FireEye CM

操作不应失败或停止 playbook 执行：

如果成功：
输出“已使用提供的连接参数成功连接到 Trellix Central Management 服务器！”

操作应失败并停止 playbook 执行：

如果不成功：

Print "Failed to connect to the Trellix Central Management server! 错误为 {0}”。format(exception.stacktrace)

提醒

可能的值

提醒

屏蔽

操作不应失败或停止 playbook 执行：

if status code 200 for at least one entity type(is_success = true):
Print "Successfully added new IOC feeds to Trellix Central Management based on the following entities: \n".format(entity.identifier)

如果某些实体类型未正确使用 (is_success =true)：
Print "Action wasn't able to create new IOC feeds in Trellix Central Management based on the following entities:\n).format(entity.identifier)

iIf none of the entities were successfully used for feed creation: (is_success=false)
Print "No IOC feeds were created in Trellix Central Management!"

操作应失败并停止 playbook 执行：

如果发生严重错误，例如凭据错误、无法连接到服务器等：

输出“执行‘添加 IOC Feed’操作时出错。Reason: {0}''.format(error.Stacktrace)

该操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200，且在列表中未找到 feedName (is_success = true)：“Successfully deleted feed '{0}' in Trellix Central Management !”。

if status code 200 and feedName was found in the list for last request (is_success = false): "Action wasn't able to delete feed '{0}' in Trellix Central Management.

如果最初 Feed 名称不存在：“操作无法删除 Trellix Central Management 中的 IOC Feed”。原因：找不到 Feed“{feed_name}”。

如果发生致命错误（例如凭据错误、无法连接到服务器等），操作应失败并停止 Playbook 执行：
“执行‘删除 IOC Feed’操作时出错。Reason: {0}''.format(error.Stacktrace)

该操作不应失败，也不应停止 playbook 执行：
如果有数据 (is_success = true)：“Successfully listed Trellix Central Management quarantined emails!”

如果没有可用数据 (is_success = true)：“No quarantined emails were found in Trellix Central Management!”

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止 Playbook 执行：
“执行‘列出隔离的电子邮件’操作时出错。Reason: {0}''.format(error.Stacktrace)

名称：隔离的电子邮件

列：

• 发件人
• 主题
• 完成时间
• 电子邮件 UUID
• 邮件 ID
• 队列 ID

该操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200 且响应为空 (is_success = true)：“已成功释放队列 ID 为 {0} 的 Trellix Central Management 隔离电子邮件！”。

如果状态代码为 200 且响应不为空 (is_success = false)：“队列 ID 为 {0} 的电子邮件未释放。原因：{1}”。

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止执行 playbook：
“执行‘释放隔离的电子邮件’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果系统未自动找到传感器：“执行‘释放隔离的电子邮件’操作时出错。原因：未找到 FireEye EX 设备的传感器。请在“Sensor Name”（传感器名称）参数中手动提供。''.format(error.Stacktrace)

如果提供的传感器无效：“执行‘释放隔离的电子邮件’操作时出错。原因：未找到 FireEye EX 设备的名称为“{0}”的传感器。请检查拼写。''.format(error.Stacktrace)

操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200 且没有 XML（is_success = true）：“已成功下载队列 ID 为 {0} 的 Trellix Central Management 隔离电子邮件！”。

如果响应中包含状态代码 200 和 XML (is_success = false)：“未下载队列 ID 为 {0} 的电子邮件。原因：{1}”。

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止执行 playbook：
“执行‘下载隔离的电子邮件’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果系统未自动找到传感器：“执行‘下载隔离的电子邮件’操作时出错。原因：未找到 FireEye EX 设备的传感器。请在“Sensor Name”（传感器名称）参数中手动提供。''.format(error.Stacktrace)

如果提供的传感器无效：“执行‘下载隔离的电子邮件’操作时出错。原因：未找到 FireEye EX 设备的名称为“{0}”的传感器。请检查拼写。''.format(error.Stacktrace)

操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200 且响应为空 (is_success = true)：“已成功删除队列 ID 为 {0} 的 Trellix Central Management 隔离电子邮件！”

操作应失败并停止 playbook 执行：

if status code 200 and response is not empty: "Email with queue id {0} was not deleted. 原因：{1}”。

如果发生严重错误，例如凭据错误、无法连接到服务器等：“执行‘删除隔离的电子邮件’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果系统未自动找到传感器：“执行‘删除隔离的电子邮件’操作时出错。原因：未找到 FireEye EX 设备的传感器。请在“Sensor Name”（传感器名称）参数中手动提供。''.format(error.Stacktrace)

如果提供的传感器无效：“执行‘删除隔离的电子邮件’操作时出错。原因：未找到 FireEye EX 设备的名称为“{0}”的传感器。请检查拼写。''.format(error.Stacktrace)

该操作不应失败，也不应停止 Playbook 执行：
如果状态代码为 200 (is_success = true)：“已成功下载告警 ID 为 {0} 的 Trellix Central Management 告警工件！”。

如果该路径的文件已存在 (is_success = false)：“Action wasn't able to download Trellix Central Management alert artifacts with alert id {0}. 原因：该路径下已存在同名文件。

如果状态代码为 404 (is_success = false)：“未找到 UUID 为 {0} 的提醒的工件。".

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止执行 playbook：
“执行‘下载提醒工件’操作时出错。Reason: {0}''.format(error.Stacktrace)

该操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200 (is_success = true)：“Successfully listed available IOC feeds in Trellix Central Management!”。

如果未找到任何条目：“No IOC feeds were found in Trellix Central Management”（在 Trellix Central Management 中未找到任何 IOC Feed）

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止执行 playbook：
“执行操作‘列出 IOC Feed’时出错。Reason: {0}''.format(error.Stacktrace)

表名称：Available IOC Feeds

表列：

姓名

状态

类型

操作键

评论

IP 数量

网址数量

网域数量

哈希计数

上传时间

该操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200 且文件已更新 (is_success = true)：“已成功将规则添加到 Trellix Central Management 中‘{0}’设备的自定义规则文件！”

如果状态代码为 500 (is_success = false)：“操作无法将规则添加到 Trellix Central Management 中的自定义规则文件。原因：{0}）。

操作应失败并停止执行 playbook：
如果发生严重错误，例如凭据错误、无法连接到服务器等：“Error executing action "Add Rule To Custom Rules". Reason: {0}''.format(error.Stacktrace)

如果未自动找到传感器：“执行‘向自定义规则文件添加规则’操作时出错。原因：未找到 FireEye NX 设备的传感器。请在“Sensor Name”（传感器名称）参数中手动提供。''.format(error.Stacktrace)

如果提供了无效的传感器：“执行‘向自定义规则文件添加规则’操作时出错。原因：未找到 FireEye NX 设备的名称为 {0} 的传感器。请检查拼写。''.format(error.Stacktrace)

该操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200 (is_success = true)：“Successfully acknowledged Trellix Central Management alert with ID {0}!”。

如果状态代码为 404 (is_success = false)：“Action wasn't able to acknowledge Trellix Central Management alert with ID {0}. 原因：找不到 ID 为 {0} 的提醒。".

如果状态代码为 400 (is_success = false)：“操作无法确认 ID 为 {0} 的 Trellix Central Management 提醒。原因：{1}“。

操作应失败并停止 playbook 执行：
如果发生严重错误，例如凭据错误、无法连接到服务器等：“执行操作‘确认提醒’时出错。Reason: {0}''.format(error.Stacktrace)

该操作不应失败，也不应停止 playbook 执行：
如果状态代码为 200 (is_success = true)：“已成功从 Trellix Central Management 中的设备‘{0}’下载自定义规则文件！”

如果状态代码为 500 或 400 (is_success = false)：“操作无法从 Trellix Central Management 中的设备‘{0}’下载自定义规则文件。原因：{1}”。

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止 Playbook 执行：
“执行‘下载自定义规则文件’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果系统未自动找到传感器：“执行‘下载自定义规则文件’操作时出错。原因：未找到 FireEye NX 设备的传感器。请在“Sensor Name”（传感器名称）参数中手动提供。''.format(error.Stacktrace)

如果提供的传感器无效：“执行‘下载自定义规则文件’操作时出错。原因：未找到 FireEye NX 设备的名称为 {0} 的传感器。请检查拼写。''.format(error.Stacktrace)

环境字段名称

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。

环境正则表达式模式

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。