整合 SentinelOne 與 Google SecOps

本文說明如何設定 SentinelOne，並與 Google Security Operations (Google SecOps) 整合。

用途

  1. 自動應對威脅：使用 Google SecOps 功能，自動應對 SentinelOne 偵測到的威脅，減少資安營運所需的時間和精力。

  2. 豐富的事件背景資訊：使用 Google SecOps 功能，為資安分析師提供更多安全事件相關背景資訊，做出更明智的決策。例如，您可以自動使用受影響端點和威脅的相關資訊，充實事件資料。

  3. 調度管理修復動作：使用 Google SecOps 功能自動執行應對手冊，結合 SentinelOne 動作與其他安全工具 (例如網路防火牆或身分管理系統)，確保協調一致地應對威脅，並盡可能降低影響。

整合參數

SentinelOne 整合功能需要下列參數：

參數 說明
Api root

這是必填欄位。

SentinelOne API 根。

預設值為 https://{server}.sentinelone.net/。
Username

這是必填欄位。

用於驗證的使用者名稱。
Password

這是必填欄位。

用於驗證的密碼。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

中斷代理與網路的連線

使用「Disconnect Agent From Network」(中斷代理與網路的連線) 動作，中斷代理與網路連線的連線。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Disconnect Agent From Network」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Disconnect Agent From Network」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

充實端點

使用「Enrich Endpoint」(擴充端點) 動作，以系統中的資訊擴充端點實體。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Enrich Endpoint」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Enrich Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得代理狀態

使用「Get Agent Status」動作擷取代理狀態。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Get Agent Status」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Get Agent Status」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得端點的應用程式清單

使用「Get Application List for Endpoint」動作，取得端點上使用的應用程式清單。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Get Application List for Endpoint」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Get Application List for Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

依時間取得端點事件

使用「Get Events for Endpoint by Time」動作，擷取與端點相關的所有事件。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

「Get Events for Endpoint by Time」(依時間取得端點事件) 動作需要下列參數：

參數 說明
Hours Back

選填。

要擷取目前時間前幾小時的事件。
Events Amount Limit

選填。

每次執行動作時要擷取的事件數量。

動作輸出內容

「Get Events for Endpoint by Time」(依時間取得端點事件) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Get Events for Endpoint by Time」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得雜湊信譽

使用「Get Hash Reputation」動作，取得 SHA-1 雜湊的信譽。

這項動作會在 Google SecOps Filehash 實體上執行。

動作輸入內容

無

動作輸出內容

「Get Hash Reputation」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Get Hash Reputation」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得端點的處理程序清單

使用「Get Process List for Endpoint」動作，擷取端點的程序清單。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Get Process List for Endpoint」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Get Process List for Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得系統狀態

使用「Get System Status」動作，取得 SentinelOne 系統健康狀態。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

「Get System Status」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Get System Status」(取得系統狀態) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得系統版本

使用「Get System Version」動作，取得 SentinelOne 系統版本。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

「Get System Version」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Get System Version」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

啟動完整掃描

使用「Initiate Full Scan」(啟動完整掃描) 動作，對端點執行完整磁碟掃描。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Initiate Full Scan」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Initiate Full Scan」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用 Ping 動作測試與 SentinelOne 的連線能力。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將代理程式重新連上網路

使用「Reconnect Agent to the Network」(將代理程式重新連線至網路) 動作，將中斷連線的代理程式重新連線至網路。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Reconnect Agent to the Network」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Reconnect Agent to the Network」(將代理程式重新連線至網路) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新排除清單新增路徑

使用「Update Exclusion List Add Path」動作，將路徑新增至現有排除清單。

這項動作支援下列作業系統：Windows、OSX、Linux 和 Android。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

「Update Exclusion List Add Path」動作需要下列參數：

參數 說明
List Name

這是必填欄位。

排除清單名稱。
Path

這是必填欄位。

要新增至清單的路徑。
Operation System

這是必填欄位。

作業系統。

可能的值如下：

  • windows
  • osx
  • linux
  • android

動作輸出內容

「更新排除清單新增路徑」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用

指令碼執行結果

下表列出使用「Update Exclusion List Add Path」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。