FireEye EX
本文档介绍了如何将 FireEye EX 与 Google Security Operations 集成。
产品应用场景
- 提取 Trellix Email Security - Server Edition 提醒，以便使用这些提醒创建 Google Security Operations 提醒。接下来，在 Google SecOps 中，提醒可用于通过 playbook 或手动分析执行编排。
- 执行丰富化操作 - 从 Trellix Email Security - Server Edition 获取数据，以丰富 Google SecOps 提醒中的数据。
- 执行主动操作 - 使用 Trellix Email Security - Server Edition 代理从 Google SecOps 释放/删除电子邮件。
在 Google SecOps 中配置 FireEye EX 集成
有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。
集成参数
使用以下参数配置集成：
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 实例名称 | 字符串 | 不适用 | 否 | 您要为其配置集成的实例的名称。 |
| 说明 | 字符串 | 不适用 | 否 | 实例的说明。 |
| API 根 | 字符串 | https://<address>:\<port> | 是 | Trellix Email Security - Server Edition 服务器的 API 根。 |
| 用户名 | 字符串 | 不适用 | 是 | Trellix Email Security - Server Edition 账号的用户名。 |
| 密码 | 密码 | 不适用 | 是 | Trellix Email Security - Server Edition 账号的密码。 |
| 验证 SSL | 复选框 | 勾选 | 是 | 如果启用此设置，系统会验证与 Trellix Email Security - Server Edition 服务器连接的 SSL 证书是否有效。 |
| 远程运行 | 复选框 | 尚未核查 | 否 | 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。 |
操作
Ping
说明
使用 Google SecOps Content Hub 页面中集成配置页面上提供的参数，测试与 Trellix Email Security - Server Edition 的连接。
参数
不适用
运行时间
该操作不会对实体执行，也没有强制性输入参数。
操作执行结果
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
列出隔离的电子邮件
说明
列出隔离的电子邮件。
参数
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 开始时间 | 字符串 | 不适用 | 否 | 如果指定了此参数，则系统只会返回在开始时间之后创建的电子邮件。如果未指定开始时间和结束时间，此操作会返回过去 24 小时内隔离的邮件。格式：YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM |
| 结束时间 | 字符串 | 不适用 | 否 | 如果指定，则系统只会返回在结束时间之前创建的电子邮件。如果未指定开始时间和结束时间，此操作会返回过去 24 小时内隔离的邮件。格式：YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM |
| 发件人过滤条件 | 字符串 | 不适用 | 否 | 如果指定，则仅返回来自此发件人的所有隔离电子邮件。 |
| 主题过滤条件 | 字符串 | 不适用 | 否 | 如果指定，则仅返回具有此主题的所有隔离电子邮件。 |
| 返回的电子邮件数量上限 | 字符串 | 不适用 | 否 | 指定要返回的电子邮件数量。上限为 10000。这是 Trellix Email Security - Server Edition 的限制。 |
运行时间
该操作不会对实体执行，也没有强制性输入参数。
操作执行结果
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON 结果
[
{
"completed_at": "2020-06-09T08:21:17",
"email_uuid": "9de3a94f-5ef6-46c7-b6d3-7d4f8c964925",
"quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
"subject": "qwe",
"message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
"from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
"queue_id": "49h33n3HZczxNgc"
},
{
"completed_at": "2020-06-09T08:21:42",
"email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
"quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
"subject": "rew",
"message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
"from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
"queue_id": "49h34G5TVczxNgg"
}
]
释放隔离的电子邮件
说明
释放隔离的电子邮件。
参数
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 队列 ID | 字符串 | 不适用 | 是 | 指定需要释放的电子邮件的队列 ID。 |
运行时间
该操作不会对实体执行，也没有强制性输入参数。
操作执行结果
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
删除隔离的邮件
说明
删除隔离的邮件。
参数
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 队列 ID | 字符串 | 不适用 | 是 | 指定需要删除的电子邮件的队列 ID。 |
运行时间
该操作不会对实体执行，也没有强制性输入参数。
操作执行结果
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
下载隔离的电子邮件
说明
下载隔离的邮件。
参数
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 队列 ID | 字符串 | 不适用 | 是 | 指定需要下载的电子邮件的队列 ID。 |
| 下载路径 | 字符串 | 不适用 | 否 | 指定操作应将文件保存到何处。如果未指定任何内容，操作将不会将文件保存到磁盘。 |
运行时间
该操作不会对实体执行，也没有强制性输入参数。
操作执行结果
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
下载提醒工件
说明
下载提醒工件。
参数
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 提醒 UUID | 字符串 | 不适用 | 是 | 指定需要从中下载工件的提醒 UUID。 |
| 下载路径 | 字符串 | 不适用 | 否 | 指定操作应将文件保存到何处。如果未指定任何内容，操作将不会将文件保存到磁盘。 |
运行时间
该操作不会对实体执行，也没有强制性输入参数。
操作执行结果
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
连接器
FireEye EX - 提醒连接器
在 Google SecOps 中配置 FireEye EX - 提醒连接器
如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。
连接器参数
使用以下参数配置连接器：
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 产品字段名称 | 字符串 | 产品名称 | 是 | 输入源字段名称，以便检索产品字段名称。 |
| 事件字段名称 | 字符串 | eventType | 是 | 输入源字段名称，以检索事件字段名称。 |
| 环境字段名称 | 字符串 | "" | 否 | 描述存储环境名称的字段的名称。 如果未找到环境字段，则环境为默认环境。 |
| 环境正则表达式模式 | 字符串 | .* | 否 | 要对“环境字段名称”字段中的值运行的正则表达式模式。 默认值为 .*，用于捕获所有值并返回未更改的值。 用于允许用户通过正则表达式逻辑操作环境字段。 如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。 |
| 脚本超时（秒） | 整数 | 180 | 是 | 运行当前脚本的 Python 进程的超时限制。 |
| API 根 | 字符串 | https://x.x.x.x:x | 是 | Trellix Email Security - Server Edition 服务器的 API 根。 |
| 用户名 | 字符串 | 不适用 | 是 | Trellix Email Security - Server Edition 账号的用户名。 |
| 密码 | 密码 | 是 | Trellix Email Security - Server Edition 账号的密码。 | |
| 回溯的小时数上限 | 整数 | 1 | 否 | 提取提醒的小时数。支持的最大值为 48。 这是 Trellix Email Security - 服务器版本的限制。 |
| 验证 SSL | 复选框 | 勾选 | 是 | 如果已启用，请验证与 SonicWall 服务器连接的 SSL 证书是否有效。 |
| 代理服务器地址 | 字符串 | 否 | 要使用的代理服务器的地址。 | |
| 代理用户名 | 字符串 | 否 | 用于进行身份验证的代理用户名。 | |
| 代理密码 | 密码 | 否 | 用于进行身份验证的代理密码。 |
连接器规则
代理支持
此连接器支持代理。
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。