FireEye EX
本文說明如何將 FireEye EX 與 Google Security Operations 整合。
產品用途
- 擷取 Trellix Email Security - Server Edition 警告，並用於建立 Google Security Operations 警告。接著，在 Google SecOps 中，警示可用於透過應對手冊或手動分析執行自動化調度管理。
- 執行擴充動作：從 Trellix Email Security - Server Edition 取得資料，擴充 Google SecOps 警告中的資料。
- 執行主動動作：使用 Google SecOps 的 Trellix Email Security - Server Edition 代理程式，釋出/刪除電子郵件。
在 Google SecOps 中設定 FireEye EX 整合
如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。
整合參數
請使用下列參數設定整合：
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 執行個體名稱 | 字串 | 不適用 | 否 | 要設定整合的執行個體名稱。 |
| 說明 | 字串 | 不適用 | 否 | 執行個體的說明。 |
| API 根層級 | 字串 | https://<address>:\<port> | 是 | Trellix Email Security - Server Edition 伺服器的 API 根目錄。 |
| 使用者名稱 | 字串 | 不適用 | 是 | Trellix Email Security - Server Edition 帳戶的使用者名稱。 |
| 密碼 | 密碼 | 不適用 | 是 | Trellix Email Security - Server Edition 帳戶的密碼。 |
| 驗證 SSL | 核取方塊 | 已勾選 | 是 | 如果啟用，系統會驗證連至 Trellix Email Security - Server Edition 伺服器的 SSL 憑證是否有效。 |
| 遠端執行 | 核取方塊 | 已取消勾選 | 否 | 勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。 |
動作
乒乓
說明
在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Trellix Email Security - Server Edition 的連線能力。
參數
不適用
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 價值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success:False |
列出隔離的電子郵件
說明
列出隔離的電子郵件。
參數
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 開始時間 | 字串 | 不適用 | 否 | 如果指定，則只會傳回在開始時間後建立的電子郵件。如未指定開始和結束時間，這項動作會傳回過去 24 小時內隔離的電子郵件。格式：YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM |
| 結束時間 | 字串 | 不適用 | 否 | 如果指定，系統只會傳回在結束時間前建立的電子郵件。如未指定開始和結束時間，這項動作會傳回過去 24 小時內隔離的電子郵件。格式：YYYY-MM-DD'T'HH:MM:SS.SSS-HHMM |
| 寄件者篩選器 | 字串 | 不適用 | 否 | 如果指定，則只會傳回這位寄件者所有遭隔離的電子郵件。 |
| 主旨篩選器 | 字串 | 不適用 | 否 | 如果指定，則只會傳回具有這個主旨的所有隔離電子郵件。 |
| 要傳回的電子郵件數量上限 | 字串 | 不適用 | 否 | 指定要傳回的電子郵件數量。上限為 10,000。這是 Trellix Email Security - Server Edition 的限制。 |
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 價值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON 結果
[
{
"completed_at": "2020-06-09T08:21:17",
"email_uuid": "9de3a94f-5ef6-46c7-b6d3-7d4f8c964925",
"quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h33n3HZczxNgc",
"subject": "qwe",
"message_id": "ec7d161d-c0f5-7e32-8f53-468393ccc9b6@fex2-lab.local",
"from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
"queue_id": "49h33n3HZczxNgc"
},
{
"completed_at": "2020-06-09T08:21:42",
"email_uuid": "58800022-51f7-4b07-b6b1-c5d88434283f",
"quarantine_path": "/data/email-analysis/quarantine2/2020-06-09/08/49h34G5TVczxNgg",
"subject": "rew",
"message_id": "625607a6-a99d-004a-4ad6-69c3ec795168@fex2-lab.local",
"from": "xxxx.xxxxx@xxxx-xxx.xxxxx",
"queue_id": "49h34G5TVczxNgg"
}
]
釋出隔離的電子郵件
說明
釋出隔離的電子郵件。
參數
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 佇列 ID | 字串 | 不適用 | 是 | 指定要釋出的電子郵件佇列 ID。 |
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 價值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success:False |
刪除隔離的電子郵件
說明
刪除隔離的電子郵件。
參數
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 佇列 ID | 字串 | 不適用 | 是 | 指定要刪除的電子郵件佇列 ID。 |
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 價值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success:False |
下載隔離的電子郵件
說明
下載隔離的電子郵件。
參數
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 佇列 ID | 字串 | 不適用 | 是 | 指定要下載的電子郵件佇列 ID。 |
| 下載路徑 | 字串 | 不適用 | 否 | 指定動作應將檔案儲存到何處。如未指定，動作就不會將檔案儲存到磁碟。 |
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 價值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success:False |
下載快訊構件
說明
下載快訊構件。
參數
| 參數顯示名稱 | 類型 | 預設值 | 為必填 | 說明 |
|---|---|---|---|---|
| 快訊 UUID | 字串 | 不適用 | 是 | 指定要下載構件的警告 UUID。 |
| 下載路徑 | 字串 | 不適用 | 否 | 指定動作應將檔案儲存到何處。如未指定，動作就不會將檔案儲存到磁碟。 |
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 價值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success:False |
連接器
FireEye EX - 警示連接器
在 Google SecOps 中設定 FireEye EX - Alerts 連接器
如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。
連接器參數
使用下列參數設定連接器：
| 參數顯示名稱 | 類型 | 預設值 | 為必填項目 | 說明 |
|---|---|---|---|---|
| 產品欄位名稱 | 字串 | 產品名稱 | 是 | 輸入來源欄位名稱，擷取產品欄位名稱。 |
| 事件欄位名稱 | 字串 | eventType | 是 | 輸入來源欄位名稱，擷取事件欄位名稱。 |
| 環境欄位名稱 | 字串 | "" | 否 | 說明儲存環境名稱的欄位名稱。 如果找不到環境欄位，則環境為預設環境。 |
| 環境規則運算式模式 | 字串 | .* | 否 | 要對「環境欄位名稱」欄位中的值執行的規則運算式模式。 預設值為 .*，可擷取所有值並傳回未變更的值。 用於允許使用者透過規則運算式邏輯操控環境欄位。 如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。 |
| 指令碼逾時 (秒) | 整數 | 180 | 是 | 執行目前指令碼的 Python 程序逾時限制。 |
| API 根層級 | 字串 | https://x.x.x.x:x | 是 | Trellix Email Security - Server Edition 伺服器的 API 根目錄。 |
| 使用者名稱 | 字串 | 不適用 | 是 | Trellix Email Security - Server Edition 帳戶的使用者名稱。 |
| 密碼 | 密碼 | 是 | Trellix Email Security - Server Edition 帳戶的密碼。 | |
| 擷取過去幾小時內的資料 (上限) | 整數 | 1 | 否 | 要擷取快訊的時數。支援的最大值為 48。 這是 Trellix Email Security - Server Edition 的限制。 |
| 驗證 SSL | 核取方塊 | 已勾選 | 是 | 如果已啟用，請確認與 SonicWall 伺服器連線的 SSL 憑證有效。 |
| Proxy 伺服器位址 | 字串 | 否 | 要使用的 Proxy 伺服器位址。 | |
| Proxy 使用者名稱 | 字串 | 否 | 用於驗證的 Proxy 使用者名稱。 | |
| Proxy 密碼 | 密碼 | 否 | 用於驗證的 Proxy 密碼。 |
連接器規則
Proxy 支援
連接器支援 Proxy。
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。