ForeScout CounterACT

本文档介绍了如何将 FireEye NX 与 Google Security Operations 集成。

使用场景

执行丰富化操作。

在 Google Security Operations 中配置 ForeScout CounterACT 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 是否为必填项 说明
API 根 字符串

https://<ip address>

 是 ForeScout CounterACT API 根
用户名 字符串 不适用 是 ForeScout CounterACT API 用户名。
密码 密码 不适用 是 ForeScout CounterACT API 密码。
CA 证书文件 字符串 不适用 否 Base64 编码的 CA 证书文件。
验证 SSL 复选框 勾选 是 如果启用，则会验证与 Armis 服务器连接的 SSL 证书是否有效。

操作

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 ForeScout CounterACT 的连接。

参数

不适用

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：“已使用提供的连接参数成功连接到 ForeScout CounterACT 服务器！”

如果操作失败，应停止执行 playbook：
如果未成功：“Failed to connect to the ForeScout CounterACT server! 错误为 {0}”。format(exception.stacktrace)

 常规

丰富实体

说明

使用 ForeScout CounterACT 中的信息丰富实体。支持的实体：IP、MAC 地址。

参数

参数显示名称 类型 默认值 是否为必填项 说明
创建分析洞见 复选框 勾选 否 如果启用，操作将创建包含丰富信息的分析洞见。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • MAC 地址

操作执行结果

脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
JSON 结果
{
        "ip": "172.30.202.30",
        "mac": "005056a2196c",
        "fields": {
            "channel": {
                "timestamp": 1623834301,
                "value": "eth1.-1"
            },
            "nmap_banner7": [
                {
                    "timestamp": 1623834430,
                    "value": "80/tcp Apache httpd 2.4.6 (CentOS)"
                },
                {
                    "timestamp": 1623834430,
                    "value": "22/tcp OpenSSH 7.4 protocol 2.0"
                }
            ],
            "onsite": {
                "timestamp": 1623834301,
                "value": "true"
            },
            "classification_source_os": {
                "timestamp": 1623838175,
                "value": "engine"
            },
            "linux_manage": {
                "timestamp": 1623838175,
                "value": "false"
            },
            "access_ip": {
                "timestamp": 1623838175,
                "value": "172.30.202.30"
            },
            "classification_source_vendor": {
                "timestamp": 1623838175,
                "value": "engine"
            },
            "mac_vendor_string": {
                "timestamp": 1623834302,
                "value": "VMWARE, INC."
            },
            "openports": [
                {
                    "timestamp": 1623834384,
                    "value": "22/TCP"
                },
                {
                    "timestamp": 1623834397,
                    "value": "161/UDP"
                },
                {
                    "timestamp": 1623834384,
                    "value": "80/TCP"
                }
            ]
        },
        "id": 2887698974
}
实体丰富化
扩充项字段名称 逻辑 - 适用情形
ip 当 JSON 中有此字段时
mac 当 JSON 中有此字段时
现场 当 JSON 中有此字段时
guest_corporate_state 当 JSON 中有此字段时
指纹 当 JSON 中有此字段时
vendor 当 JSON 中有此字段时
分类信息 当 JSON 中有此字段时
agent_version 当 JSON 中有此字段时
在线 当 JSON 中有此字段时
案例墙
结果类型 值/说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
if enriched some(is_success = true): "Successfully enriched the following entities using ForeScout CounterACT:\n".format(entity.identifier)

如果未丰富某些实体 (is_success = true)："Action wasn't able to enrich the following entities using ForeScout CounterACT:\n".format(entity.identifier)

如果未全部扩充 (is_success = false)：“未扩充任何实体”。

操作应失败并停止 playbook 执行：
如果发生严重错误，例如凭据错误、无法连接到服务器等：“执行操作‘丰富实体’时出错。Reason: {0}''.format(error.Stacktrace)

 常规
实体表 与 Enrichment 表中的列相同，但没有前缀。 实体

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。