将 SentinelOne 与 Google SecOps 集成

本文档介绍了如何配置 SentinelOne 并将其与 Google Security Operations (Google SecOps) 集成。

使用场景

  1. 自动威胁响应：使用 Google SecOps 功能自动响应 SentinelOne 检测到的威胁，从而减少安全运维所需的时间和工作量。

  2. 丰富的突发事件背景信息：使用 Google SecOps 功能为安全分析师提供有关安全突发事件的更多背景信息，并做出更明智的决策。例如，您可以使用有关受影响端点和威胁的信息自动丰富突发事件数据。

  3. 编排的修复操作：使用 Google SecOps 功能自动执行将 SentinelOne 操作与其他安全工具（例如网络防火墙或身份管理系统）相结合的 playbook，确保对威胁做出协调响应并最大限度地减少其影响。

集成参数

SentinelOne 集成需要以下参数：

参数 说明
Api root

必填。

SentinelOne API 根。

默认值为 https://{server}.sentinelone.net/。
Username

必填。

用于进行身份验证的用户名。
Password

必填。

用于进行身份验证的密码。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

断开代理与网络的连接

使用断开代理与网络的连接操作可断开代理与网络连接的连接。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

无。

操作输出

Disconnect Agent From Network 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用断开代理与网络的连接操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

丰富端点

使用丰富端点操作，通过系统中的信息丰富端点实体。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

无。

操作输出

Enrich Endpoint（丰富端点）操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用丰富端点操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取代理状态

使用获取代理状态操作可检索代理的状态。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

无。

操作输出

获取代理状态操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用获取代理状态操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取端点的应用列表

使用获取端点的应用列表操作可获取端点上使用的应用列表。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

无。

操作输出

获取端点的应用列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用获取端点的应用列表操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

按时间获取端点的事件

使用按时间获取端点的事件操作可检索与端点相关的所有事件。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

按时间获取端点事件操作需要以下参数：

参数 说明
Hours Back

可选。

检索当前时间之前的小时数。
Events Amount Limit

可选。

每次操作运行时要检索的事件数量。

操作输出

按时间获取端点事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用按时间获取端点事件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取哈希信誉

使用获取哈希声誉操作可获取 SHA-1 哈希的声誉。

此操作在 Google SecOps Filehash 实体上运行。

操作输入

无。

操作输出

获取哈希信誉操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用获取哈希信誉操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取端点的进程列表

使用获取端点的进程列表操作可检索端点的进程列表。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

无。

操作输出

获取端点的进程列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用获取端点的进程列表操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取系统状态

使用获取系统状态操作获取 SentinelOne 系统健康状况。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

获取系统状态操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用获取系统状态操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取系统版本

使用获取系统版本操作获取 SentinelOne 系统版本。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

获取系统版本操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用获取系统版本操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

启动全面扫描

使用启动完整扫描操作在端点上启动完整磁盘扫描。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

无。

操作输出

Initiate Full Scan 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用启动完整扫描操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

Ping

使用 Ping 操作测试与 SentinelOne 的连接。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

将代理重新连接到网络

使用将代理重新连接到网络操作，将断开连接的代理重新连接到网络。

此操作在以下 Google SecOps 实体上运行：

  • IP Address
  • Hostname

操作输入

无。

操作输出

Reconnect Agent to the Network 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用将代理重新连接到网络操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

更新排除列表添加路径

使用更新排除列表添加路径操作可将路径添加到现有排除列表。

此操作支持以下操作系统：Windows、OSX、Linux 和 Android。

此操作会在所有 Google SecOps 实体上运行。

操作输入

Update Exclusion List Add Path 操作需要以下参数：

参数 说明
List Name

必填。

排除列表名称。
Path

必填。

要添加到列表中的路径。
Operation System

必填。

操作系统。

可能的值如下：

  • windows
  • osx
  • linux
  • android

操作输出

Update Exclusion List Add Path 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用

脚本结果

下表列出了使用更新排除列表添加路径操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。