FireEye AX

本文說明如何將 FireEye AX 與 Google Security Operations 整合。

應用實例

執行實體擴充。

在 Google Security Operations 中設定 FireEye AX 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 根層級 字串 https:/<<ip address>> 是 Trellix Malware Analysis 執行個體的 API 根目錄。
使用者名稱 字串 不適用 是 Trellix Malware Analysis 帳戶的使用者名稱。
密碼 密碼 不適用 是 Trellix Malware Analysis 帳戶的密碼。
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認與 Trellix Malware Analysis 伺服器連線的 SSL 憑證有效。

動作

乒乓

說明

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Trellix 惡意軟體數據分析的連線能力。

參數

不適用

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行教戰手冊：
如果成功：「已使用提供的連線參數成功連線至 Trellix Malware Analysis 伺服器！」

動作應失敗並停止執行應對手冊：
if not successful: "Failed to connect to the Trellix Malware Analysis server! 錯誤為 {0}".format(exception.stacktrace)

 一般

提交網址

說明

使用 Trellix Malware Analysis 中的網址提交檔案進行分析。支援的實體：網址。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
VM 設定檔 字串 不適用 是 指定分析期間應使用的虛擬機器設定檔。可用的 VM 設定檔可在「Get Appliance Details」動作中找到
應用程式 ID 字串 不適用 否 指定分析檔案時要使用的應用程式 ID。根據預設，Trellix Malware Analysis 會自動選取所需應用程式。如要取得設定檔中可用的應用程式清單，請執行「取得設備詳細資料」動作
優先順序 DDL

正常

可能的值：

正常

緊急通知

 否 指定提交項目的優先順序。「一般」會將提交內容排在佇列底部，「緊急」則會排在佇列頂端。
強制重新掃描 核取方塊 否 啟用後，這項動作會強制 Trellix Malware Analysis 重新掃描提交的檔案。
Analysis Type DDL

即時

可能的值：

即時

沙箱

 否 指定分析類型。如果選取「Live」，Trellix Malware Analysis 會在 Malware Analysis Multi-Vector Virtual Execution (MVX) 分析引擎中，即時分析可疑檔案。如果選取「沙箱」，Trellix Malware Analysis 會在封閉、受保護的環境中分析可疑檔案。
建立洞察 核取方塊 是 如果啟用，這項動作會建立洞察資訊，其中包含提交檔案的相關資訊。

執行日期

這項動作會對網址實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
 {
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}
充實資料表
補充資料欄位名稱 邏輯 - 應用時機
惡意 JSON 格式 (如有)
嚴重性 JSON 格式 (如有)
實體洞察

實體洞察範例：

Malicious: True

嚴重性：MINR C&C 服務數量：0 執行的程序數量：0 登錄檔變更數量：0 擷取的檔案數量：0

案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化動作：
如果其中一個實體有可用資料(is_success = true)：「已成功使用 Trellix Malware Analysis 的資訊，擴充下列實體：{entity.identifier}」。

如果無法取得其中一項資料 (is_success=true)：「動作無法使用 Trellix Malware Analysis 的資訊充實下列實體：{entity.identifier}」

如果所有資料都無法取得 (is_success=false)：提供的實體都沒有經過擴充。

非同步訊息：正在等待處理下列檔案：{pending files}

如果發生重大錯誤 (例如憑證錯誤、無法連線至伺服器等)，動作應失敗並停止執行自動化動作：
「執行『充實實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果逾時：「Error executing action "Enrich Entities". 原因：動作逾時。下列檔案仍在處理中：{pending urls}。請在 IDE 中延長逾時時間。注意：新增相同檔案會在 Trellix Malware Analysis 中建立獨立的分析工作。

 一般
案件總覽表格 標題：{entity.identifier} 實體

提交檔案

說明

將檔案提交至 Trellix Malware Analysis 進行分析。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
檔案路徑 CSV 不適用 是 請列出要提交的絕對檔案路徑，並以半形逗號分隔。
VM 設定檔 字串 不適用 是 指定分析期間應使用的虛擬機器設定檔。可用的 VM 設定檔可在「Get Appliance Details」動作中找到
應用程式 ID 字串 不適用 否 指定分析檔案時要使用的應用程式 ID。根據預設，Trellix Malware Analysis 會自動選取所需應用程式。如要取得設定檔中可用的應用程式清單，請執行「取得設備詳細資料」動作
優先順序 DDL

正常

可能的值：

正常

緊急通知

 否 指定提交項目的優先順序。「一般」會將提交內容排在佇列底部，「緊急」則會排在佇列頂端。
強制重新掃描 核取方塊 否 啟用後，這項動作會強制 Trellix Malware Analysis 重新掃描提交的檔案。
Analysis Type DDL

即時

可能的值：

即時

沙箱

 否 指定分析類型。如果選取「Live」，Trellix Malware Analysis 會在 Malware Analysis Multi-Vector Virtual Execution (MVX) 分析引擎中，即時分析可疑檔案。如果選取「沙箱」，Trellix Malware Analysis 會在封閉、受保護的環境中分析可疑檔案。
建立洞察 核取方塊 是 如果啟用，這項動作會建立洞察資訊，其中包含提交檔案的相關資訊。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}
實體洞察

實體洞察範例：

Malicious: True

嚴重性：MAJR C&C 服務數量：15 執行的程序數量：0 登錄檔變更數量：13 擷取的檔案數量：10

案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化動作：
如果已完成一個檔案路徑 (is_success = true)：「已成功在 Trellix Malware Analysis 擷取下列檔案的詳細資料：{submitted files}。」

非同步訊息：正在等待處理下列檔案：{pending files}

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器、其他：「執行『提交檔案』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果逾時：「執行『提交檔案』動作時發生錯誤。原因：動作逾時。下列檔案仍在處理中：{pending files}。請在 IDE 中延長逾時時間。注意：新增相同檔案會在 Trellix Malware Analysis 中建立獨立的分析工作。

如果至少有一個檔案找不到：「Error executing action "Attach File To Case". 原因：找不到下列檔案，或動作沒有足夠的存取權限：{not available files}

 一般

取得設備詳細資料

說明

擷取 Trellix Malware Analysis 設備的相關資訊。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "absolute_path": "/opt/wow/koko.exe",
    "details":
        {
            "explanation": {
                "malwareDetected": {
                    "malware": [
                        {
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147"
                        },
                        {
                            "note": "",
                            "md5Sum": "29ef299c80d00ee4340b3694d870fe82",
                            "sha256": "0cff2d41a69d72de30607b8fc09da90e352393e154a342efcddb91e06b3a2147",
                            "application": "application:0",
                            "user": "xxxxx",
                            "original": "vlc-3.0.16-win64.exe",
                            "type": "exe",
                            "origid": 176
                        }
                    ]
                },
                "osChanges": [],
                "staticAnalysis": {
                    "static": [
                        {}
                    ]
                },
                "stolenData": {
                    "info": {
                        "field": []
                    }
                }
            },
            "src": {},
            "alertUrl": "https://172.18.5.2/malware_analysis/analyses?maid=177",
            "action": "notified",
            "attackTime": "2021-09-13 11:15:56 +0000",
            "dst": {},
            "applianceId": "AC1F6B7A7C8C",
            "id": 177,
            "name": "xxxxx_xxxxx",
            "severity": "MINR",
            "uuid": "61330da9-20ad-4196-a901-02b2166ad36d",
            "ack": "no",
            "product": "MAS",
            "vlan": 0,
            "malicious": "no"
        }
    ],
    "appliance": "MAS",
    "version": "MAS (MAS) 9.1.0.950877",
    "msg": "extended",
    "alertsCount": 1
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化程序：
如果已完成一個檔案路徑 (is_success = true)：「已成功擷取 Trellix Malware Analysis 的詳細資料。」

動作應失敗並停止執行應對手冊：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得設備詳細資料』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。