fca29eda7e2ca977c2395b4be75242814eb6d881",
                    "ttps": [
                        "COMPANY_BLACKLIST",
                        "MODIFY_MEMORY_PROTECTION",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "windowsazureguestagent.exe",
                    "sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                }
            ],
            "threat_activity_dlp": "NOT_ATTEMPTED",
            "threat_activity_phish": "NOT_ATTEMPTED",
            "threat_activity_c2": "NOT_ATTEMPTED",
            "threat_cause_actor_sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
            "threat_cause_actor_name": "windowsazureguestagent.exe",
            "threat_cause_actor_process_pid": "3504-132914439190103761-0",
            "threat_cause_process_guid": "7DESJ9GN-004fd50b-00000db0-00000000-1d834fa6d7246d1",
            "threat_cause_parent_guid": null,
            "threat_cause_reputation": "TRUSTED_WHITE_LIST",
            "threat_cause_threat_category": null,
            "threat_cause_vector": "UNKNOWN",
            "threat_cause_cause_event_id": "a74fa7a3aa0b11ec9b401dea771569d9",
            "blocked_threat_category": "UNKNOWN",
            "not_blocked_threat_category": "NON_MALWARE",
            "kill_chain_status": [
                "INSTALL_RUN"
            ],
            "sensor_action": null,
            "run_state": "RAN",
            "policy_applied": "NOT_APPLIED",
            "type": "CB_ANALYTICS",
            "alert_classification": null
        }

Paramètres du connecteur

Pour configurer ou modifier les paramètres du connecteur, vous devez faire partie du groupe d'autorisations "Administrateurs" dans Google SecOps. Pour en savoir plus sur les groupes d'autorisations pour les utilisateurs, consultez Utiliser des groupes d'autorisations.

Utilisez les paramètres suivants pour configurer le connecteur :

Paramètre	Type	Valeur par défaut	Obligatoire	Description
Nom du champ de produit	Chaîne	ProductName	Oui	Nom du champ dans lequel le nom du produit est stocké.
Nom du champ d'événement	Chaîne	AlertName	Oui	Nom du champ dans lequel le nom de l'événement est stocké.
Nom du champ d'environnement	Chaîne	""	Non	Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ d'environnement est introuvable, l'environnement est "".
Modèle d'expression régulière de l'environnement	Chaîne	.*	Non	Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur brute Environment Field Name requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est "".
Racine de l'API	Chaîne	https://defense.conferdeploy.net	Oui	URL racine de l'API VMware Carbon Black Cloud.
Clé d'organisation	Chaîne	Non applicable	Oui	Clé d'organisation VMware Carbon Black Cloud. Par exemple, 7DDDD9DD.
ID de l'API	Chaîne	Non applicable	Oui	ID de l'API VMware Carbon Black Cloud (ID de clé API personnalisée).
Clé secrète de l'API	Chaîne	N/A	Oui	Clé secrète de l'API VMware Carbon Black Cloud (clé secrète de l'API personnalisée).
Heure du décalage en heures	Integer	24	Oui	Nombre d'heures dans le passé à partir desquelles récupérer les alertes.
Nombre maximal d'alertes par cycle	Integer	10	Oui	Nombre d'alertes à traiter lors d'une seule exécution du connecteur.
Gravité minimale à récupérer	Integer	Non applicable	Non	Gravité minimale de l'alerte Carbon Black Cloud à ingérer dans Google SecOps SOAR. Par exemple, 4 ou 7.
Champ d'alerte à utiliser pour le champ "Nom"	Chaîne	type	Oui	Champ d'alerte Carbon Black Cloud à utiliser pour le champ "Nom de l'alerte" de Google SecOps SOAR. Les valeurs possibles sont "type" et "policy_name".
Quel champ d'alerte utiliser pour le générateur de règles ?	Chaîne	type	Oui	Champ d'alerte Carbon Black Cloud à utiliser pour le champ du générateur de règles d'alerte Google SecOps SOAR. Les valeurs possibles sont "type", "category" et "policy_name".
Réputation de l'alerte à ingérer	Chaîne	Non applicable	Non	Alerte de réputation d'alerte Carbon Black Cloud à ingérer. Ce paramètre accepte plusieurs valeurs sous forme de chaîne d'éléments séparés par une virgule.
Période de marge des événements (heures)	Integer	24	Oui	Nombre d'heures dans le passé à partir desquelles récupérer les événements d'alerte.
Limite d'événements à ingérer par alerte	Integer	25	Oui	Nombre d'événements à ingérer dans une seule alerte Carbon Black Cloud pour chaque itération de connecteur.
Adresse du serveur proxy	IP_OR_HOST	Non applicable	Non	Serveur proxy à utiliser pour la connexion.
Nom d'utilisateur du serveur proxy	Chaîne	Non applicable	Non	Nom d'utilisateur du serveur proxy.
Mot de passe du serveur proxy	Mot de passe	Non applicable	Non	Mot de passe du serveur proxy.
Modèle de nom d'alerte	Chaîne	Non applicable	Non	Si cette option est spécifiée, le connecteur utilise cette valeur des données d'alerte de la réponse de l'API Carbon Black Cloud pour renseigner le champ "Nom de l'alerte". Vous pouvez fournir des espaces réservés au format suivant : [nom du champ]. Exemple : Alerte - [raison]. La longueur maximale de ce champ est de 256 caractères. Si vous ne fournissez rien ou si vous fournissez un modèle non valide, le connecteur utilise la valeur par défaut du nom de l'alerte.
Modèle de générateur de règles	Chaîne	Non applicable	Non	Si cette valeur est spécifiée, le connecteur l'utilise à partir des données d'alerte de la réponse de l'API Carbon Black Cloud pour renseigner le champ du générateur de règles. Vous pouvez fournir des espaces réservés au format suivant : [nom du champ]. Exemple : Règle - [raison]. La longueur maximale de ce champ est de 256 caractères. Si rien n'est fourni ou si vous fournissez un modèle non valide, le connecteur utilise la valeur par défaut du générateur de règles.
Limite totale d'événements par alerte	Integer	100	Non	Nombre total d'événements récupérés par le connecteur pour chaque alerte Carbon Black Cloud. Si cette limite est atteinte, le connecteur ne récupère aucun nouvel événement pour une alerte. Pour ne pas limiter le nombre total d'événements pour chaque alerte, laissez la valeur de ce paramètre vide.

Règles du connecteur

• Le connecteur est compatible avec l'utilisation de proxys.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.