McAfee MVISION ePO

本文档介绍了如何将 McAfee MVISION ePO 与 Google SecOps 集成。

产品应用场景

端点遭受恶意软件攻击

  1. 恶意软件攻击 McAfee ePO 托管网络中的计算机。
  2. McAfee 产品软件（例如 McAfee Endpoint Security）会清理或删除恶意软件文件。
  3. McAfee Agent 会向 McAfee ePO 发送攻击通知。
  4. McAfee ePO 会存储攻击信息。

在 Google Security Operations 中配置 McAfee MVISION ePO 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

集成参数

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://api.mvision.mcafee.com 是 McAfee MVISION ePO API 根。
客户端 ID 字符串 不适用 是 McAfee MVISION ePO 账号的客户端 ID。
客户端密钥 密码 不适用 是 McAfee MVISION ePO 账号的客户端密钥。
范围 逗号分隔值 epo.device.r, epo.device.w,epo.grps.r, epo.grps.w, epo.sftw.r, epo.tags.r, epo.tags.w 是 McAfee MVISION ePO 账号的范围。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 McAfee MVISION ePO 公有云服务器连接的 SSL 证书是否有效。
组名称 字符串 不适用 否 将用于搜索端点的群组名称。如果未指定任何内容。系统将使用所有群组。

操作

Ping

说明

使用 Google SecOps 内容中心页面中的集成配置页面上提供的参数，测试与 McAfee MVISION ePO 的连接。

参数

不适用

Playbook 应用场景示例

该操作用于在 Google SecOps Content Hub 页面中的集成配置页面上测试连接性，并且可以作为人工处置措施执行，而不能在 playbook 中使用。

运行时间

该操作不会对实体执行，也没有强制性输入参数。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
N/A

丰富端点

说明

通过主机名或 IP 地址提取端点的系统信息。

参数

不适用

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化
扩充项字段名称 来源（JSON 密钥） 逻辑 - 适用情形
MMV_EPO_id id 当 JSON 中有此字段时
MMV_EPO_uuid uuid 当 JSON 中有此字段时
MMV_EPO_lastcommunicated lastcommunicated 当 JSON 中有此字段时
MMV_EPO_managedState managedState 当 JSON 中有此字段时
MMV_EPO_ipaddress properties/ipaddress 当 JSON 中有此字段时
MMV_EPO_osplatform properties/osplatform 当 JSON 中有此字段时
MMV_EPO_operatingsystem properties/operatingsystem 当 JSON 中有此字段时
MMV_EPO_hostname properties/hostname 当 JSON 中有此字段时
MMV_EPO_windowsdomain properties/windowsdomain 当 JSON 中有此字段时
MMV_EPO_dnsname properties/dnsname 当 JSON 中有此字段时
MMV_EPO_datversion properties/datversion 当 JSON 中有此字段时
MMV_EPO_username properties/username 当 JSON 中有此字段时
MMV_EPO_groups 以空格分隔的组/名称列表 当 JSON 中有此字段时
MMV_EPO_tags 以空格分隔的标记/tagName 列表 当 JSON 中有此字段时
数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
{
    "data": {
        "totalItems": 8,
        "startIndex": 1,
        "currentItemCount": 1,
        "items": [
            {
                "id": 227568,
                "uuid": "fef3d9aa-e58e-ea11-87c6-005056a2196c",
                "lastcommunicated": "2020-05-31T12:34:13.500+0000",
                "managedState": "managed",
                "properties": {
                    "cpuspeed": 2299,
                    "ipaddress": "172.30.202.30",
                    "osplatform": "Workstation",
                    "operatingsystem": "Linux",
                    "cputype": "Intel(R) Xeon(R) CPU E5-2698 v3 @ 2.30GHz",
                    "type": "non-portable",
                    "numofcpu": 2,
                    "hostname": "Centos7-001",
                    "windowsdomain": "(none)",
                    "dnsname": "Centos7-001",
                    "totalphysicalmemory": 2096254976,
                    "macaddress": "005056A2196C",
                    "datversion": "4253.0",
                    "amcorecontentdate": "2020-05-30 00:00:00.0",
                    "username": "root"
                },
                "group": {
                    "groupId": 372690,
                    "name": "Linux",
                    "path": "My Organization\\Linux",
                    "link": {
                        "rel": "group",
                        "href": "../groups/372690"
                    }
                },
                "tags": [
                    {
                        "tagId": 24751,
                        "tagName": "Workstation",
                        "link": {
                            "rel": "tag",
                            "href": "../tags/24751"
                        }
                    }
                ],
                "productsInstalled": [
                    {
                        "product": "Agent",
                        "version": "5.6.5.165"
                    },
                    {
                        "product": "MVISION EDR",
                        "version": "3.1.0.482"
                    },
                    {
                        "product": "Endpoint Security Platform",
                        "version": "10.7.0.130"
                    },
                    {
                        "product": "McAfee DXL Client",
                        "version": "6.0.0.218"
                    },
                    {
                        "product": "Endpoint Security Threat Prevention",
                        "version": "10.7.0.351"
                    }
                ]
            }
        ]
    }
}

添加标记

说明

在 McAfee MVISION ePO 中为端点添加标记。

参数

参数显示名称 类型 默认值 为必填项 说明
标记名称 字符串 不适用 正确 指定要添加到端点的标记。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
N/A

移除标签

说明

从 McAfee MVISION ePO 中的端点移除标记。

参数

参数显示名称 类型 默认值 为必填项 说明
标记名称 字符串 不适用 正确 指定要从端点中移除的标记。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 主机名

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
N/A

列出标记

说明

列出 McAfee MVISION ePO 中可用的标记。

参数

参数显示名称 类型 默认值 为必填项 说明
返回的标签数上限 整数 100 False 指定要返回的标记数量。

运行时间

此操作不会对实体执行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
{
    "data": {
        "totalItems": 4,
        "startIndex": 0,
        "currentItemCount": 4,
        "items": [
            {
                "id": 24752,
                "name": "Escalated",
                "description": "Protection Workspace tag for escalated systems",
                "links": [
                    {
                        "rel": "self",
                        "href": "24752"
                    }
                ]
            },
            {
                "id": 24753,
                "name": "Excluded from Compliance Check",
                "description": "Protection Workspace tag for systems to be excluded from the compliance check",
                "links": [
                    {
                        "rel": "self",
                        "href": "24753"
                    }
                ]
            },
            {
                "id": 24750,
                "name": "Server",
                "description": "Default tag for systems identified as a Server",
                "links": [
                    {
                        "rel": "self",
                        "href": "24750"
                    }
                ]
            },
            {
                "id": 24751,
                "name": "Workstation",
                "description": "Default tag for systems identified as a Workstation",
                "links": [
                    {
                        "rel": "self",
                        "href": "24751"
                    }
                ]
            }
        ]
    }
}

列出群组

说明

列出 McAfee MVISION ePO 中可用的群组。

参数

参数显示名称 类型 默认值 为必填项 说明
返回的群组数上限 整数 100 False 指定要返回的群组数量。

运行时间

此操作不会对实体执行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
{
    "data": {
        "totalItems": 12,
        "startIndex": 0,
        "currentItemCount": 1,
        "items": [
            {
                "id": 1,
                "name": "GlobalRoot",
                "userFriendlyName": "Global Root",
                "type": 7,
                "parentId": 0,
                "description": "",
                "textPath": "GlobalRoot",
                "links": [
                    {
                        "rel": "self",
                        "href": "1"
                    },
                    {
                        "rel": "parent",
                        "href": "0"
                    }
                ]
            }
        ]
    }
}

列出组中的端点

说明

在 McAfee MVISION ePO 中列出同一组中的端点。

参数

参数显示名称 类型 默认值 为必填项 说明
组名称 字符串 不适用 正确 指定要在哪些群组中搜索端点
要返回的端点数上限 整数 100 False 指定要返回的端点数量。

运行时间

此操作不会对实体执行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果
{
    "data": {
        "totalItems": 1,
        "startIndex": 0,
        "currentItemCount": 1,
        "items": [
            {
                "id": 227568,
                "uuid": "fef3d9aa-e58e-ea11-87c6-005056a2196c",
                "lastcommunicated": "2020-05-31T13:34:13.327+0000",
                "managedState": "managed",
                "properties": {
                    "cpuspeed": 2299,
                    "ipaddress": "172.30.202.30",
                    "osplatform": "Workstation",
                    "operatingsystem": "Linux",
                    "cputype": "Intel(R) Xeon(R) CPU E5-2698 v3 @ 2.30GHz",
                    "type": "non-portable",
                    "numofcpu": 2,
                    "hostname": "Centos7-001",
                    "windows domain": "(none)",
                    "dnsname": "Centos7-001",
                    "totalphysicalmemory": 2096254976,
                    "macaddress": "005056A2196C",
                    "datversion": "4253.0",
                    "amcorecontentdate": "2020-05-30 00:00:00.0",
                    "username": "root"
                },
                "group": {
                    "groupId": 372690,
                    "name": "Linux",
                    "path": "My Organization\\Linux",
                    "link": {
                        "rel": "group",
                        "href": "../groups/372690"
                    }
                },
                "tags": [
                    {
                        "tagId": 24751,
                        "tagName": "Workstation",
                        "link": {
                            "rel": "tag",
                            "href": "../tags/24751"
                        }
                    }
                ],
                "productsInstalled": [
                    {
                        "product": "Agent",
                        "version": "5.6.5.165"
                    },
                    {
                        "product": "MVISION EDR",
                        "version": "3.1.0.482"
                    },
                    {
                        "product": "Endpoint Security Platform",
                        "version": "10.7.0.130"
                    },
                    {
                        "product": "McAfee DXL Client",
                        "version": "6.0.0.218"
                    },
                    {
                        "product": "Endpoint Security Threat Prevention",
                        "version": "10.7.0.351"
                    }
                ]
            }
        ]
    }
}

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。