McAfee ePO

本文档介绍了如何将 McAfee ePO 与 Google SecOps 集成。

在 Google Security Operations 中配置 McAfee ePO 集成

使用 CA 证书配置 McAfee ePO 集成

如果需要，您可以使用 CA 证书文件验证连接。

在开始之前，请确保您满足以下条件：

  • CA 证书文件
  • 最新 McAfee ePO 集成版本

如需使用 CA 证书配置集成，请完成以下步骤：

  1. 将 CA 证书文件解析为 Base64 字符串。
  2. 打开集成配置参数页面。
  3. 将该字符串插入到 CA 证书文件字段中。
  4. 如需测试集成是否已成功配置，请选中验证 SSL 复选框，然后点击测试。

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
实例名称 字符串 不适用 否 您要为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
服务器地址 字符串 https://<ServerAddress>:8443/remote/ 是 Trellix ePO 的服务器地址。示例：https://127.0.0.1:8443/remote/
用户名 字符串 不适用 是 用于服务器身份验证的用户名。
密码 密码 不适用 是 用于服务器身份验证的密码。
组名称 字符串 不适用 否 群组的名称。
CA 证书文件 - 解析为 Base64 字符串 字符串 不适用 否 不适用
远程运行 复选框 尚未核查 否 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。

操作

添加标记

说明

在 Trellix ePO 中为端点添加标记。注意：您只能应用系统中存在的标签。支持的实体：主机名、IP。

参数

参数 类型 默认值 为必填项 说明
标记名称 字符串 不适用 是 指定需要添加到端点的标记的名称。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
N/A
案例墙
结果类型 值 / 说明 类型
输出消息*

如果其中一个成功 (is_success=true)：

已成功将标记“{tag name}”添加到以下端点：

Trellix ePO：{entity.identifier}

如果标记已是端点的一部分：(is_success=true)：

标记“{tag}”已是 Trellix ePO 中以下端点的一部分：{entity.identifier}

如果其中一个不成功 (is_success=true)

Action 无法在 Trellix ePO 中为以下端点添加标记“{tag name}”：{entity.identifier}

如果并非所有操作都成功 (is_success=false)：

标记“{tag}”未添加到提供的端点。

如果出现严重错误（失败）：

执行“添加标签”操作时出错。原因：{traceback}

如果代码无效（失败）

执行“添加标记”操作时出错，原因：在 Trellix ePO 中找不到标记“{tag name}”。

 常规

比较服务器和代理 DAT

说明

从 Trellix ePO 中的端点检索服务器和代理 DAT 信息。 支持的实体：主机名、IP。

参数

不适用

使用场景

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化
扩充项字段名称 逻辑 - 适用情形
Alert.DstPort 如果存在于 JSON 结果中，则返回
Rule.msg 如果存在于 JSON 结果中，则返回
Alert.IPSIDAlertID 如果存在于 JSON 结果中，则返回
Alert.SrcIP 如果存在于 JSON 结果中，则返回
Alert.LastTime 如果存在于 JSON 结果中，则返回
Alert.Protocol 如果存在于 JSON 结果中，则返回
Alert.SrcPort 如果存在于 JSON 结果中，则返回
Alert.DstIP 如果存在于 JSON 结果中，则返回
数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
null 不适用 不适用
JSON 结果
{

"server_version": {server_version}

"dat_version": {dat_version}

"equal": true → if server_version == dat_version, else false

}
案例墙
结果类型 值 / 说明 类型
输出消息*

if success for one

已成功从 Trellix ePO 中的以下端点检索服务器和代理 DAT 信息：{entity.identifier}

if not success for one

操作无法从 Trellix ePO 中的以下端点检索服务器和代理 DAT 信息：{entity.identifier}

如果并非所有操作都成功

在提供的端点上未找到有关服务器和代理 DAT 的信息。

如果出现严重错误（失败）：

执行“比较服务器和代理 DAT”操作时出错。原因：{traceback}

 常规

获取代理信息

说明

从 Trellix ePO 检索有关端点代理的信息。支持的实体：主机名、IP。

参数

不适用

使用场景

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化
扩充项字段名称 逻辑 - 适用情形
EPO_LastUpdate 如果存在于 JSON 结果中，则返回
EPO_ManagedState 如果存在于 JSON 结果中，则返回
EPO_Tags 如果存在于 JSON 结果中，则返回
EPO_ExcludedTags 如果存在于 JSON 结果中，则返回
EPO_AgentVersion 如果存在于 JSON 结果中，则返回
EPO_AgentGUID 如果存在于 JSON 结果中，则返回
数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "EntityResult":
        {
            "LastUpdate": "2019-01-22T13:04:49+02:00",
            "ManagedState": "1",
            "Tags": "Server, Workstation",
            "ExcludedTags": "",
            "AgentVersion": "1.1.1.1",
            "AgentGUID": "F673D1DF-786C-41E5-A84D-1676A39F7AE8"
        },
        "Entity": "1.1.1.1"
    }
]
案例墙
结果类型 值 / 说明 类型
输出消息*

如果其中一个成功 (is_success=true)：

已成功检索 Trellix ePO 中以下端点的代理信息：{entity.identifier}

如果其中一个不成功 (is_success=true)

操作无法检索 Trellix ePO 中以下端点的代理信息：{entity.identifier}

如果并非所有操作都成功 (is_success=false)：

未找到所提供主机的代理信息。

如果出现严重错误（失败）：

执行“获取代理信息”操作时出错。原因：{traceback}

 常规

获取 Dat 版本

说明

从 Trellix ePO 中的端点检索 DAT 信息。支持的实体：主机名、IP。

参数

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
Dat 版本 不适用 不适用
JSON 结果
{
"DAT_version": {DAT version}
}
案例墙
结果类型 值 / 说明 类型
输出消息*

if success for one

已成功从 Trellix ePO 中的以下端点检索 DAT 信息：{entity.identifier}

if not success for one

操作无法从 Trellix ePO 中的以下端点检索 DAT 信息：{entity.identifier}

如果并非所有操作都成功

在提供的端点上未找到有关 DAT 的信息。

如果出现严重错误（失败）：

执行操作“获取 Dat 版本”时出错。原因：{traceback}

 常规

获取哈希事件

说明

检索与哈希相关的事件的信息。注意：仅支持 MD5 哈希。

参数

名称 类型 默认值 是否为必填项 说明
从 EPExtendedEvent 表中提取事件 复选框 尚未核查 否 如果启用，操作还将使用“EPExtendedEvent”表来查找有关哈希的信息。
标记为可疑 复选框 是 False 如果启用，此操作会将找到事件的所有哈希标记为可疑。
创建分析洞见 复选框 否 False 如果启用，操作将创建一条数据分析，其中包含哪些哈希具有关联事件的信息。
要返回的字段 CSV

EPOEvents.ThreatName,
EPOEvents.ThreatType,
EPOEvents.ThreatActionTaken,
EPOEvents.ThreatHandled,
EPOEvents.ThreatCategory
,EPOEvents.TargetHostName,
EPOEvents.TargetUserName,
EPOEvents.TargetFileName,
EPOEvents.TargetProcessName,
EPOEvents.TargetPort,EPOEvents.
TargetProtocol,EPOEvents.
ThreatCategory,EPOEvents.
TargetIPV4,EPOEvents.
SourceHostName,EPOEvents.
SourceIPV4,EPOEvents.
SourceUserName,EPOEvents.
SourceProcessName,EPOEvents.
SourceURL

 False 指定要返回的字段。如果未指定任何内容，操作将返回所有可用字段。
排序字段 字符串 不适用 False 指定应使用哪个字段对结果进行排序。
排列顺序 DDL

升序

可能的值：

升序

降序

 False 指定应将哪种排列顺序应用于查询。
时间范围 DDL

过去 1 小时

可能的值：

过去 1 小时

过去 6 小时

过去 24 小时

上周

上个月

自定义

 False 指定事件的时间范围。如果选择“自定义”，您还需要提供“开始时间”。
开始时间 字符串 不适用 False 指定事件的开始时间。如果为“时间范围”参数选择了“自定义”，则此参数是必需的。格式：ISO 8601
结束时间 字符串 不适用 False 指定活动的结束时间。格式：ISO 8601。如果未提供任何内容，并且为“时间范围”参数选择了“自定义”，则此参数将使用当前时间。
返回的事件数上限 整数 50 False 指定要返回的事件数量。默认值：50。

运行时间

此操作在 Filehash 实体上运行。

操作执行结果

实体丰富化
扩充项字段名称 逻辑 - 适用情形
EPOEvents.ThreatCategory 如果存在于 JSON 结果中，则返回
EPOEvents.TargetUserName 如果存在于 JSON 结果中，则返回
EPOEvents.TargetPort 如果存在于 JSON 结果中，则返回
EPOEvents.TargetFileName 如果存在于 JSON 结果中，则返回
EPOEvents.TargetIPV4 如果存在于 JSON 结果中，则返回
EPO_AgentGUID 如果存在于 JSON 结果中，则返回
数据分析

系统会为在 Trellix ePO 中找到的当前哈希事件创建分析洞见。

JSON 结果
[
    {
        "EntityResult":
        [
            {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }, {
                "EPOEvents.ThreatCategory": "av.detect",
                "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
                "EPOEvents.TargetPort": "None",
                "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
                "EPOEvents.TargetIPV4": -1979711347,
                "EPOEvents.ThreatName": "EICAR test file",
                "EPOEvents.SourceUserName": "None",
                "EPOEvents.TargetProcessName": "None",
                "EPOEvents.SourceProcessName": "None",
                "EPOEvents.ThreatType": "test",
                "EPOEvents.SourceIPV4": -1979711347,
                "EPOEvents.TargetProtocol": "None",
                "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
                "EPOEvents.SourceURL": "None",
                "EPOEvents.ThreatActionTaken": "deleted",
                "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
                "EPOEvents.ThreatHandled": "True",
                "EPOEvents.SourceHostName": "_"
            }],
        "Entity": "44d88612fea8a8f36de82e1278abb02f"
    }
]
案例墙
结果类型 值 / 说明 类型
输出消息*

如果成功且有结果：(is_success=true)

“已成功返回 Trellix ePO 中以下哈希的可用事件：{entity.identifier}”

如果其中一个不成功：(is_success=true)

“操作无法在 Trellix ePO 中找到以下哈希的事件：{entity.identifier}”

如果并非所有操作都成功 (is_success=false)：

“在 Trellix ePO 中未找到所提供端点的任何事件。”

如果发生严重错误，例如凭据错误、无法连接到服务器、其他（失败）：“执行操作‘获取端点威胁’时出错。Reason: {0}''.format(error.Stacktrace)

如果响应中包含错误（失败）：“执行操作‘执行实体查询’时出错。原因：{0}”。format( response text)

如果“时间范围”为“自定义”，但“开始时间”为空（失败）：“执行‘获取端点威胁’操作时出错。原因：在“时间范围”参数中选择“自定义”时，应提供“开始时间”。

 常规

获取主机 IP 状态

说明

从 Trellix ePO 中的端点检索 IPS 信息。支持的实体：主机名、IP。

参数

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_status_received True/False is_status_received:False
JSON 结果
{
"IPS_status": {IPS_status}
}
案例墙
结果类型 值 / 说明 类型
输出消息*

if success for one

已成功从 Trellix ePO 中的以下端点检索 IPS 信息：{entity.identifier}

if not success for one

操作无法从 Trellix ePO 中的以下端点检索 IPS 信息：{entity.identifier}

如果并非所有操作都成功

在提供的端点上未找到有关 IPS 的信息。

如果出现严重错误（失败）：

执行“获取主机 IPS 状态”操作时出错。原因：{traceback}

 常规

获取主机网络 IP 状态

说明

从 Trellix ePO 中的端点检索 Network IPS 信息。支持的实体：主机名、IP。

参数

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_status_received True/False is_status_received:False
JSON 结果
{
"Network_IPS_status": {Network_IPS_status}
}
案例墙
结果类型 值 / 说明 类型
输出消息*

if success for one

已成功从 Trellix ePO 中的以下端点检索到 Network IPS 信息：{entity.identifier}

if not success for one

操作无法从 Trellix ePO 中的以下端点检索网络 IPS 信息：{entity.identifier}

如果并非所有操作都成功

在提供的端点上未找到有关 Network IPS 的信息。

如果出现严重错误（失败）：

执行“获取主机网络 IPS 状态”操作时出错。原因：{traceback}

 常规

获取上次通信时间

说明

从 Trellix ePO 中的端点检索有关上次通信时间的信息。支持的实体：主机名、IP。

参数

不适用

使用场景

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
isSuccess True/False isSuccess:False
JSON 结果
{
"last_communication_time": {last_communication_time}
}
案例墙
结果类型 值 / 说明 类型
输出消息*

if success for one

已成功从 Trellix ePO 中的以下端点检索到上次通信时间信息：{entity.identifier}

if not success for one

操作无法从 Trellix ePO 中的以下端点检索上次通信时间信息：{entity.identifier}

如果并非所有操作都成功

在提供的端点上未找到有关上次通信时间的信息。

如果出现严重错误（失败）：

执行“获取上次通信时间”操作时出错。原因：{traceback}

 常规

获取 McAfee ePO 代理版本

说明

从 Trellix ePO 中的端点检索有关代理版本的信息。 支持的实体：主机名、IP。

参数

不适用

使用场景

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
McAfee 代理版本 不适用 不适用
JSON 结果
{
"ePO_agent_version": ePO_agent_version
}
案例墙
结果类型 值 / 说明 类型
输出消息*

if success for one

已成功从 Trellix ePO 中的以下端点检索到代理版本信息：{entity.identifier}

if not success for one

操作无法从 Trellix ePO 中的以下端点检索代理版本信息：{entity.identifier}

如果并非所有操作都成功

在提供的端点上未找到有关代理版本的信息。

如果出现严重错误（失败）：

执行“获取上次通信时间”操作时出错。原因：{traceback}

 常规

获取系统信息

说明

返回 Trellix ePO 中端点的系统信息。支持的实体：主机名、IP。

参数

参数 类型 默认值 为必填项 说明
创建分析洞见 复选框 已选中复选框 如果启用，操作将创建包含端点相关信息的分析洞见。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化
扩充项字段名称 逻辑 - 适用情形
FreeDiskSpace 如果存在于 JSON 结果中，则返回
用户名 如果存在于 JSON 结果中，则返回
DomainName 如果存在于 JSON 结果中，则返回
LastAgentHandler 如果存在于 JSON 结果中，则返回
IPV4x 如果存在于 JSON 结果中，则返回
OSBitMode 如果存在于 JSON 结果中，则返回
IPV6 如果存在于 JSON 结果中，则返回
OSType 如果存在于 JSON 结果中，则返回
SysvolFreeSpace 如果存在于 JSON 结果中，则返回
IPHostName 如果存在于 JSON 结果中，则返回
CPUSerialNum 如果存在于 JSON 结果中，则返回
IPSubnetMask 如果存在于 JSON 结果中，则返回
SysvolTotalSpace 如果存在于 JSON 结果中，则返回
IPSubnet 如果存在于 JSON 结果中，则返回
说明 如果存在于 JSON 结果中，则返回
FreeMemory 如果存在于 JSON 结果中，则返回
CPUSpeed 如果存在于 JSON 结果中，则返回
SubnetMask 如果存在于 JSON 结果中，则返回
IPAddress 如果存在于 JSON 结果中，则返回
DefaultLangID 如果存在于 JSON 结果中，则返回
OSPlatform 如果存在于 JSON 结果中，则返回
NetAddress 如果存在于 JSON 结果中，则返回
TotalDiskSpace 如果存在于 JSON 结果中，则返回
SubnetAddress 如果存在于 JSON 结果中，则返回
NumOfCPU 如果存在于 JSON 结果中，则返回
TimeZone 如果存在于 JSON 结果中，则返回
SystemDescription 如果存在于 JSON 结果中，则返回
Vdi 如果存在于 JSON 结果中，则返回
OSBuildNum 如果存在于 JSON 结果中，则返回
OSVersion 如果存在于 JSON 结果中，则返回
IsPortable 如果存在于 JSON 结果中，则返回
TotalPhysicalMemory 如果存在于 JSON 结果中，则返回
IPXAddress 如果存在于 JSON 结果中，则返回
UserProperty7 如果存在于 JSON 结果中，则返回
ParentID 如果存在于 JSON 结果中，则返回
CPUType 如果存在于 JSON 结果中，则返回
数据分析

不适用

JSON 结果
[
    {
        "EntityResult":
        {
            "FreeDiskSpace": "444316",
            "UserName": "Admin",
            "OSServicePackVer": " ",
            "DomainName": "WORKGROUP",
            "LastAgentHandler": "1",
            "IPV4x": "-1979711239",
            "OSBitMode": "1",
            "IPV6": "0:0:0:0:0:FFFF:A00:F9",
            "OSType": "Windows Server 2012 R2",
            "SysvolFreeSpace": "94782",
            "IPHostName": "McAfee-ePO",
            "CPUSerialNum": "N/A",
            "IPSubnetMask": "0:0:0:0:0:FFFF:FFFF:FE00",
            "SysvolTotalSpace": "161647",
            "IPSubnet": "0:0:0:0:0:FFFF:A00:0",
            "Description": "None",
            "FreeMemory": "1626767360",
            "CPUSpeed": "2400",
            "SubnetMask": " ",
            "IPAddress": "1.1.1.1",
            "DefaultLangID": "0409",
            "OSPlatform": "Server",
            "ComputerName": "MCAFEE-EPO",
            "OSOEMID": "00252-00112-26656-AA653",
            "NetAddress": "005056A56847",
            "TotalDiskSpace": "511646",
            "SubnetAddress": " ",
            "NumOfCPU": "4",
            "TimeZone": "Jerusalem Standard Time",
            "SystemDescription": "N/A",
            "Vdi": "0",
            "OSBuildNum": "9600",
            "OSVersion": "6.3",
            "IsPortable": "0",
            "TotalPhysicalMemory": "6441984000",
            "IPXAddress": "N/A",
            "UserProperty7": " ",
            "UserProperty6": " ",
            "UserProperty5": " ",
            "UserProperty4": " ",
            "UserProperty3": " ",
            "UserProperty2": " ",
            "UserProperty1": " ",
            "ParentID": "8",
            "CPUType": "Intel(R) Xeon(R) CPU E5-2630 v3 @ 2.40GHz",
            "UserProperty8": " "
        },
        "Entity": "1.1.1.1"
    }
]
案例墙
结果类型 值 / 说明 类型
输出消息*

如果其中一个成功 (is_success=true)：

已成功从 Trellix ePO 检索到以下端点的系统信息：{entity.identifier}

如果其中一个不成功 (is_success=true)：

操作无法从 Trellix ePO 检索以下端点的系统信息：{entity.identifier}

如果并非所有操作都成功 (is_success=false)

未找到所提供端点的系统信息。

如果出现严重错误：

执行“获取系统信息”操作时出错。原因：{error.traceback}

 常规

获取病毒引擎代理版本

说明

从 McAfee ePO 中的端点检索病毒引擎代理版本信息。支持的实体：主机名、IP。

参数

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
病毒引擎代理版本 不适用 不适用
JSON 结果
{
"Virus_Engine_Agent_version": {Virus_engine_agent_version}
}
案例墙
结果类型 值 / 说明 类型
输出消息*

if success for one

已成功从 Trellix ePO 中的以下端点检索到病毒引擎代理版本信息：{entity.identifier}

if not success for one

操作无法从 Trellix ePO 中的以下端点检索病毒引擎代理版本信息：{entity.identifier}

如果并非所有操作都成功

在提供的端点上未找到有关 Virus Engine 代理版本的信息。

如果出现严重错误（失败）：

执行操作“获取病毒引擎代理版本”时出错。原因：{traceback}

 常规

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 Trellix ePO 的连接。

参数

不适用

使用场景

不适用

运行时间

此操作会对所有实体执行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
null 不适用 不适用
JSON 结果
N/A

移除标签

说明

从 Trellix ePO 中的端点移除标记。支持的实体：主机名、IP。

参数

参数 类型 默认值 为必填项 说明
标记名称 字符串 不适用 是 指定需要从端点中移除的标记的名称。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
N/A
案例墙
结果类型 值 / 说明 类型
输出消息*

如果其中一个成功 (is_success=true)：

已成功从以下端点中移除标记“{tag name}”

（在 Trellix ePO 中）：{entity.identifier}

如果标记不属于端点：(is_success=true)：

标记“{tag}”不属于 Trellix ePO 中的以下端点：{entity.identifier}

如果其中一个不成功 (is_success=true)

操作未能从 Trellix ePO 中的以下端点移除标记“{tag name}”：{entity.identifier}

如果并非所有操作都成功 (is_success=false)：

“未从提供的端点中移除标记‘{tag}’。”

如果出现严重错误（失败）：

执行“移除标记”操作时出错。原因：{traceback}

如果代码无效（失败）

执行“移除标记”操作时出错，原因：在 Trellix ePO 中找不到标记“{tag name}”。

 常规

运行完整扫描

说明

在 Trellix ePO 中对提供的端点运行完整扫描。支持的实体：主机名、IP。

参数

参数 类型 默认值 为必填项 说明
任务名称 字符串 按需扫描 - 全面扫描 是 指定应执行哪些任务才能进行完整扫描。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
RunTask_Status 不适用 不适用
JSON 结果
{
"status": "success" or "failure"
}
案例墙
结果类型 值 / 说明 类型
输出消息*

如果其中一个成功：

已在 Trellix ePO 中的以下端点上成功运行基于任务“{task name}”的完整扫描：{entity.identifier}

如果其中一个不成功：

操作无法根据 Trellix ePO 中以下端点上的任务“{task name}”运行完整扫描：{entity.identifier}

如果并非所有检查都成功：

未对提供的端点执行完整扫描。

如果出现严重错误（失败）：

执行“运行完整扫描”操作时出错。原因：{error traceback}

如果未找到任务（失败）：

执行“运行完整扫描”操作时出错。原因：在 Trellix ePO 中找不到任务“{task name}”。请检查拼写。

 常规

更新 McAfee Agent

说明

在 Trellix ePO 中更新所提供端点上的 McAfee Agent。Windows 任务：DAT_Update_Windows_CWS。Linux 任务：DAT_Update_Linux_CWS。支持的实体：主机名、IP。

参数

参数 类型 默认值 为必填项 说明
任务名称 字符串 DAT_Update_Windows_CWS 是 指定应执行哪些任务来更新 McAfee Agent。Windows 的默认值为 DAT_Update_Windows_CWS。对于 Linux，则为 DAT_Update_Linux_CWS

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
Update_Status 不适用 不适用
JSON 结果
{
"status": "success" or "failure"
}
案例墙
结果类型 值 / 说明 类型
输出消息*

如果其中一个成功：

已根据 Trellix ePO 中以下端点上的任务“{task name}”成功更新代理：{entity.identifier}

如果其中一个不成功：

Action 无法根据 Trellix ePO 中以下端点上的任务“{task name}”更新代理：{entity.identifier}

如果并非所有检查都成功：

未更新任何代理。

如果出现严重错误（失败）：

执行“更新 McAfee Agent”操作时出错。原因：{error traceback}

如果未找到任务（失败）：

执行“更新 McAfee Agent”操作时出错。原因：在 Trellix ePO 中找不到任务“{task name}”。请检查拼写。

 常规

连接器

McAfee EPO - Threats 连接器

说明

将 EPOEvents 表中的事件拉取到 Google SecOps 中。许可名单适用于分析器名称。

在 Google SecOps 中配置 McAfee EPO - Threats Connector

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 是否为必填项 说明
产品字段名称 字符串 产品名称 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 EPOEvents_ThreatType 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 http://x.x.x.x:8443/remote/ 是 Trellix ePO 实例的 API 根。
用户名 字符串 不适用 是 Trellix ePO 实例的用户名。
密码 密码 是 Trellix ePO 实例的密码。
组名称 字符串 否 如果提供，连接器将仅从属于该群组的端点提取威胁。
回溯的小时数上限 整数 1 否 提取事件的小时数。
要提取的事件数上限 整数 10 否 每次连接器迭代要处理的事件数量。默认值：10。
要提取的最低严重级别 字符串 中 否

要提取的事件的最低严重级别。默认情况下，连接器会注入所有事件。可能的值：

信息、低、中、高、严重。
将白名单用作黑名单 复选框 勾选 是 如果启用，白名单将用作黑名单。
验证 SSL 复选框 尚未核查 是 如果已启用，请验证与 Trellix ePO 服务器的连接所使用的 SSL 证书是否有效。
CA 证书文件 字符串 不适用 False Base 64 编码的 CA 证书文件。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 否 用于进行身份验证的代理密码。

连接器规则

代理支持

此连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。