VMware Carbon Black Cloud

Este documento fornece orientações para administradores sobre como configurar e integrar o VMware Carbon Black Cloud ao módulo SOAR do Google Security Operations.

Versão da integração: 32.0

Visão geral

A integração do VMware Carbon Black Cloud ajuda você com as seguintes tarefas:

• Ingerir eventos e alertas do VMware Carbon Black Cloud para criar alertas.

  O Google SecOps usa alertas para realizar orquestrações com playbooks ou análise manual.

• Realizar ações de enriquecimento.

  Receba dados do VMware Carbon Black Cloud para enriquecer os alertas do Google SecOps.

• Realizar ações ativas.

  Programe uma verificação e coloque um host em quarentena no Google SecOps SOAR usando o agente do VMware Carbon Black Cloud.

Essa integração usa um ou mais componentes de código aberto. Faça o download de uma cópia do código-fonte completo dessa integração no bucket do Cloud Storage.

Pré-requisitos

Esta seção se aplica à configuração inicial da integração. Para garantir que os dados fluam conforme o esperado do VMware Carbon Black Cloud para o Google SecOps, conclua as etapas listadas nesta seção no VMware Carbon Black Cloud.

Para configurar o acesso à API para a integração do VMware Carbon Black Cloud, siga estas etapas:

1. Configure o nível de acesso.
2. Criar uma chave de API.

Essa integração tem limitações. Para mais informações sobre limitações, consulte Configurar substituição de reputação na documentação do VMware Carbon Black Cloud.

Configurar o nível de acesso

Para configurar o nível de acesso da integração do VMware Carbon Black Cloud, siga estas etapas:

1. No console do VMware Carbon Black Cloud, acesse Configurações > Acesso à API.

2. Selecione Níveis de acesso.

3. Clique em Adicionar nível de acesso.

4. Forneça um nome e uma descrição para o novo nível de acesso e selecione as seguintes permissões:

   Categoria	Nome da permissão	.Nome da notação	Tipo de permissão
   Alertas	Informações gerais	org.alerts	Ler
   Alertas	Dispensar	org.alerts.dismiss	Executar
   Dispositivo	Quarentena	device.quarantine	Executar
   Dispositivo	Ignorar	device.bypass	Executar
   Dispositivo	Informações gerais	device	Ler
   Dispositivo	Atribuição de policiais	device.policy	Atualizar
   Dispositivo	Verificação em segundo plano	device.bg-scan	Executar
   Pesquisar	Eventos	org.search.events	Criar Ler

5. Clique em Salvar.

Criar uma chave de API

Para criar uma chave de API para a integração do VMware Carbon Black Cloud, siga estas etapas:

1. No console do VMware Carbon Black Cloud, acesse Configurações > Acesso à API > Chaves de API.

2. Clique em Adicionar chave de API.

3. Insira o nome da chave e selecione o nível de acesso que você criou em uma seção anterior.

4. Clique em Salvar para receber o par de ID e chave secreta da API.

   Salve o valor da chave secreta da API, porque não será possível recuperá-lo depois.

Integrar o VMware Carbon Black Cloud com o Google SecOps

Para configurar ou editar os parâmetros de integração, você precisa estar incluído no grupo de permissões de administradores no Google SecOps. Para mais detalhes sobre grupos de permissões para usuários, consulte Trabalhar com grupos de permissões.

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome da instância	String	Não relevante	Não	Nome da instância em que você pretende configurar a integração.
Descrição	String	Não relevante	Não	Descrição da instância.
Raiz da API	String	https://defense.conferdeploy.net/	Sim	URL raiz da API VMware Carbon Black Cloud.
Chave da organização	String	Não relevante	Sim	Chave da organização do VMware Carbon Black Cloud.
ID da API	String	Não relevante	Sim	ID da API do VMware Carbon Black Cloud (ID da chave de API personalizada).
Chave secreta da API	String	Não relevante	Sim	Chave secreta da API do VMware Carbon Black Cloud (chave secreta da API personalizada).
Verificar SSL	Caixa de seleção	Selecionado	Não	Se selecionada, o Google SecOps verifica se o certificado SSL para a conexão com o servidor do VMware Carbon Black Cloud é válido.
Executar remotamente	Caixa de seleção	Não selecionado	Não	Marque a caixa de seleção para executar a integração configurada remotamente. Depois de marcar a caixa de seleção, a opção para selecionar o usuário remoto (agente) vai aparecer.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

É possível mudar a configuração mais tarde, se necessário. Depois de configurar as instâncias, você pode usá-las em playbooks. Para informações detalhadas sobre como configurar e oferecer suporte a várias instâncias, consulte Suporte a várias instâncias.

Ações

Ping

Teste a conectividade com o VMware Carbon Black Cloud.

Parâmetros

Nenhuma.

Casos de uso

A ação testa a conectividade quando executada na página de configuração da integração na guia "Marketplace do Google SecOps". Você pode executar essa ação manualmente, mas não é possível usá-la nos playbooks.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Resultado do script	Disponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Ping":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um quadro de casos, a ação "Ping" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully connected to the VMware Carbon Black Cloud server with the provided connection parameters!	A ação foi concluída.
Failed to connect to the VMware Carbon Black Cloud server! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Enriquecer entidades

Enriqueça as entidades de host ou endereço IP do Google SecOps SOAR com base nas informações do dispositivo da VMware Carbon Black Cloud.

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Host

Casos de uso

Enriqueça entidades de host ou IP do SOAR do Google SecOps com informações do VMware Carbon Black Cloud, se o agente do Carbon Black estiver instalado em um endereço IP ou entidade de host respectivo.

Para ajudar um responsável por responder a incidentes a investigar um possível alerta de malware de um host com um sensor instalado, o VMware Carbon Black Cloud pode fornecer dados de enriquecimento como informações do host, status do sensor e política do Carbon Black.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Disponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Enriquecimento de entidade

Campo de aprimoramento	Aplicabilidade
CB_Cloud.device_id	Sempre
CB_Cloud.antivirus_status	Sempre
CB_Cloud.antivirus_last_scan_time	Se as informações forem mostradas no resultado JSON
CB_Cloud.owner_email	Se as informações forem mostradas no resultado JSON
CB_Cloud.owner_first_name	Se as informações forem mostradas no resultado JSON
CB_Cloud.owner_last_name	Se as informações forem mostradas no resultado JSON
CB_Cloud.last_contact_time	Sempre
CB_Cloud._last_device_policy_changed_time	Se as informações forem mostradas no resultado JSON
CB_Cloud.last_external_ip_address	Sempre
CB_Cloud.last_internal_ip_address	Sempre
CB_Cloud.last_location	Sempre
CB_Cloud.full_device_name	Sempre
CB_Cloud.organization_id	Sempre
CB_Cloud.organization_name	Sempre
CB_Cloud.device_os	Se as informações forem mostradas no resultado JSON
CB_Cloud.device_os_version	Se as informações forem mostradas no resultado JSON
CB_Cloud.passive_mode	Sempre
CB_Cloud.device_policy_id	Sempre
CB_Cloud.device_policy_name	Sempre
CB_Cloud.device_policy_override	Se for verdadeiro
CB_Cloud.quarantined	Sempre
CB_Cloud.scan_status	Se as informações forem mostradas no resultado JSON
CB_Cloud.sensor_out_of_date	Sempre
CB_Cloud.sensor_states	Sempre
CB_Cloud.sensor_version	Sempre
CB_Cloud.device_status	Sempre

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Enriquecer entidades":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída de resultado JSON recebida ao usar a ação "Enriquecer entidades":

{
    "results": [
      {
        "activation_code": null,
        "activation_code_expiry_time": "2020-04-28T05:05:37.391Z",
        "ad_group_id": 649,
        "av_ave_version": null,
        "av_engine": "",
        "av_last_scan_time": null,
        "av_master": false,
        "av_pack_version": null,
        "av_product_version": null,
        "av_status": [
          "AV_DEREGISTERED"
        ],
        "av_update_servers": null,
        "av_vdf_version": null,
        "current_sensor_policy_name": "vmware-example",
        "deregistered_time": "2020-04-21T07:31:22.285Z",
        "device_meta_data_item_list": [
          {
            "key_name": "OS_MAJOR_VERSION",
            "key_value": "Windows 10",
            "position": 0
          },
          {
            "key_name": "SUBNET",
            "key_value": "10.0.2",
            "position": 0
          }
        ],
        "device_owner_id": 439953,
        "email": "User",
        "first_name": null,
        "id": 3401539,
        "last_contact_time": "2020-04-21T07:30:21.614Z",
        "last_device_policy_changed_time": "2020-04-21T05:05:57.518Z",
        "last_device_policy_requested_time": "2020-04-21T07:12:34.803Z",
        "last_external_ip_address": "198.51.100.209",
        "last_internal_ip_address": "203.0.113.15",
        "last_location": "OFFSITE",
        "last_name": null,
        "last_policy_updated_time": "2020-04-09T11:19:01.371Z",
        "last_reported_time": "2020-04-21T07:14:33.810Z",
        "last_reset_time": null,
        "last_shutdown_time": "2020-04-21T06:41:11.083Z",
        "linux_kernel_version": null,
        "login_user_name": null,
        "mac_address": "000000000000",
        "middle_name": null,
        "name": "<span class='hlt1'>WinDev2003Eval</span>",
        "organization_id": 1105,
        "organization_name": "cb-internal-alliances.com",
        "os": "WINDOWS",
        "os_version": "Windows 10 x64",
        "passive_mode": false,
        "policy_id": 36194,
        "policy_name": "vmware-example",
        "policy_override": false,
        "quarantined": false,
        "registered_time": "2020-04-21T05:05:37.407Z",
        "scan_last_action_time": null,
        "scan_last_complete_time": null,
        "scan_status": null,
        "sensor_kit_type": "WINDOWS",
        "sensor_out_of_date": false,
        "sensor_pending_update": false,
        "sensor_states": [
          "ACTIVE",
          "LIVE_RESPONSE_NOT_RUNNING",
          "LIVE_RESPONSE_NOT_KILLED",
          "LIVE_RESPONSE_ENABLED",
          "SECURITY_CENTER_OPTLN_DISABLED"
        ],
        "sensor_version": "3.4.0.1097",
        "status": "DEREGISTERED",
        "target_priority": "MEDIUM",
        "uninstall_code": "9EFCKADP",
        "vdi_base_device": null,
        "virtual_machine": false,
        "virtualization_provider": "UNKNOWN",
        "windows_platform": null
      }
    ],
    "num_found": 6
}

Mensagens de saída

Em um painel de casos, a ação "Enriquecer entidades" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully enriched entities: ENTITY_ID_LIST No entities were enriched. Action was not able to find VMware Carbon Black Cloud info to enrich the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Failed to execute Enrich Entities action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Dispensar o alerta do VMware Carbon Black Cloud

Atenção: a partir de 31 de julho de 2024, não será possível usar a API Alerts v6 no VMware Carbon Black Cloud. Para detalhes sobre a descontinuação que o VMware Carbon Black introduz na API Alerts v6, consulte API Alerts v6. Recomendamos que você atualize a versão da integração para fazer upgrade para a API Alerts v7.

Dispensar o alerta do VMware Carbon Black Cloud.

Em eventos criados pelo conector de alertas do VMware Carbon Black Cloud, o campo Event.id pode ser transmitido como um marcador de posição para o ID do alerta e dispensar um alerta na ação "Dispensar alerta do VMware Carbon Black Cloud".

Essa ação aceita IDs de alerta no formato alfanumérico, como 27162661199ea9a043c11ea9a29a93652bc09fd, e não no formato que aparece na UI, como DONAELUN.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Código de alerta	String	Não relevante	Sim	ID do alerta a ser dispensado no servidor do VMware Carbon Black Cloud. Especifique o ID do alerta no formato alfanumérico, como 27162661199ea9a043c11ea9a29a93652bc09fd, e não no formato que aparece na UI, como DONAELUN.
Motivo da demissão	DDL	Nenhum motivo de dispensa	Não	Motivo da dispensa do alerta do VMware Carbon Black Cloud. Os valores possíveis são: Nenhum motivo de dispensa Resolvido Resolvido: benigno/conhecido como bom Duplicar/limpar Outro
Determinação	DDL	Nenhum	Não	O valor de determinação a ser definido para um alerta. Os valores possíveis são: Nenhum Verdadeiro positivo Falso positivo
Mensagem para dispensa de alerta	String	Não relevante	Não	Mensagem a ser adicionada à dispensa do alerta.

Casos de uso

Dispensar ou fechar um alerta do VMware Carbon Black Cloud com base na análise feita no Google SecOps SOAR.

Depois que o alerta é processado no Google SecOps SOAR, para manter o status sincronizado entre o VMware Carbon Black Cloud e o Google SecOps SOAR, o usuário precisa de uma ação que descarte (feche) o alerta do VMware Carbon Black Cloud no Google SecOps SOAR.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Dispensar alerta do VMware Carbon Black Cloud":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um quadro de casos, a ação "Dispensar alerta do VMware Carbon Black Cloud" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully dismissed VMware Carbon Black Cloud alert with alert id ALERT_ID Failed to dismiss VMware Carbon Black Cloud alert! Error is ERROR_REASON	A ação foi concluída.
Failed to execute Dismiss alert action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Atualizar uma política para dispositivo por ID da política

Mude uma política no sensor do VMware Carbon Black Cloud em um host. O escopo da ação é o endereço IP ou a entidade de host.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID da política	Número inteiro	Não relevante	Sim	Especifique uma política para associar ao sensor do VMware Carbon Black Cloud.

Casos de uso

Crie uma tarefa de atualização de política no servidor do VMware Carbon Black Cloud no Google SecOps SOAR.

Ao analisar alertas, um profissional de resposta a incidentes notou que o mesmo host gerou vários alertas de falso positivo em um curto período. Eles podem usar essa ação para criar uma tarefa de atualização de política que muda a política do sensor para ser menos restritiva.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Atualizar uma política para dispositivo por ID da política":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um painel de casos, a ação "Atualizar uma política para dispositivo por ID da política" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully changed device policy to DEVICE_POLICY for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Action was not able assign policy DEVICE_POLICY for VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Failed to execute action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Verificação em segundo plano do dispositivo

Crie uma tarefa de verificação em segundo plano do dispositivo no servidor VMware Carbon Black Cloud com base nas entidades de endereço IP ou host.

Casos de uso

Crie uma tarefa de verificação em segundo plano para o host usando o sensor do VMware Carbon Black Cloud do Google SecOps SOAR.

Ao analisar alertas, um responsável por responder a incidentes percebe que um host pode estar comprometido. O responsável pela resposta a incidentes pode usar essa ação para solicitar uma verificação em segundo plano sob demanda do host. Essa verificação procura outros executáveis suspeitos no host, e o sensor cria alertas para eles.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Verificação em segundo plano do dispositivo":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um painel de casos, a ação "Verificação em segundo plano do dispositivo" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created a background scan task for the following entities: ENTITY_ID_LIST No tasks were created Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Failed to execute action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Ativar o modo de bypass para o dispositivo

Ative a tarefa de modo de bypass para um dispositivo no servidor VMware Carbon Black Cloud. A tarefa é baseada nas entidades de endereço IP ou host do Google SecOps SOAR.

Casos de uso

Crie uma tarefa "Ativar modo de bypass" no servidor do VMware Carbon Black Cloud no Google SecOps SOAR.

Ao analisar alertas relacionados a um sensor ou host de plataforma específico, um responsável por incidentes notou que o sensor cria vários alertas falso-positivos. Eles podem usar essa ação para ativar o modo de bypass e rastrear quais eventos o agente remoto processa como alertas e atualiza as políticas.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Ativar modo de bypass para dispositivo":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um quadro de casos, a ação "Ativar modo de bypass para dispositivo" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created enable bypass mode task for the following entities: ENTITY_ID_LIST No taskswere created Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Failed to execute action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Desativar o modo de bypass para o dispositivo

Crie uma tarefa de desativação do modo de bypass para dispositivos no servidor VMware Carbon Black Cloud. A tarefa é baseada no endereço IP ou nas entidades de host do Google SecOps SOAR.

Casos de uso

Depois de ativar o modo de bypass em um sensor específico e resolver problemas na configuração e nas políticas do VMware Carbon Black Cloud, um responsável por responder a incidentes decidiu que o sensor do Carbon Black funciona conforme o esperado e não precisa operar no modo de bypass. Eles executam a ação "Criar tarefa para desativar o modo de bypass" para dispositivo e criam uma tarefa para desativar o modo de bypass em um host específico.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Desativar o modo de bypass para dispositivo":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um painel de casos, a ação "Desativar o modo de bypass para dispositivo" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created disable bypass mode task for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Failed to execute action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Colocar dispositivo em quarentena

Crie uma tarefa de dispositivo em quarentena no servidor do VMware Carbon Black Cloud com base nas entidades de endereço IP ou host do Google SecOps SOAR.

Casos de uso

Um responsável pela resposta a incidentes notou que um host estava mostrando sinais de comprometimento e pode usar essa tarefa para colocá-lo em quarentena.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Colocar dispositivo em quarentena":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída de resultado JSON recebida ao usar a ação "Quarentena do dispositivo":

[
  {
    "Entity": "siemplify-ID",
    "EntityResult": {
      "status": "done"
    }
  }
]

Mensagens de saída

Em um quadro de casos, a ação "Colocar dispositivo em quarentena" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created quarantine device task for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Failed to execute action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Remover dispositivo da quarentena

Crie uma tarefa de remoção da quarentena no servidor VMware Carbon Black Cloud com base nas entidades de endereço IP ou host do Google SecOps SOAR.

Casos de uso

Depois de analisar e corrigir um alerta relacionado a um host específico gerenciado pelo VMware Carbon Black Cloud, um responsável pela resposta a incidentes descobriu que o host não estava comprometido. Eles executam a ação "Remover da quarentena" do dispositivo para criar uma tarefa de host sem quarentena no servidor do VMware Carbon Black Cloud e se conectar ao host.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Remover da quarentena":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um painel de casos, a ação "Remover da quarentena" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created quarantine device task for the following entities: ENTITY_ID_LIST No tasks were created. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Failed to execute action! Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Executar pesquisa de processos de entidade

Use essa ação para pesquisar informações sobre processos armazenados no VMware Carbon Black Cloud.

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Host
• Usuário
• Hash
• Processo

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Começar da linha	Número inteiro	0	Não	Especifique a linha de onde buscar os dados.
Número máximo de linhas a serem retornadas	Número inteiro	50	Não	Especifique quantas linhas a ação deve retornar.
Criar insight	Caixa de seleção	Não selecionado	Não	Se selecionada, a ação cria um insight de SOAR do Google SecOps com base nas informações do processo do Carbon Black Cloud.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Enriquecimento de entidade

Campo de aprimoramento	Lógica
IsSuspicous	Definido como "True" quando os dados retornados incluem uma categoria de alerta (alert_category) definida como THREAT e uma lista de IDs de alerta (alert_ids) associada ao processo.

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Executar pesquisa de processo de entidade":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação "Executar pesquisa de processos de entidade":

{
   "results": [
       {
           "alert_category": [
               "THREAT"
           ],
           "alert_id": [
               "19183229-384f-49a7-8ad7-87d0db243fcc",
               "4dfc6aed-656d-41d1-9568-0de349d7a8b3",
               "8eb04992-ed94-4471-8a71-fd78bad887de",
               "ac3b3b3a-f4ce-41dc-9de8-123d5a1e2572",
               "edc046a0-98f0-43eb-b3c0-a67469c11d19",
               "f365a912-1d79-421e-bccb-f57b52100be8"
           ],
           "backend_timestamp": "2021-02-02T18:38:46.520Z",
           "childproc_count": 0,
           "crossproc_count": 0,
           "device_external_ip": "161.47.37.87",
           "device_group_id": 0,
           "device_id": 3602123,
           "device_installed_by": "[e-mail]",
           "device_internal_ip": "172.26.115.53",
           "device_location": "UNKNOWN",
           "device_name": "desktop1-win10",
           "device_os": "WINDOWS",
           "device_os_version": "Windows 10 x64",
           "device_policy": "test",
           "device_policy_id": 32064,
           "device_target_priority": "HIGH",
           "device_timestamp": "2020-08-19T16:31:20.887Z",
           "document_guid": "sF1Ug1--SEyLWljQrWe8NA",
           "event_threat_score": [
               6
           ],
           "filemod_count": 0,
           "ingress_time": 1612291119946,
           "modload_count": 0,
           "netconn_count": 0,
           "org_id": "7DESJ9GN",
           "parent_effective_reputation": "KNOWN_MALWARE",
           "parent_guid": "7DESJ9GN-0036f6cb-000026d4-00000000-1d676428bd025e2",
           "parent_hash": [
               "86deb998e6b628755a1049a54b8863d32752d6176fb1ef3b7c4ee08c1f25edbc"
           ],
           "parent_name": "c:\\windows\\system32\\windowspowershell\\v1.o\\powershell.exe",
           "parent_pid": 9940,
           "parent_reputation": "KNOWN_MALWARE",
           "process_cmdline": [
               "powershell.exe -ep bypass"
           ],
           "process_cmdline_length": [
               25
           ],
           "process_effective_reputation": "COMPANY_BLACK_LIST",
           "process_guid": "7DESJ9GN-0036f6cb-000005b8-00000000-1d676428bdf1285",
           "process_hash": [
               "908b64b1971a979c7e3e8ce4621945cba84854cb98d76367b791a6e22b5f6d53",
               "cda48fc75952ad12d99e526d0b6bf70a"
           ],
           "process_name": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
           "process_pid": [
               1464
           ],
           "process_reputation": "COMPANY_BLACK_LIST",
           "process_sha256": "908b64b1971a979c7e3e8ce4621945cba84854cb98d76367b791a6e22b5f6d53",
           "process_start_time": "2020-08-19T16:05:24.057Z",
           "process_username": [
               "DESKTOP1-WIN10\\acalvio"
           ],
           "regmod_count": 0,
           "scriptload_count": 0,
           "watchlist_hit": [
               "BeCXz92RjiQxN1PnYlM6w:SdJksR9SsWuLCJNeBsNPw:10",
               "BeCXz92RjiQxN1PnYlM6w:s24xyq8SFapmQEMXv9yw:7",
               "BeCXz92RjiQxN1PnYlM6w:s24xyq8SFapmQEMXv9yw:8"
           ]
       }
   ],
   "num_found": 1,
   "num_available": 1,
   "approximate_unaggregated": 6,
   "num_aggregated": 6,
   "contacted": 47,
   "completed": 47
}

Mensagens de saída

Em um painel de casos, a ação "Executar pesquisa de processos de entidade" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Process information was found for the following entities ENTITY_ID_LIST Process information was not found for all of the provided entities. Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Error executing action "Execute Entity Processes Search". Error is ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Listar substituições de reputação

Use essa ação para listar as substituições de reputação configuradas no VMware Carbon Black Cloud.

Essa ação não é executada em entidades.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Lista de substituição de reputação	DDL	Não especificado Valores possíveis: Não especificado White_List Black_List	Não	Especifique a ação da lista de substituições que deve ser retornada.
Tipo de substituição de reputação	DDL	Não especificado Valores possíveis: Não especificado CERTIFICADO SHA256 IT_TOOL	Não	Especifique a ação do tipo de substituição que deve ser retornada.
Começar da linha	Número inteiro	0	Não	Especifique de qual linha a ação deve buscar dados.
Número máximo de linhas a serem retornadas	Número inteiro	50	Não	Especifique quantas linhas a ação deve retornar.
Ordem de classificação das linhas	DDL	ASC Valores possíveis: ASC DESC		Especifique a ordem de classificação das linhas retornadas. As linhas são classificadas com base no valor de create_time.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Disponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Tabela do painel de casos

Na página "Mural de casos", a lista "Substituições de reputação" oferece as seguintes tabelas:

• Tabela SHA-256

  Nome da tabela: Substituições de reputação SHA-256 encontradas

  Colunas da tabela:

  • Hash SHA-256
  • Nome do arquivo
  • ID
  • Substituir lista
  • Descrição
  • Origem
  • Referência da fonte
  • Horário de criação
  • Criado por

• Tabela CERT

  Nome da tabela:Substituições de reputação de CERT encontradas

  Colunas da tabela:

  • Autoridade de certificação
  • Assinado por
  • ID
  • Substituir lista
  • Descrição
  • Origem
  • Referência da fonte
  • Horário de criação
  • Criado por

• Tabela de FERRAMENTAS DE TI

  Nome da tabela:Found IT_TOOL Reputation Overrides

  Colunas da tabela:

  • Caminho da ferramenta de TI
  • Incluir processos filhos
  • ID
  • Substituir lista
  • Descrição
  • Origem
  • Referência da fonte
  • Horário de criação
  • Criado por

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "List Reputation Overrides":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação "List Reputation Overrides" para um certificado:

{
   "num_found": 2,
   "results": [
       {
           "id": "6b040826d43a11eb85899b2a3fb7559d",
           "created_by": "[e-mail]",
           "create_time": "2021-06-23T15:48:13.355Z",
           "override_list": "WHITE_LIST",
           "override_type": "CERT",
           "description": "",
           "source": "APP",
           "source_ref": null,
           "signed_by": "Example Software Corp.",
           "certificate_authority": "Symantec Class 3 SHA256 Code Signing CA"
       }
   ]
}

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação "List Reputation Overrides" para um hash SHA-256:

{
   "num_found": 25,
   "results": [
       {
           "id": "0a0d2bf89d4d11ebbef6695028ab76fe",
           "created_by": "I2TK7ET355",
           "create_time": "2021-04-14T18:12:57.161Z",
           "override_list": "WHITE_LIST",
           "override_type": "SHA256",
           "description": "Test Data",
           "source": "APP",
           "source_ref": null,
           "sha256_hash": "f6a55db64b3369e7e0ce9abe8046c89ff3714c15c3174f04c10390c17af16f0e",
           "filename": null
       }
   ]
}

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação "List Reputation Overrides" para uma ferramenta de TI:

{
   "id": "067ebeeaf03311eb8bb20bf76c87cd52",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:05:50.790Z",
   "override_list": "BLACK_LIST",
   "override_type": "IT_TOOL",
   "description": "An override for an IT_TOOL",
   "source": "APP",
   "source_ref": null,
   "path": "C:\\TMP\\TMP\\TMP\\foo.exe",
   "include_child_processes": false
}

Mensagens de saída

Em um Painel de Casos, a ação "List Reputation Overrides" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Reputation overrides found. No reputation overrides found.	A ação foi concluída.
Error executing action "List Reputation Overrides". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Criar uma substituição de reputação para certificado

Crie uma substituição de reputação para o certificado. Para mais informações sobre a substituição de reputação, consulte Substituição de reputação.

Essa ação não é executada em entidades.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Autoridade de certificação	String	Não relevante	Não	Especifique a autoridade certificadora que autoriza a validade do certificado a ser adicionado à substituição de reputação.
Assinado por	String		Sim	Especifique o nome do signatário a ser adicionado à substituição de reputação.
Descrição	String	Não relevante	Não	Especifique uma descrição para a substituição de reputação criada.
Lista de substituição de reputação	DDL	Não especificado	Sim	Especifique uma lista de substituições a ser criada.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Criar uma substituição de reputação para certificado":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída de resultado JSON recebida ao usar a ação "Criar uma substituição de reputação para certificado":

{
   "id": "fb19756cf03311eb81e9bf7658b8ce59",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:12:41.168Z",
   "override_list": "WHITE_LIST",
   "override_type": "CERT",
   "description": "An override for a CERT",
   "source": "APP",
   "source_ref": null,
   "signed_by": "Test signer for override",
   "certificate_authority": "test cert ca"
}

Mensagens de saída

Em um painel de casos, a ação "Criar uma substituição de reputação para certificado" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created new reputation override: OVERRIDE_ID Action failed to create a new certificate reputation override. Reason:ERROR_REASON	A ação foi concluída.
Error executing action because Reputation Override List is not specified. Error executing action "Create a Reputation Override for Certificate". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Criar uma substituição de reputação para hash SHA-256

Crie uma substituição de reputação para o hash fornecido no formato SHA-256. Para mais informações sobre a substituição de reputação, consulte Substituição de reputação.

Essa ação é executada na entidade "FileHash" se ela for fornecida.

Você pode fornecer o hash SHA-256 como uma entidade FileHash (artefato) do Google SecOps SOAR ou como um parâmetro de entrada de ação. Se o hash for transmitido para a ação como uma entidade e um parâmetro de entrada, a ação será executada no parâmetro de entrada.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Hash SHA-256	String	Não relevante	Não	Especifique um valor de hash SHA-256 para criar uma substituição.
Nome do arquivo	String	Não relevante	Sim	Especifique um nome de arquivo correspondente para adicionar a uma substituição de reputação.
Descrição	String	Não relevante	Não	Especifique uma descrição para a substituição de reputação criada.
Lista de substituição de reputação	DDL	Não especificado	Sim	Especifique uma lista de substituições a ser criada.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Criar uma substituição de reputação para hash SHA-256":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação "Criar uma substituição de reputação para hash SHA-256":

{
   "id": "1ea6c923f03211eb83cf87b4dce84539",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T05:59:21.821Z",
   "override_list": "BLACK_LIST",
   "override_type": "SHA256",
   "description": "An override for a sha256 hash",
   "source": "APP",
   "source_ref": null,
   "sha256_hash": "af62e6b3d475879c4234fe7bd8ba67ff6544ce6510131a069aaac75aa92aee7a",
   "filename": "foo.exe"
}

Mensagens de saída

Em um painel de casos, a ação "Criar uma substituição de reputação para hash SHA-256" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created reputation override for the following entities: ENTITY_ID_LIST Action failed to to create reputation override for the following entities: ENTITY_ID_LIST + API_ERROR No reputation overrides were created.	A ação foi concluída.
Error executing action because wrong hash format was provided. Action is working only with Sha-256 hashes. Error executing action because Reputation Override List is not specified. Error executing action "Create a Reputation Override for SHA-256 Hash". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Criar uma substituição de reputação para uma ferramenta de TI

Use essa ação para criar uma substituição de reputação para a ferramenta de TI específica, como Jira ou ServiceNow. A substituição de reputação é baseada em um nome de arquivo e um caminho. Para mais informações sobre a substituição de reputação, consulte Substituição de reputação.

Essa ação é executada na entidade "File" (Arquivo), se ela for fornecida.

Você pode fornecer o nome do arquivo como uma entidade (artefato) do Google SecOps SOAR File ou como um parâmetro de entrada de ação. Se o nome do arquivo for transmitido à ação como uma entidade e um parâmetro de entrada, a ação usará o parâmetro de entrada. A ação anexa o nome do arquivo ao parâmetro Caminho do arquivo para receber o caminho resultante e adicioná-lo à substituição.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do arquivo	String	Não relevante	Não	Especifique o nome do arquivo correspondente para adicionar à substituição de reputação.
Caminho do arquivo	String	Não relevante	Sim	Especifique o caminho em que a ferramenta de TI correspondente está armazenada no disco para adicionar o caminho à substituição de reputação. Exemplo: C\\TMP\\.
Incluir processos filhos	Caixa de seleção	Não selecionado	Não	Se selecionada, inclua os processos filhos da ferramenta de TI na lista aprovada.
Descrição	String	Não relevante	Não	Especifique uma descrição para a substituição de reputação criada.
Lista de substituição de reputação	DDL	Não especificado	Sim	Especifique a lista de substituições a ser criada.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Criar substituição de reputação para ferramenta de TI":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída de resultado JSON recebida ao usar a ação "Criar substituição de reputação para ferramenta de TI":

{
   "id": "067ebeeaf03311eb8bb20bf76c87cd52",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:05:50.790Z",
   "override_list": "BLACK_LIST",
   "override_type": "IT_TOOL",
   "description": "An override for an IT_TOOL",
   "source": "APP",
   "source_ref": null,
   "path": "C:\\TMP\\TMP\\TMP\\foo.exe",
   "include_child_processes": false
}

Mensagens de saída

Em um quadro de casos, a ação "Criar uma substituição de reputação para ferramenta de TI" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created reputation override for the following entities: ENTITY_ID_LIST No reputation overrides were created. Action failed to create reputation override for the following entities: ENTITY_ID_LIST + API_ERROR	A ação foi concluída.
Error executing action because Reputation Override List is not specified. Error executing action "Create a Reputation Override for IT Tool". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Excluir uma substituição de reputação

Exclui uma substituição de reputação usando o ID fornecido. Para mais informações sobre a substituição de reputação, consulte Substituição de reputação.

Essa ação não é executada em entidades.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID de substituição de reputação	String	Não relevante	Sim	Especifique o ID da substituição de reputação a ser excluída.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Excluir substituição de reputação":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Mensagens de saída

Em um Painel de Casos, a ação "Excluir uma substituição de reputação" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully deleted reputation override OVERRIDE_ID_ No tasks were created. Action failed to delete reputation override OVERRIDE_ID. Reason: ERROR_REASON Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST	A ação foi concluída.
Error executing action "Delete a Reputation Override". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Listar vulnerabilidades do host

Use essa ação para listar as vulnerabilidades que o Carbon Black Cloud encontrou no host.

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Nome do host

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Filtro de gravidade	CSV	Não relevante	Não	Especifique a lista separada por vírgulas de gravidades para vulnerabilidades. Se nada for fornecido, a ação vai ingerir todas as vulnerabilidades relacionadas. Valores possíveis: Critical, Important, Moderate, Low.
Número máximo de vulnerabilidades a serem retornadas	Número inteiro	100	Não	Especifique o número de vulnerabilidades a serem retornadas para cada host. Se nada for fornecido, a ação vai processar todas as vulnerabilidades relacionadas.

Saídas de ação

A ação fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Enriquecimento de entidade	Indisponível
Resultado do script	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "List Host Vulnerabilities":

Nome do resultado do script	Opções de valor	Exemplo
is_success	True ou false	is_success:False

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação "List Host Vulnerabilities":

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "moderate": 1,
            "low": 1
        }
    },
    "details": [
        {
            "os_product_id": "161_0",
            "category": "OS",
            "os_info": {
                "os_type": "WINDOWS",
                "os_name": "Microsoft Windows 10 Enterprise",
                "os_version": "10.0.10240",
                "os_arch": "64-bit"
            },
            "product_info": {
                "vendor": null,
                "product": null,
                "version": null,
                "release": null,
                "arch": null
            },
            "vuln_info": {
                "cve_id": "CVE-2015-2534",
                "cve_description": "Hyper-V in Microsoft Windows 8.1, Windows Server 2012 R2, and Windows 10 improperly processes ACL settings, which allows local users to bypass intended network-traffic restrictions via a crafted application, aka \"Hyper-V Security Feature Bypass Vulnerability.\"",
                "risk_meter_score": 0.9,
                "severity": "LOW",
                "fixed_by": "KB3091287",
                "solution": null,
                "created_at": "2015-09-09T00:59:00Z",
                "nvd_link": "http://example",
                "cvss_access_complexity": null,
                "cvss_access_vector": null,
                "cvss_authentication": null,
                "cvss_availability_impact": null,
                "cvss_confidentiality_impact": null,
                "cvss_integrity_impact": null,
                "easily_exploitable": null,
                "malware_exploitable": null,
                "active_internet_breach": null,
                "cvss_exploit_subscore": null,
                "cvss_impact_subscore": null,
                "cvss_vector": null,
                "cvss_v3_exploit_subscore": null,
                "cvss_v3_impact_subscore": null,
                "cvss_v3_vector": null,
                "cvss_score": null,
                "cvss_v3_score": null
            },
            "device_count": 1,
            "affected_assets": null
        },
        {
            "os_product_id": "161_0",
            "category": "OS",
            "os_info": {
                "os_type": "WINDOWS",
                "os_name": "Microsoft Windows 10 Enterprise",
                "os_version": "10.0.10240",
                "os_arch": "64-bit"
            },
            "product_info": {
                "vendor": null,
                "product": null,
                "version": null,
                "release": null,
                "arch": null
            },
            "vuln_info": {
                "cve_id": "CVE-2017-8554",
                "cve_description": "The kernel in Microsoft Windows 7 SP1, Windows Server 2008 SP2 and R2 SP1, Windows 8.1 and Windows RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, and 1703, and Windows Server 2016 allows an authenticated attacker to obtain memory contents via a specially crafted application.",
                "risk_meter_score": 0.9,
                "severity": "LOW",
                "fixed_by": "KB5016639",
                "solution": null,
                "created_at": "2017-06-29T13:29:00Z",
                "nvd_link": "http://example",
                "cvss_access_complexity": null,
                "cvss_access_vector": null,
                "cvss_authentication": null,
                "cvss_availability_impact": null,
                "cvss_confidentiality_impact": null,
                "cvss_integrity_impact": null,
                "easily_exploitable": null,
                "malware_exploitable": null,
                "active_internet_breach": null,
                "cvss_exploit_subscore": null,
                "cvss_impact_subscore": null,
                "cvss_vector": null,
                "cvss_v3_exploit_subscore": null,
                "cvss_v3_impact_subscore": null,
                "cvss_v3_vector": null,
                "cvss_score": null,
                "cvss_v3_score": null
            },
            "device_count": 1,
            "affected_assets": null
        }
    ]
}

Mensagens de saída

Em um painel de casos, a ação "List Host Vulnerabilities" fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully retrieved vulnerabilities for the following hosts: ENTITIES No vulnerabilities were found. No vulnerabilities were found for the following hosts: ENTITIES	A ação foi concluída.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the "Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Conectores

Os seguintes conectores estão disponíveis para uso na integração do VMware Carbon Black Cloud:

1. AlertConnector, descontinuado. Ele usa os mesmos dados de alerta do Carbon Black para alertas e eventos do SOAR do Google SecOps, perdendo completamente os dados de eventos do Carbon Black. Use o conector de base ou de rastreamento.

2. O Baseline Connector recupera alertas e eventos do Carbon Black. Esse conector não monitora se novos eventos são adicionados aos alertas do Carbon Black.

3. O Tracking Connector recupera alertas e eventos do Carbon Black e monitora se novos eventos são adicionados a alertas já ingeridos. Se um novo evento aparecer em um alerta do CB, o conector vai criar um novo alerta do Google SecOps SOAR com eventos adicionados a um alerta do Carbon Black.

Para instruções sobre como configurar um conector no Google SecOps SOAR, consulte Configurar o conector.

Conector de alertas do VMware Carbon Black Cloud — descontinuado

Descontinuado: esse conector foi descontinuado.

Atenção: a partir de 31 de julho de 2024, não será possível usar a API Alerts v6 no VMware Carbon Black Cloud. Para detalhes sobre a descontinuação que o VMware Carbon Black introduz na API Alerts v6, consulte API Alerts v6 no VMware Carbon Black Cloud. Recomendamos que você atualize a versão da integração para a API Alerts v7.

Receba alertas do VMware Carbon Black Cloud como alertas do Google SecOps SOAR para análise na plataforma Google SecOps SOAR.

Visão geral do conector

O conector se conecta periodicamente ao endpoint de API do VMware Carbon Black Cloud e extrai uma lista de alertas gerados em um período específico. Se houver novos alertas, o conector vai criar alertas do Google SecOps SOAR com base nos alertas do Carbon Black Cloud e salvar o carimbo de data/hora do conector como a última hora de alerta ingerida com sucesso. Na próxima execução do conector, ele vai consultar a API do Carbon Black apenas para alertas criados após o carimbo de data/hora.

O conector verifica se há alertas duplicados (conhecidos como alertas marcados como excesso) e não cria alertas do Google SecOps SOAR com base neles.

Modo de teste:o conector tem um modo de teste para fins de depuração e solução de problemas. No modo de teste, o conector faz o seguinte:

• Não atualizar o carimbo de data/hora da última execução.
• Recupera alertas com base na quantidade especificada de horas.
• Retorna um único alerta para ingestão.

Comunicações criptografadas:o conector é compatível com comunicações criptografadas (SSL ou TLS).

Suporte a proxy:o conector aceita conexões com os endpoints da API usando proxy para tráfego HTTPS.

Suporte a Unicode:o conector é compatível com a codificação Unicode para os alertas processados.

Permissões da API

O conector do Carbon Black Cloud usa as mesmas credenciais de API da integração do Carbon Black Cloud. Para mais detalhes sobre a configuração da API para o Carbon Black Cloud, consulte a seção Pré-requisitos.

Parâmetros do conector

Para configurar ou editar os parâmetros do conector, você precisa estar incluído no grupo de permissões de administradores do Google SecOps. Para mais detalhes sobre grupos de permissões para usuários, consulte Trabalhar com grupos de permissões.

Use os seguintes parâmetros para configurar o conector:

Parâmetro	Tipo	Valor padrão	Obrigatório	Descrição
Ambiente	DDL	Não relevante	Sim	Selecione o ambiente necessário. Por exemplo, "Cliente Um". Se o campo "Ambiente" do alerta estiver vazio, o alerta será injetado nesse ambiente.
Executar a cada	Número inteiro	0:0:0:10	Não	Selecione o horário para executar a conexão.
Nome do campo do produto	String	ProductName	Sim	O nome do campo em que o nome do produto é armazenado.
Nome do campo do evento	String	AlertName	Sim	O nome do campo em que o nome do evento está armazenado.
ID da classe de evento	String	AlertName	Não	O nome do campo usado para determinar o nome do evento (subtipo).
Tempo limite do processo Python	String	180	Sim	O limite de tempo (em segundos) para o processo do Python que está executando o script atual.
Nome do campo de ambiente	String	""	Não	O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente será "".
Padrão de regex do ambiente	String	.*	Não	Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Com esse parâmetro, é possível manipular o campo "environment" usando a lógica de expressão regular. Use o valor padrão .* para extrair o valor Environment Field Name bruto necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final do ambiente será "".
Raiz da API	String	Não relevante	Sim	URL raiz da API do VMware Carbon Black Cloud.
Chave da organização	String	N/A	Sim	Chave da organização do VMware Carbon Black Cloud.
ID da API	String	N/A	Sim	ID da API do VMware Carbon Black Cloud (ID da chave de API personalizada).
Chave secreta da API	String	N/A	Sim	Chave secreta da API do VMware Carbon Black Cloud (chave secreta da API personalizada).
Tempo de ajuste em horas	Número inteiro	24	Sim	Número de horas para buscar alertas.
Máximo de alertas por ciclo	Número inteiro	10	Sim	Número de alertas a serem processados em uma única execução do conector.
Gravidade mínima para buscar	Número inteiro	N/A	Não	A gravidade mínima do alerta do Carbon Black Cloud a ser ingerida no Google SecOps SOAR.
Qual campo de alerta usar para o campo "Nome"	String	tipo	Sim	O campo de alerta do Carbon Black Cloud a ser usado para o campo "Nome do alerta do Google SecOps SOAR". Os valores possíveis são "type" e "policy_name".
Qual campo de alerta usar no gerador de regras	String	tipo	Sim	O campo de alerta do Carbon Black Cloud a ser usado para o campo "Gerador de regras de alerta do Google SecOps SOAR". Os valores possíveis são "type", "category" e "policy_name".
Endereço do servidor proxy	IP_OR_HOST	Não relevante	Não	Servidor proxy a ser usado para a conexão.
Nome de usuário do servidor proxy	String	Não relevante	Não	Nome de usuário do servidor proxy.
Senha do servidor proxy	Senha	Não relevante	Não	Senha do servidor proxy.

Regras do conector

• O conector é compatível com o uso de proxies.

Conector de eventos e alertas de baseline do VMware Carbon Black Cloud

Atenção: a partir de 31 de julho de 2024, não será possível usar a API Alerts v6 no VMware Carbon Black Cloud. Para detalhes sobre a descontinuação que o VMware Carbon Black introduz na API Alerts v6, consulte API Alerts v6 no VMware Carbon Black Cloud. Recomendamos que você atualize a versão da integração para a API Alerts v7. Na API Alerts v7, o mapeamento padrão do conector retorna o valor backend_timestamp em vez de StartTime e backend_update_timestamp em vez de EndTime. Para manter todas as mudanças de mapeamento personalizadas, não substitua o mapeamento ao atualizar a integração e mude manualmente os valores dos campos StartTime e EndTime.

Visão geral

Use o conector de linha de base do VMware Carbon Black Cloud para ingerir os alertas do Carbon Black Cloud e os eventos relacionados a eles. Depois de ingerir alertas, o Google SecOps os marca como processados e não busca atualizações para eles. Para buscar atualizações de alertas, use o conector de rastreamento.

Personalizar os campos "Nome do alerta" e "Gerador de regras" no Google SecOps

O conector oferece uma opção para personalizar os valores dos campos Nome do alerta e Gerador de regras do SOAR do Google SecOps usando modelos. Para modelos, o conector recebe dados dos alertas do Carbon Black Cloud retornados pela API.

Confira a seguir um exemplo dos dados de alerta do Carbon Black Cloud retornados pela API. Os dados de alerta referenciam os campos disponíveis no alerta e podem ser usados para modelos:

{
            "id": "aa751d91-6623-1a6b-8b4a-************",
            "legacy_alert_id": "aa751d91-6623-1a6b-8b4a-************",
            "org_key": "7DE****",
            "create_time": "2022-03-22T18:12:48.593Z",
            "last_update_time": "2022-03-22T18:13:12.504Z",
            "first_event_time": "2022-03-22T15:16:01.015Z",
            "last_event_time": "2022-03-22T15:45:25.316Z",
            "threat_id": "31c53f050ca571be0af1b29f2d06****",
            "severity": 5,
            "category": "THREAT",
            "device_id": 131****,
            "device_os": "WINDOWS",
            "device_os_version": "Windows 10 x64",
            "device_name": "**********",
            "device_username": "Administrator",
            "policy_name": "default",
            "target_value": "MEDIUM",
            "workflow": {
                "state": "OPEN",
                "remediation": null,
                "last_update_time": "2022-03-22T18:12:48.593Z",
                "comment": null,
                "changed_by": "Carbon Black"
            },
            "notes_present": false,
            "tags": null,
            "policy_id": 6525,
            "reason": "The application windowsazureguestagent.exe invoked another application (arp.exe).",
            "reason_code": "T_RUN_ANY",
            "process_name": "waappagent.exe",
            "device_location": "OFFSITE",
            "created_by_event_id": "a44e00b5aa0b11ec9973f78f4c******",
            "threat_indicators": [
                {
                    "process_name": "waappagent.exe",
                    "sha256": "a5664303e573266e0f9e5fb443609a7eb272f64680c38d78bce110384b37faca",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "services.exe",
                    "sha256": "dfbea9e8c316d9bc118b454b0c722cd674c30d0a256340200e2c3a7480cba674",
                    "ttps": [
                        "RUN_BLACKLIST_APP"
                    ]
                },
                {
                    "process_name": "svchost.exe",
                    "sha256": "f3feb95e7bcfb0766a694d93fca29eda7e2ca977c2395b4be75242814eb6d881",
                    "ttps": [
                        "COMPANY_BLACKLIST",
                        "MODIFY_MEMORY_PROTECTION",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "windowsazureguestagent.exe",
                    "sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                }
            ],
            "threat_activity_dlp": "NOT_ATTEMPTED",
            "threat_activity_phish": "NOT_ATTEMPTED",
            "threat_activity_c2": "NOT_ATTEMPTED",
            "threat_cause_actor_sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
            "threat_cause_actor_name": "windowsazureguestagent.exe",
            "threat_cause_actor_process_pid": "3504-132914439190103761-0",
            "threat_cause_process_guid": "7DESJ9GN-004fd50b-00000db0-00000000-1d834fa6d7246d1",
            "threat_cause_parent_guid": null,
            "threat_cause_reputation": "TRUSTED_WHITE_LIST",
            "threat_cause_threat_category": null,
            "threat_cause_vector": "UNKNOWN",
            "threat_cause_cause_event_id": "a74fa7a3aa0b11ec9b401dea771569d9",
            "blocked_threat_category": "UNKNOWN",
            "not_blocked_threat_category": "NON_MALWARE",
            "kill_chain_status": [
                "INSTALL_RUN"
            ],
            "sensor_action": null,
            "run_state": "RAN",
            "policy_applied": "NOT_APPLIED",
            "type": "CB_ANALYTICS",
            "alert_classification": null
        }

Parâmetros do conector

Para configurar ou editar os parâmetros do conector, você precisa estar incluído no grupo de permissões de administradores do Google SecOps. Para mais detalhes sobre grupos de permissões para usuários, consulte Trabalhar com grupos de permissões.

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do campo do produto	String	ProductName	Sim	O nome do campo em que o nome do produto é armazenado.
Nome do campo do evento	String	AlertName	Sim	O nome do campo em que o nome do evento está armazenado.
Nome do campo de ambiente	String	""	Não	O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente será "".
Padrão de regex do ambiente	String	.*	Não	Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Com esse parâmetro, é possível manipular o campo "environment" usando a lógica de expressão regular. Use o valor padrão .* para extrair o valor Environment Field Name bruto necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final do ambiente será "".
Raiz da API	String	https://defense.conferdeploy.net	Sim	URL raiz da API VMware Carbon Black Cloud.
Chave da organização	String	Não relevante	Sim	Chave da organização do VMware Carbon Black Cloud. Por exemplo, 7DDDD9DD.
ID da API	String	Não relevante	Sim	ID da API do VMware Carbon Black Cloud (ID da chave de API personalizada).
Chave secreta da API	String	Não relevante	Sim	Chave secreta da API do VMware Carbon Black Cloud (chave secreta da API personalizada).
Tempo de ajuste em horas	Número inteiro	24	Sim	Número de horas para buscar alertas.
Máximo de alertas por ciclo	Número inteiro	10	Sim	Número de alertas a serem processados em uma única execução do conector.
Gravidade mínima para buscar	Número inteiro	N/A	Não	A gravidade mínima do alerta do Carbon Black Cloud para ingestão no Google SecOps SOAR. Por exemplo, 4 ou 7.
Qual campo de alerta usar para o campo "Nome"	String	tipo	Sim	O campo de alerta do Carbon Black Cloud a ser usado para o campo "Nome do alerta do Google SecOps SOAR". Os valores possíveis são "type" e "policy_name".
Qual campo de alerta usar no gerador de regras	String	tipo	Sim	O campo de alerta do Carbon Black Cloud a ser usado para o campo "Gerador de regras de alerta do Google SecOps SOAR". Os valores possíveis são "type", "category" e "policy_name".
Reputação de alerta para ingestão	String	Não relevante	Não	A reputação do alerta a ser ingerido no Carbon Black Cloud. Esse parâmetro aceita vários valores como uma string separada por vírgulas.
Limite de eventos para ingestão por alerta	Número inteiro	25	Sim	O número de eventos a serem ingeridos em cada alerta do Carbon Black Cloud.
Endereço do servidor proxy	IP_OR_HOST	Não relevante	Não	Servidor proxy a ser usado para a conexão.
Nome de usuário do servidor proxy	String	Não relevante	Não	Nome de usuário do servidor proxy.
Senha do servidor proxy	Senha	Não relevante	Não	Senha do servidor proxy.
Modelo de nome do alerta	String	Não relevante	Não	Se especificado, o conector usa esse valor dos dados de alerta da resposta da API do Carbon Black Cloud para preencher o campo "Nome do alerta". É possível fornecer marcadores de posição no seguinte formato: [nome do campo]. Exemplo: Alerta: [motivo]. O tamanho máximo do campo é de 256 caracteres. Se nada for fornecido ou se você fornecer um modelo inválido, o conector usará o nome de alerta padrão.
Modelo do gerador de regras	String	N/A	Não	Se especificado, o conector usa esse valor dos dados de alerta da resposta da API do Carbon Black Cloud para preencher o campo "Gerador de regras". É possível fornecer marcadores de posição no seguinte formato: [nome do campo]. Exemplo: Alerta: [motivo]. O tamanho máximo do campo é de 256 caracteres. Se nada for fornecido ou se você fornecer um modelo inválido, o conector usará o valor padrão do gerador de regras.

Regras do conector

• O conector é compatível com o uso de proxies.

Conector de rastreamento de eventos e alertas do VMware Carbon Black Cloud

Atenção: a partir de 31 de julho de 2024, não será possível usar a API Alerts v6 no VMware Carbon Black Cloud. Para detalhes sobre a descontinuação que o VMware Carbon Black introduz na API Alerts v6, consulte API Alerts v6 no VMware Carbon Black Cloud. Recomendamos que você atualize a versão da integração para fazer upgrade para a API Alerts v7. Na API Alerts v7, o mapeamento padrão do conector retorna o valor backend_timestamp em vez de StartTime e backend_update_timestamp em vez de EndTime. Para manter todas as mudanças de mapeamento personalizadas, não substitua o mapeamento ao atualizar a integração e mude manualmente os valores dos campos StartTime e EndTime.

Visão geral

Use o conector de rastreamento do VMware Carbon Black Cloud para buscar alertas e eventos relacionados do Carbon Black Cloud. Se o conector detectar novos eventos para alertas do Carbon Black Cloud já processados, ele vai criar um alerta adicional do Google SecOps SOAR para cada novo evento detectado.

Personalizar os campos "Nome do alerta" e "Gerador de regras" no Google SecOps

O conector oferece uma opção para personalizar os valores dos campos Nome do alerta e Gerador de regras do Google SecOps SOAR usando modelos. Para modelos, o conector recebe dados dos alertas do Carbon Black Cloud retornados pela API.

Confira a seguir um exemplo dos dados de alerta do Carbon Black Cloud retornados pela API. Os dados de alerta referenciam os campos disponíveis no alerta e podem ser usados para modelos:

{
            "id": "aa751d91-6623-1a6b-8b4a-************",
            "legacy_alert_id": "aa751d91-6623-1a6b-8b4a-************",
            "org_key": "7DE****",
            "create_time": "2022-03-22T18:12:48.593Z",
            "last_update_time": "2022-03-22T18:13:12.504Z",
            "first_event_time": "2022-03-22T15:16:01.015Z",
            "last_event_time": "2022-03-22T15:45:25.316Z",
            "threat_id": "31c53f050ca571be0af1b29f2d06****",
            "severity": 5,
            "category": "THREAT",
            "device_id": 131****,
            "device_os": "WINDOWS",
            "device_os_version": "Windows 10 x64",
            "device_name": "**********",
            "device_username": "Administrator",
            "policy_name": "default",
            "target_value": "MEDIUM",
            "workflow": {
                "state": "OPEN",
                "remediation": null,
                "last_update_time": "2022-03-22T18:12:48.593Z",
                "comment": null,
                "changed_by": "Carbon Black"
            },
            "notes_present": false,
            "tags": null,
            "policy_id": 6525,
            "reason": "The application windowsazureguestagent.exe invoked another application (arp.exe).",
            "reason_code": "T_RUN_ANY",
            "process_name": "waappagent.exe",
            "device_location": "OFFSITE",
            "created_by_event_id": "a44e00b5aa0b11ec9973f78f4c******",
            "threat_indicators": [
                {
                    "process_name": "waappagent.exe",
                    "sha256": "a5664303e573266e0f9e5fb443609a7eb272f64680c38d78bce110384b37faca",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "services.exe",
                    "sha256": "dfbea9e8c316d9bc118b454b0c722cd674c30d0a256340200e2c3a7480cba674",
                    "ttps": [
                        "RUN_BLACKLIST_APP"
                    ]
                },
                {
                    "process_name": "svchost.exe",
                    "sha256": "f3feb95e7bcfb0766a694d93fca29eda7e2ca977c2395b4be75242814eb6d881",
                    "ttps": [
                        "COMPANY_BLACKLIST",
                        "MODIFY_MEMORY_PROTECTION",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "windowsazureguestagent.exe",
                    "sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                }
            ],
            "threat_activity_dlp": "NOT_ATTEMPTED",
            "threat_activity_phish": "NOT_ATTEMPTED",
            "threat_activity_c2": "NOT_ATTEMPTED",
            "threat_cause_actor_sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
            "threat_cause_actor_name": "windowsazureguestagent.exe",
            "threat_cause_actor_process_pid": "3504-132914439190103761-0",
            "threat_cause_process_guid": "7DESJ9GN-004fd50b-00000db0-00000000-1d834fa6d7246d1",
            "threat_cause_parent_guid": null,
            "threat_cause_reputation": "TRUSTED_WHITE_LIST",
            "threat_cause_threat_category": null,
            "threat_cause_vector": "UNKNOWN",
            "threat_cause_cause_event_id": "a74fa7a3aa0b11ec9b401dea771569d9",
            "blocked_threat_category": "UNKNOWN",
            "not_blocked_threat_category": "NON_MALWARE",
            "kill_chain_status": [
                "INSTALL_RUN"
            ],
            "sensor_action": null,
            "run_state": "RAN",
            "policy_applied": "NOT_APPLIED",
            "type": "CB_ANALYTICS",
            "alert_classification": null
        }

Parâmetros do conector

Para configurar ou editar os parâmetros do conector, você precisa estar incluído no grupo de permissões de administradores do Google SecOps. Para mais detalhes sobre grupos de permissões para usuários, consulte Trabalhar com grupos de permissões.

Use os seguintes parâmetros para configurar o conector:

Parâmetro	Tipo	Valor padrão	Obrigatório	Descrição
Nome do campo do produto	String	ProductName	Sim	O nome do campo em que o nome do produto é armazenado.
Nome do campo do evento	String	AlertName	Sim	O nome do campo em que o nome do evento está armazenado.
Nome do campo de ambiente	String	""	Não	O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente será "".
Padrão de regex do ambiente	String	.*	Não	Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Com esse parâmetro, é possível manipular o campo "environment" usando a lógica de expressão regular. Use o valor padrão .* para extrair o valor Environment Field Name bruto necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final do ambiente será "".
Raiz da API	String	https://defense.conferdeploy.net	Sim	URL raiz da API VMware Carbon Black Cloud.
Chave da organização	String	Não relevante	Sim	Chave da organização do VMware Carbon Black Cloud. Por exemplo, 7DDDD9DD.
ID da API	String	Não relevante	Sim	ID da API do VMware Carbon Black Cloud (ID da chave de API personalizada).
Chave secreta da API	String	N/A	Sim	Chave secreta da API do VMware Carbon Black Cloud (chave secreta da API personalizada).
Tempo de ajuste em horas	Número inteiro	24	Sim	O número de horas para buscar alertas.
Máximo de alertas por ciclo	Número inteiro	10	Sim	O número de alertas a serem processados em uma única execução do conector.
Gravidade mínima para buscar	Número inteiro	Não relevante	Não	A gravidade mínima do alerta do Carbon Black Cloud a ser ingerido no Google SecOps SOAR. Por exemplo, 4 ou 7.
Qual campo de alerta usar para o campo "Nome"	String	tipo	Sim	O campo de alerta do Carbon Black Cloud a ser usado para o campo "Nome do alerta do Google SecOps SOAR". Os valores possíveis são: "type" e "policy_name".
Qual campo de alerta usar no gerador de regras	String	tipo	Sim	O campo de alerta do Carbon Black Cloud a ser usado para o campo "Gerador de regras de alerta do Google SecOps SOAR". Os valores possíveis são "type", "category" e "policy_name".
Reputação de alerta para ingestão	String	Não relevante	Não	O alerta de reputação do Carbon Black Cloud a ser ingerido. Esse parâmetro aceita vários valores como uma string separada por vírgulas.
Período de padding de eventos (horas)	Número inteiro	24	Sim	O número de horas para buscar eventos de alerta.
Limite de eventos para ingestão por alerta	Número inteiro	25	Sim	O número de eventos a serem ingeridos em um único alerta do Carbon Black Cloud para cada iteração do conector.
Endereço do servidor proxy	IP_OR_HOST	Não relevante	Não	Servidor proxy a ser usado para a conexão.
Nome de usuário do servidor proxy	String	Não relevante	Não	Nome de usuário do servidor proxy.
Senha do servidor proxy	Senha	Não relevante	Não	Senha do servidor proxy.
Modelo de nome do alerta	String	Não relevante	Não	Se especificado, o conector usa esse valor dos dados de alerta da resposta da API do Carbon Black Cloud para preencher o campo "Nome do alerta". É possível fornecer marcadores de posição no seguinte formato: [nome do campo]. Exemplo: Alerta: [motivo]. O tamanho máximo do campo é de 256 caracteres. Se nada for fornecido ou se você fornecer um modelo inválido, o conector usará o valor padrão do nome do alerta.
Modelo do gerador de regras	String	Não relevante	Não	Se especificado, o conector usa esse valor dos dados de alerta da resposta da API do Carbon Black Cloud para preencher o campo "Gerador de regras". É possível fornecer marcadores de posição no seguinte formato: [nome do campo]. Exemplo: Regra: [motivo]. O tamanho máximo do campo é de 256 caracteres. Se nada for fornecido ou se você fornecer um modelo inválido, o conector usará o valor padrão do gerador de regras.
Limite total de eventos por alerta	Número inteiro	100	Não	O número total de eventos que o conector recupera para cada alerta do Carbon Black Cloud. Se esse limite for atingido, o conector não vai recuperar novos eventos para um alerta. Para não limitar o número total de eventos de cada alerta, deixe esse valor de parâmetro em branco.

Regras do conector

• O conector é compatível com o uso de proxies.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.