我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

McAfee TIE DXL

本文档提供了有关如何将 McAfee TIE DXL 与 Google SecOps 集成的指南。

配置 McAfee TIE DXL 集成以与 Google Security Operations 搭配使用

生成证书

首先，您需要创建证书，以便 Trellix ePO 和 DXL 能够与 Google SecOps 系统正常通信。请按照以下说明生成证书，以便此集成正常运行。

通过 SSH 连接到您的 Google SecOps 服务器。

注意：您也可以选择在本地机器上执行此操作，然后复制到 Google SecOps 服务器。
发出以下命令：pip install dxlclient
将目录更改为 /etc/pki/tls/：cd /etc/pki/tls/
将用户切换到脚本模式：su -l scripting
为新证书创建一个目录，然后打开该新目录：
```
mkdir tiedxl
cd tiedxl
```

请按照此处的说明生成证书：

将证书添加到 Trellix ePO

按照导入 ePO 证书授权机构 (CA) 中的说明将 ca-bundle.crt 文件添加到您的 Trellix ePO 实例。

如需了解详情，请参阅命令行配置（基本）。它包含一个脚本，用于创建集成所需的文件。

此外，如下图所示，在 Trellix ePO 中，我们可以找到代理的地址及其端口（服务器设置 > DXL 拓扑）。在“DXL 证书”标签页中，我们可以管理证书文件（如上述链接中所述）。

Trellix ePO 中代理地址及其端口的位置

在 Google SecOps 中配置 McAfee TIE DXL 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

操作

添加标记

说明

向端点添加标记。（仅限系统中已有的标记）。

参数

参数	类型	默认值	说明
标记名称	字符串	不适用	要添加的标记的名称。

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
is_success	True/False	is_success:False

JSON 结果

N/A

比较服务器 DAT 和代理 DAT

说明

比较服务器和代理 DAT。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
agent_dat_status	不适用	不适用

JSON 结果

N/A

获取代理信息

说明

获取有关 Trellix ePO 端点的信息。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 应用场景
LastUpdate	如果存在于 JSON 结果中，则返回
ManagedState	如果存在于 JSON 结果中，则返回
标记	如果存在于 JSON 结果中，则返回
ExcludedTags	如果存在于 JSON 结果中，则返回
AgentVersion	如果存在于 JSON 结果中，则返回
AgentGUID	如果存在于 JSON 结果中，则返回

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
is_success	True/False	is_success:False

JSON 结果

[{
   "EntityResult":
      {
         "LastUpdate": "2019-01-22T13:04:49+02:00",
         "ManagedState": "1",
         "Tags": "Server, Workstation",
         "ExcludedTags": "",
         "AgentVersion": "1.1.1.1",
         "AgentGUID": "F673D1DF-786C-41E5-A84D-1676A39F7AE8"
       },
   "Entity": "1.1.1.1"
}]

Dat 版本

说明

检索端点上安装的 DAT 版本。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
Dat 版本	不适用	不适用

JSON 结果

N/A

获取哈希的事件

说明

获取 MD5 哈希的事件详细信息。

参数

参数	类型	默认值	说明
从 EPExtendedEvent 表中提取事件	复选框	不适用	是否从 EPExtendedEvent 表中提取事件。

Run On

此操作在 Filehash 实体上运行。

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 应用场景
EPOEvents.ThreatCategory	如果存在于 JSON 结果中，则返回
EPOEvents.TargetUserName	如果存在于 JSON 结果中，则返回
EPOEvents.TargetPort	如果存在于 JSON 结果中，则返回
EPOEvents.TargetFileName	如果存在于 JSON 结果中，则返回
EPOEvents.TargetIPV4	如果存在于 JSON 结果中，则返回
EPOEvents.ThreatName	如果存在于 JSON 结果中，则返回
EPOEvents.SourceUserName	如果存在于 JSON 结果中，则返回
EPOEvents.TargetProcessName	如果存在于 JSON 结果中，则返回
EPOEvents.SourceProcessName	如果存在于 JSON 结果中，则返回
EPOEvents.ThreatType	如果存在于 JSON 结果中，则返回
EPOEvents.SourceIPV4	如果存在于 JSON 结果中，则返回
EPOEvents.TargetProtocol	如果存在于 JSON 结果中，则返回
VSECustomEvent.MD5	如果存在于 JSON 结果中，则返回
EPOEvents.SourceURL	如果存在于 JSON 结果中，则返回
EPOEvents.ThreatActionTaken	如果存在于 JSON 结果中，则返回
EPOEvents.TargetHostName	如果存在于 JSON 结果中，则返回
EPOEvents.ThreatHandled	如果存在于 JSON 结果中，则返回
EPOEvents.SourceHostName	如果存在于 JSON 结果中，则返回

数据分析

是

脚本结果

脚本结果名称	值选项	示例
null	不适用	不适用

JSON 结果

[{
   "EntityResult":
     [{
        "EPOEvents.ThreatCategory": "av.detect",
        "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
        "EPOEvents.TargetPort": "None",
        "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
        "EPOEvents.TargetIPV4": -1979711347,
        "EPOEvents.ThreatName": "EICAR test file",
        "EPOEvents.SourceUserName": "None",
        "EPOEvents.TargetProcessName": "None",
        "EPOEvents.SourceProcessName": "None",
        "EPOEvents.ThreatType": "test",
        "EPOEvents.SourceIPV4": -1979711347,
        "EPOEvents.TargetProtocol": "None",
        "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
        "EPOEvents.SourceURL": "None",
        "EPOEvents.ThreatActionTaken": "deleted",
        "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
        "EPOEvents.ThreatHandled": "True",
        "EPOEvents.SourceHostName": "_"
      }, {
        "EPOEvents.ThreatCategory": "av.detect",
        "EPOEvents.TargetUserName": "VM-EPOAGENTTEST\\\\\\\\Admin",
        "EPOEvents.TargetPort": "None",
        "EPOEvents.TargetFileName": "C:\\\\\\\\Users\\\\\\\\Admin\\\\\\\\Desktop\\\\\\\\eicar.txt",
        "EPOEvents.TargetIPV4": -1979711347,
        "EPOEvents.ThreatName": "EICAR test file",
        "EPOEvents.SourceUserName": "None",
        "EPOEvents.TargetProcessName": "None",
        "EPOEvents.SourceProcessName": "None",
        "EPOEvents.ThreatType": "test",
        "EPOEvents.SourceIPV4": -1979711347,
        "EPOEvents.TargetProtocol": "None",
        "VSECustomEvent.MD5": "44d88612fea8a8f36de82e1278abb02f",
        "EPOEvents.SourceURL": "None",
        "EPOEvents.ThreatActionTaken": "deleted",
        "EPOEvents.TargetHostName": "VM-EPOAGENTTEST",
        "EPOEvents.ThreatHandled": "True",
        "EPOEvents.SourceHostName": "_"
      }],
  "Entity": "44d88612fea8a8f36de82e1278abb02f"
}]

获取主机 IP 状态

说明

获取主机的 IP 的状态。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
is_status_received	True/False	is_status_received:False

JSON 结果

N/A

获取主机网络 IP 状态

说明

获取宿主网络的 IP 的状态。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
is_status_received	True/False	is_status_received:False

JSON 结果

N/A

获取主机固态核心状态

说明

检索有关主机的固态核心的状态。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
is_status_received	True/False	is_status_received:False

JSON 结果

N/A

获取上次通信时间

说明

接收主机的上次通信时间。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
isSuccess	True/False	isSuccess:False

JSON 结果

N/A

获取 McAfee EPO 代理版本

说明

检索 Trellix ePO 的代理版本。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
McAfee Agent 版本	不适用	不适用

JSON 结果

N/A

获取系统信息

说明

从 Trellix ePO 获取端点上的系统信息。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 应用场景
FreeDiskSpace	如果存在于 JSON 结果中，则返回
用户名	如果存在于 JSON 结果中，则返回
DomainName	如果存在于 JSON 结果中，则返回
LastAgentHandler	如果存在于 JSON 结果中，则返回
IPV4x	如果存在于 JSON 结果中，则返回
OSBitMode	如果存在于 JSON 结果中，则返回
IPV6	如果存在于 JSON 结果中，则返回
OSType	如果存在于 JSON 结果中，则返回
SysvolFreeSpace	如果存在于 JSON 结果中，则返回
IPHostName	如果存在于 JSON 结果中，则返回
CPUSerialNum	如果存在于 JSON 结果中，则返回
IPSubnetMask	如果存在于 JSON 结果中，则返回
SysvolTotalSpace	如果存在于 JSON 结果中，则返回
IPSubnet	如果存在于 JSON 结果中，则返回
说明	如果存在于 JSON 结果中，则返回
FreeMemory	如果存在于 JSON 结果中，则返回
CPUSpeed	如果存在于 JSON 结果中，则返回
SubnetMask	如果存在于 JSON 结果中，则返回
IPAddress	如果存在于 JSON 结果中，则返回
DefaultLangID	如果存在于 JSON 结果中，则返回
OSPlatform	如果存在于 JSON 结果中，则返回
ComputerName	如果存在于 JSON 结果中，则返回
OSOEMID	如果存在于 JSON 结果中，则返回
NetAddress	如果存在于 JSON 结果中，则返回
TotalDiskSpace	如果存在于 JSON 结果中，则返回
SubnetAddress	如果存在于 JSON 结果中，则返回
NumOfCPU	如果存在于 JSON 结果中，则返回
TimeZone	如果存在于 JSON 结果中，则返回
SystemDescription	如果存在于 JSON 结果中，则返回
Vdi	如果存在于 JSON 结果中，则返回
OSBuildNum	如果存在于 JSON 结果中，则返回
OSVersion	如果存在于 JSON 结果中，则返回
IsPortable	如果存在于 JSON 结果中，则返回
TotalPhysicalMemory	如果存在于 JSON 结果中，则返回
IPXAddress	如果存在于 JSON 结果中，则返回
UserProperty7	如果存在于 JSON 结果中，则返回
UserProperty6	如果存在于 JSON 结果中，则返回
UserProperty5	如果存在于 JSON 结果中，则返回
UserProperty4	如果存在于 JSON 结果中，则返回
UserProperty3	如果存在于 JSON 结果中，则返回
UserProperty2	如果存在于 JSON 结果中，则返回
UserProperty1	如果存在于 JSON 结果中，则返回
ParentID	如果存在于 JSON 结果中，则返回
CPUType	如果存在于 JSON 结果中，则返回
UserProperty8	如果存在于 JSON 结果中，则返回

数据分析

是

脚本结果

脚本结果名称	值选项	示例
is_success	True/False	is_success:False

JSON 结果

[{
   "EntityResult":
      {
        "FreeDiskSpace": "444316",
        "UserName": "Admin",
        "OSServicePackVer": "",
        "DomainName": "WORKGROUP",
        "LastAgentHandler": "1",
        "IPV4x": "-1979711239",
        "OSBitMode": "1",
        "IPV6": "0:0:0:0:0:FFFF:A00:F9",
        "OSType": "Windows Server 2012 R2",
        "SysvolFreeSpace": "94782",
        "IPHostName": "McAfee-ePO",
        "CPUSerialNum": "N/A",
        "IPSubnetMask": "0:0:0:0:0:FFFF:FFFF:FE00",
        "SysvolTotalSpace": "161647",
        "IPSubnet": "0:0:0:0:0:FFFF:A00:0",
        "Description": "None",
        "FreeMemory": "1626767360",
        "CPUSpeed": "2400",
        "SubnetMask": "",
        "IPAddress": "1.1.1.1",
        "DefaultLangID": "0409",
        "OSPlatform": "Server",
        "ComputerName": "MCAFEE-EPO",
        "OSOEMID": "00252-00112-26656-AA653",
        "NetAddress": "005056A56847",
        "TotalDiskSpace": "511646",
        "SubnetAddress": "",
        "NumOfCPU": "4",
        "TimeZone": "Jerusalem Standard Time",
        "SystemDescription": "N/A",
        "Vdi": "0",
        "OSBuildNum": "9600",
        "OSVersion": "6.3",
        "IsPortable": "0",
        "TotalPhysicalMemory": "6441984000",
        "IPXAddress": "N/A",
        "UserProperty7": "",
        "UserProperty6": "",
        "UserProperty5": "",
        "UserProperty4": "",
        "UserProperty3": "",
        "UserProperty2": "",
        "UserProperty1": "",
        "ParentID": "8",
        "CPUType": "Intel(R) Xeon(R) CPU E5-2630 v3 @ 2.40GHz",
        "UserProperty8": ""
     },
 "Entity": "1.1.1.1"
}]

获取病毒引擎代理版本

说明

检索 Trellix ePO 的引擎版本。

参数

不适用

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
病毒引擎代理版本	不适用	不适用

JSON 结果

N/A

Ping

说明

测试连接。

参数

不适用

Run On

此操作会针对所有实体运行。

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	不适用	不适用

JSON 结果

N/A

移除代码

说明

从端点中移除标记。

参数

参数	类型	默认值	说明
标记名称	字符串	不适用	要移除的标记的名称。

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
is_success	True/False	is_success:False

JSON 结果

N/A

运行全面扫描

说明

在端点上运行完整扫描。

参数

参数	类型	默认值	说明
标记名称	字符串	不适用	要运行的任务的名称。

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
RunTask_Status	不适用	不适用

JSON 结果

N/A

更新 McAfee Agent

说明

运行任务以更新 McAfee 代理。

参数

参数	类型	默认值	说明
标记名称	字符串	不适用	要运行的任务的名称。

Run On

此操作适用于以下实体：

IP 地址
主机名

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
Update_Status	不适用	不适用

JSON 结果

N/A