ForeScout CounterACT

本文說明如何將 FireEye NX 與 Google Security Operations 整合。

應用實例

執行充實動作。

在 Google Security Operations 中設定 ForeScout CounterACT 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 是否為必要 說明
API 根層級 字串

https://<ip address>

 是 ForeScout CounterACT API 根層級
使用者名稱 字串 不適用 是 ForeScout CounterACT API 使用者名稱。
密碼 密碼 不適用 是 ForeScout CounterACT API 密碼。
CA 憑證檔案 字串 不適用 否 Base64 編碼的 CA 憑證檔案。
驗證 SSL 核取方塊 已勾選 是 如果啟用，系統會驗證 Armis 伺服器連線的 SSL 憑證是否有效。

動作

乒乓

說明

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 ForeScout CounterACT 的連線能力。

參數

不適用

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行 Playbook：
如果成功：「已成功使用提供的連線參數連線至 ForeScout CounterACT 伺服器！」

如果未成功，動作應失敗並停止執行應對手冊：
「無法連線至 ForeScout CounterACT 伺服器！錯誤為 {0}".format(exception.stacktrace)

 一般

充實實體

說明

使用 ForeScout CounterACT 的資訊擴充實體。支援的實體：IP、MAC 位址。

參數

參數顯示名稱 類型 預設值 是否為必要 說明
建立洞察 核取方塊 已勾選 否 如果啟用，動作會建立含有擴充資訊的深入分析。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • MAC 位址

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
        "ip": "172.30.202.30",
        "mac": "005056a2196c",
        "fields": {
            "channel": {
                "timestamp": 1623834301,
                "value": "eth1.-1"
            },
            "nmap_banner7": [
                {
                    "timestamp": 1623834430,
                    "value": "80/tcp Apache httpd 2.4.6 (CentOS)"
                },
                {
                    "timestamp": 1623834430,
                    "value": "22/tcp OpenSSH 7.4 protocol 2.0"
                }
            ],
            "onsite": {
                "timestamp": 1623834301,
                "value": "true"
            },
            "classification_source_os": {
                "timestamp": 1623838175,
                "value": "engine"
            },
            "linux_manage": {
                "timestamp": 1623838175,
                "value": "false"
            },
            "access_ip": {
                "timestamp": 1623838175,
                "value": "172.30.202.30"
            },
            "classification_source_vendor": {
                "timestamp": 1623838175,
                "value": "engine"
            },
            "mac_vendor_string": {
                "timestamp": 1623834302,
                "value": "VMWARE, INC."
            },
            "openports": [
                {
                    "timestamp": 1623834384,
                    "value": "22/TCP"
                },
                {
                    "timestamp": 1623834397,
                    "value": "161/UDP"
                },
                {
                    "timestamp": 1623834384,
                    "value": "80/TCP"
                }
            ]
        },
        "id": 2887698974
}
實體資料充實
補充資料欄位名稱 邏輯 - 套用時機
ip JSON 格式 (如有)
mac JSON 格式 (如有)
onsite JSON 格式 (如有)
guest_corporate_state JSON 格式 (如有)
指紋 JSON 格式 (如有)
vendor JSON 格式 (如有)
將內容分類 JSON 格式 (如有)
agent_version JSON 格式 (如有)
線上 JSON 格式 (如有)
案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行教戰手冊：
if enriched some(is_success = true): "Successfully enriched the following entities using ForeScout CounterACT:\n".format(entity.identifier)

如果未擴充部分實體 (is_success = true)："Action wasn't able to enrich the following entities using ForeScout CounterACT:\n".format(entity.identifier)

如果未擴充所有實體 (is_success = false)：「未擴充任何實體」。

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『充實實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
實體表格 與「Enrichment」資料表中的資料欄相同，但沒有前置字元。 實體

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。