將 SentinelOne v2 與 Google SecOps 整合

本文說明如何設定 SentinelOne v2 並與 Google Security Operations 整合。

這項整合作業支援 SentinelOne API 2.0 以上版本。

這項整合功能使用一或多個開放原始碼元件。 您可以從 Cloud Storage bucket 下載這項整合功能的完整原始碼壓縮副本。

用途

SentinelOne 整合功能可協助您解決下列用途：

  1. 控制受感染的端點：使用 Google SecOps 功能隔離受感染的主機，防止橫向移動和資料竊取。

  2. 擷取詳細端點資訊：運用 Google SecOps 功能，透過深入的主機分析，充實事件資料，進而掌握更完整的背景資訊，做出更明智的決策。您可以自動查詢 SentinelOne，取得與警告相關的端點詳細資訊，包括代理程式版本、作業系統和網路介面。

  3. 啟動 Deep Visibility 掃描：使用 Google SecOps 功能，在可疑機器上搜尋威脅和隱藏的惡意軟體，並在偵測到可疑活動 (例如不尋常的檔案修改或登錄檔變更) 時，使用 SentinelOne 啟動完整磁碟掃描。

  4. 運用威脅情報調查威脅：使用 Google SecOps 功能，將 SentinelOne 警示與威脅情報資料建立關聯，提高準確度，並將 SentinelOne 警示中發現的可疑雜湊、檔案路徑或 IP 位址轉送至威脅情報平台。

  5. 分類惡意軟體：使用 Google SecOps 功能，透過靜態分析工具自動分類惡意軟體，簡化事件應變流程。您可以從受感染的端點擷取樣本、在環境中觸發分析，並根據靜態分析取得惡意軟體的分類。

事前準備

如要驗證 Google SecOps 與 SentinelOne 執行個體之間的連線，您必須提供有效的 SentinelOne API 權杖。

您可以在 SentinelOne 管理控制台中產生個人 API 權杖。

如需產生及管理權杖的詳細操作說明，請前往 SentinelOne 客戶入口網站。

整合參數

SentinelOne v2 整合需要下列參數：

參數 說明
API root

這是必填欄位。

SentinelOne API 根。

預設值為 https://{server}.SentinelOne.net/。
API Token

這是必填欄位。

SentinelOne API 權杖。

如要進一步瞭解如何產生整合所需的 API 權杖，請參閱「事前準備」一節。SentinelOne 安全性政策規定，您必須每六個月建立新的 API 權杖。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Sentinel 伺服器時驗證 SSL 憑證。

(預設為啟用)。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

新增威脅附註

使用「Add Threat Note」動作，在 SentinelOne 中為威脅新增附註。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Threat Note」動作需要下列參數：

參數 說明
Threat ID

這是必填欄位。

要新增附註的威脅 ID。
Note

這是必填欄位。

要新增至威脅的附註。

動作輸出內容

「Add Threat Note」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Threat Note」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added note to the threat THREAT_ID in SentinelOne.

Action wasn't able to add a note to the threat THREAT_ID in SentinelOne.

 動作成功。
Error executing action "Add Threat Note". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add Threat Note」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

建立裝置控制規則

使用「Create Device Control Rule」動作，在 SentinelOne 中建立裝置控制規則。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Create Device Control Rule」動作需要下列參數：

參數 說明
Rule JSON

這是必填欄位。

代表裝置控制規則設定的 JSON 物件。

預設值如下：

   {
        "ruleName": "String",
        "interface": "String",
        "ruleType": "String",
        "action": "String",
        "accessPermission": "String",
        "deviceClass": "String",
        "status": "String"
    }
Scope JSON

這是必填欄位。

代表範圍規則設定的 JSON 物件。

預設值如下：

   {
        "accountIds": "String",
        "groupIds": "String",
        "siteIds": "String"
    }

動作輸出內容

「Create Device Control Rule」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Device Control Rule」動作時，收到的 JSON 結果輸出內容：

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}
輸出訊息

Create Device Control Rule 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully created a Device Control Rule in SentinelOne.

 動作成功。
Error executing action "Create Device Control Rule". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Create Device Control Rule」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

建立雜湊黑名單記錄

使用「Create Hash Black List Record」動作，將雜湊新增至 SentinelOne 的封鎖清單。

這項動作僅支援 SHA-1 雜湊。

這項動作會在 Google SecOps Hash 實體上執行。

動作輸入內容

「Create Hash Black List Record」動作需要下列參數：

參數 說明
Operating System

這是必填欄位。

雜湊的作業系統。

可能的值如下：

  • windows
  • windows_legacy
  • macos
  • linux

預設值為 windows。
Site IDs

選填。

以半形逗號分隔的網站 ID 清單，用於傳送至封鎖清單。
Group IDs

選填。

以半形逗號分隔的群組 ID 清單，用於傳送至封鎖清單。
Account IDs

選填。

以半形逗號分隔的帳戶 ID 清單，用於傳送至封鎖清單。
Description

選填。

雜湊相關的其他資訊。

預設值為 ""。
Add to global blocklist

這是必填欄位。

如果選取，這項動作會將雜湊新增至全域封鎖清單。

如果選取這個參數，動作會忽略 Site IDs、Group IDs 和 Account IDs 參數。

動作輸出內容

「Create Hash Black List Record」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Hash Black List Record」動作時，收到的 JSON 結果輸出內容：

[
    {
        "Entity": "ENTITY_ID",
        "EntityResult": [{
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.678280Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.678690Z"
        }, {
            "userName": "user",
            "description": "Created by user.",
            "userId": "USER_ID",
            "scopeName": "Test Group 2",
            "value": "36F9CA40B3CE96FCEE1CF1D4A7222935536FD25A",
            "source": "user",
            "updatedAt": "2020-07-02T14:41:20.683858Z",
            "osType": "windows",
            "scope": {
                "groupIds": ["GROUP_ID"]
            },
            "type": "white_hash",
            "id": "ENTITY_ID",
            "createdAt": "2020-07-02T14:41:20.684677Z"
        }]
    }
]
輸出訊息

「Create Hash Black List Record」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added the following hashes to the blocklist in SentinelOne: ENTITY_ID.

The following hashes were already a part of blocklist in SentinelOne: ENTITY_ID.

Action wasn't able to add the following hashes to the blocklist in SentinelOne: ENTITY_ID.

No hashes were added to the blocklist in SentinelOne.

 動作成功。
Error executing action "Create Hash Black List Record". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Create Hash Black List Record」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

建立雜湊排除記錄

使用「Create Hash Exclusion Record」動作，將雜湊新增至 SentinelOne 的排除清單。

這項動作僅支援 SHA-1 雜湊。

這項動作會在 Google SecOps Hash 實體上執行。

動作輸入內容

「Create Hash Exclusion Record」動作需要下列參數：

參數 說明
Operation System

這是必填欄位。

雜湊的作業系統 (OS)。

可能的值如下：

  • windows
  • windows_legacy
  • macos
  • linux

預設值為 windows。
Site IDs

選填。

以半形逗號分隔的網站 ID 清單，用於將雜湊傳送至排除清單。

這項動作至少需要一個有效值。
Group IDs

選填。

以半形逗號分隔的群組 ID 清單，用於將雜湊傳送至排除清單。

這項動作至少需要一個有效值。
Account IDs

選填。

以半形逗號分隔的帳戶 ID 清單，用於將雜湊傳送至排除清單。
Description

選填。

雜湊相關的其他資訊。
Add to global exclusion list

選填。

如果選取，這項動作會將雜湊新增至全域排除清單。

如果選取這個參數，動作會忽略 Site IDs、Group IDs 和 Account IDs 參數。

動作輸出內容

「Create Hash Exclusion Record」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Hash Exclusion Record」動作時，收到的 JSON 結果輸出內容：

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]
輸出訊息

「Create Hash Exclusion Record」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added the following hashes to the exclusion list in SentinelOne: HASH_ID

The following hashes were already a part of exclusion list in SentinelOne: HASH_ID

Action wasn't able to add the following hashes to the exclusion list in SentinelOne: HASH_ID

No hashes were added to the exclusion list in SentinelOne.

動作成功。
Error executing action "Create Hash Exclusion Record". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Create Hash Exclusion Record」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

建立路徑排除記錄

使用「Create Path Exclusion Record」動作，將路徑新增至 SentinelOne 的排除清單。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Create Path Exclusion Record」動作需要下列參數：

預設值為 Suppress Alerts。

參數 說明
Path

這是必填欄位。

要新增至排除清單的路徑。
Operation System

這是必填欄位。

雜湊的作業系統 (OS)。

可能的值如下：

  • windows
  • windows_legacy
  • macos
  • linux

預設值為 windows。
Site IDs

選填。

以半形逗號分隔的網站 ID 清單，用於將雜湊傳送至排除清單。

這項動作至少需要一個有效值。
Group IDs

選填。

以半形逗號分隔的群組 ID 清單，用於將雜湊傳送至排除清單。

這項動作至少需要一個有效值。
Account IDs

選填。

以半形逗號分隔的帳戶 ID 清單，用於將雜湊傳送至排除清單。
Description

選填。

雜湊相關的其他資訊。
Add to global exclusion list

選填。

如果選取，這項動作會將雜湊新增至全域排除清單。

如果選取這個參數，動作會忽略 Site IDs、Group IDs 和 Account IDs 參數。
Include Subfolders

選填。

如果選取，動作會包含指定路徑的子資料夾。

只有在 Path 參數中設定資料夾路徑時，這個參數才會生效。
Mode

選填。

排除路徑要使用的模式。

可能的值如下：

  • Suppress Alerts
  • Interoperability
  • Interoperability - Extended
  • Performance Focus
  • Performance Focus - Extended

動作輸出內容

「Create Path Exclusion Record」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Path Exclusion Record」動作時，收到的 JSON 結果輸出內容：

[
    {
    "ENTITY_ID":
        {
        "ID": "ALLOWLISTED_ENTITY_ID",
        "Created Time": "ITEM_CREATION_TIME",
        "Scope ID": "SITE_OR_GROUP_ID",
        "Scope Name": "example_scope"
        }
    }
]
輸出訊息

「Create Path Exclusion Record」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added the following path to the exclusion list in SentinelOne: PATH

The following paths were already a part of exclusion list in SentinelOne: PATH_LIST

Action wasn't able to add the following paths to the exclusion list in SentinelOne: PATH

No paths were added to the exclusion list in SentinelOne.

動作成功。
Error executing action "Create Path Exclusion Record". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Create Path Exclusion Record」(建立路徑排除記錄) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除裝置控制規則

使用「Delete Device Control Rule」動作，刪除 SentinelOne 中的裝置控制規則。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

刪除裝置控制規則動作需要下列參數：

參數 說明
Rule ID

這是必填欄位。

要刪除的規則 ID。
Scope Type

選填。

顯示或適用快訊的組織層級。

可能的值如下：

  • Account
  • Site
  • Group

預設值為 Account。
Scope ID

這是必填欄位。

範圍的 ID。

動作輸出內容

「Delete Device Control Rule」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Delete Device Control Rule」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted a Device Control Rule with ID RULE_DEVICE_ID in SentinelOne.

Rule RULE_DEVICE_ID wasn't found in SentinelOne.

 動作成功。
Error executing action "Delete Device Control Rule". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Delete Device Control Rule」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

刪除雜湊黑名單記錄

使用「Delete Hash Blacklist Record」動作，從 SentinelOne 的封鎖清單中刪除雜湊。

這項動作僅支援 SHA-1 雜湊。

這項動作會在 Google SecOps Hash 實體上執行。

動作輸入內容

刪除雜湊黑名單記錄動作需要下列參數：

參數 說明
Site IDs

選填。

列出要移除雜湊的網站 ID，並以半形逗號分隔。
Group IDs

選填。

列出要移除雜湊的群組 ID，並以半形逗號分隔。
Account IDs

選填。

以半形逗號分隔的帳戶 ID 清單，用於移除雜湊。
Remove from global black list

選填。

如果選取，這項動作會從全域封鎖清單中移除雜湊。

如果選取這個參數，動作會忽略 Site IDs、Group IDs 和 Account IDs 參數。

動作輸出內容

「Delete Hash Blacklist Record」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Delete Hash Blacklist Record 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully removed the following hashes from the blocklist in SentinelOne: ENTITY_ID.

The following hashes were not found in a blocklist in SentinelOne: ENTITY_ID.

Action wasn't able to remove the following hashes to the blocklist in SentinelOne: ENTITY_ID.

No hashes were removed from the blocklist in SentinelOne.

動作成功。
Error executing action "Delete Hash Blacklist Record". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Delete Hash Blacklist Record」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

中斷代理與網路的連線

使用「Disconnect Agent From Network」(中斷代理程式與網路的連線) 動作，透過代理程式的主機名稱或 IP 位址，中斷代理程式與網路的連線。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Disconnect Agent From Network」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Disconnect Agent From Network」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

下載威脅檔案

使用「Download Threat File」動作，下載 SentinelOne 中與威脅相關的檔案。

如要在 SentinelOne 擷取威脅檔案，您必須具備下列任一角色：

  • Admin
  • IR Team
  • SOC

這項動作不會在 Google SecOps 實體上執行。

動作限制

如果 SentinelOne 擷取檔案，但未提供下載網址，Download Threat File 動作可能會逾時。

如要調查逾時原因，請前往威脅時間軸。

動作輸入內容

「Download Threat File」動作需要下列參數：

參數 說明
Threat ID

這是必填欄位。

要下載檔案的威脅 ID。
Password

這是必填欄位。

含有威脅檔案的 ZIP 壓縮資料夾密碼。

密碼規定如下：

  • 長度至少 10 個字元。
  • 包含大寫字母、小寫字母、數字和特殊符號。

密碼長度上限為 256 個字元。
Download Folder Path

這是必填欄位。

儲存威脅檔案的資料夾路徑。
Overwrite

這是必填欄位。

如果選取，系統會覆寫名稱相同的檔案。

預設為未選取。

動作輸出內容

「Download Threat File」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Download Threat File」(下載威脅檔案) 動作時，收到的 JSON 結果輸出內容：

{
    "absolute_path": "ABSOLUTE_PATH"
}
輸出訊息

「Download Threat File」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully downloaded the file related to threat THREAT_ID in SentinelOne.

Action wasn't able to download the file related to threat THREAT_ID. Reason: The action was able to initiate the downloading of the file, but SentinelOne didn't return a download URL.

Waiting for the download link to appear in SentinelOne.

 動作成功。
Error executing action "Download Threat File". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Download Threat File」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

充實端點

使用「Enrich Endpoints」動作，透過 IP 位址或主機名稱充實端點相關資訊。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

「Enrich Endpoints」動作需要下列參數：

參數 說明
Create Insight

選填。

如果選取，這項動作會建立包含端點資訊的深入分析。
Only Infected Endpoints Insights

選填。

如果選取，這項動作只會為受感染的端點建立洞察資料。

動作輸出內容

「Enrich Endpoints」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Enrich Endpoints」動作時，收到的 JSON 結果輸出內容：

{
    "accountId": "ACCOUNT_ID",
    "accountName": "SentinelOne",
    "activeDirectory": {
        "computerDistinguishedName": "CN=LP-EXAMPLE,CN=Computers,DC=EXAMPLE,DC=LOCAL",
        "computerMemberOf": [],
        "lastUserDistinguishedName": "CN=Example,OU=Users,OU=PS,OU=IL,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
        "lastUserMemberOf": [
            "CN=esx.cs,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Backup Operators,CN=Builtin,DC=EXAMPLE,DC=LOCAL",
            "CN=esx.product,OU=ESX,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=EXAMPLE_Admins,OU=QA,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Local Admin,OU=GROUPS,OU=IL,OU=IT,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=CSM,OU=Operations,OU=EXAMPLE,DC=EXAMPLE,DC=LOCAL",
            "CN=Event Log Readers,CN=Builtin,DC=EXAMPLE,DC=LOCAL"
        ]
    },
    "activeThreats": 0,
    "agentVersion": "4.1.4.82",
    "allowRemoteShell": false,
    "appsVulnerabilityStatus": "patch_required",
    "computerName": "LP-EXAMPLE",
    "consoleMigrationStatus": "N/A",
    "coreCount": 8,
    "cpuCount": 8,
    "cpuId": "Intel(R) Core(TM) i7-8650U CPU @ 1.90GHz",
    "createdAt": "2020-05-31T07:22:14.695136Z",
    "domain": "EXAMPLE",
    "encryptedApplications": false,
    "externalId": "",
    "externalIp": "192.0.2.91",
    "groupId": "863712577864500060",
    "groupIp": "192.0.2.0",
    "groupName": "Test Group",
    "id": "ID",
    "inRemoteShellSession": false,
    "infected": false,
    "installerType": ".msi",
    "isActive": false,
    "isDecommissioned": false,
    "isPendingUninstall": false,
    "isUninstalled": false,
    "isUpToDate": true,
    "lastActiveDate": "2021-01-12T12:59:43.143066Z",
    "lastIpToMgmt": "192.0.2.20",
    "lastLoggedInUserName": "EXAMPLE",
    "licenseKey": "",
    "locationType": "fallback",
    "locations": [
        {
            "id": "ID",
            "name": "Fallback",
            "scope": "global"
        }
    ],
    "machineType": "laptop",
    "mitigationMode": "protect",
    "mitigationModeSuspicious": "protect",
    "modelName": "Dell Inc. - Latitude 7490",
    "networkInterfaces": [
        {
            "id": "ID",
            "inet": [
                "192.0.2.20"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2",
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "Wi-Fi",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "192.168.193.193"
            ],
            "inet6": [
                "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff"
            ],
            "name": "vEthernet (Default Switch)",
            "physical": "MAC_ADDRESS"
        },
        {
            "id": "ID",
            "inet": [
                "201.0.113.1"
            ],
            "inet6": [
                "2001:db8:1:1:1:1:1:1",
                "2001:db8:2:2:2:2:2:2"
            ],
            "name": "vEthernet (DockerNAT)",
            "physical": "MAC_ADDRESS"
        }
    ],
    "networkStatus": "connecting",
    "osArch": "64 bit",
    "osName": "Windows 10 Pro",
    "osRevision": "18363",
    "osStartTime": "2021-01-03T15:38:32Z",
    "osType": "windows",
    "osUsername": null,
    "rangerStatus": "NotApplicable",
    "rangerVersion": null,
    "registeredAt": "2020-05-31T07:22:14.691561Z",
    "scanAbortedAt": null,
    "scanFinishedAt": "2020-05-31T09:28:53.867014Z",
    "scanStartedAt": "2020-05-31T07:25:37.814972Z",
    "scanStatus": "finished",
    "siteId": "SITE_ID",
    "siteName": "example.com",
    "threatRebootRequired": false,
    "totalMemory": 16263,
    "updatedAt": "2021-01-18T13:33:43.834618Z",
    "userActionsNeeded": [],
    "uuid": "UUID"
}
輸出訊息

「Enrich Endpoints」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about the following endpoints from SentinelOne: ENTITY_ID

Action wasn't able to retrieve information about the following endpoints from SentinelOne: ENTITY_ID

No information was retrieved for provided entities.

 動作成功。
Error executing action "Enrich Endpoints". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Enrich Endpoints」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得代理狀態

使用「Get Agent Status」(取得代理程式狀態) 動作，根據提供的實體，擷取端點代理程式狀態的相關資訊。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Get Agent Status」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Agent Status」動作時，收到的 JSON 結果輸出內容：

{
"status": "Not active"
}
輸出訊息

「Get Agent Status」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about agent status for the following endpoints: ENTITY_ID

Action wasn't able to retrieve information about agent status for the following endpoints: ENTITY_ID

No information about agent status was found for the provided endpoints.

 動作成功。
Error executing action "Get Agent Status". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Agent Status」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得端點的應用程式清單

使用「Get Application List for Endpoint」動作，透過提供的實體擷取端點上可用應用程式的資訊。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

「Get Application List for Endpoint」(取得端點的應用程式清單) 動作需要下列參數：

參數 說明
Max Applications To Return

選填。

要傳回的應用程式數量上限。

如未設定數字，動作會傳回所有可用的應用程式。

動作輸出內容

「Get Application List for Endpoint」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Application List for Endpoint」動作時，收到的 JSON 結果輸出內容：

{
    "data": [
        {
            "installedDate": "2021-01-06T08:55:56.762000Z",
            "name": "Mozilla Firefox 84.0.1 (x64 en-US)",
            "publisher": "Mozilla",
            "size": 211562,
            "version": "84.0.1"
        }
    ]
}
輸出訊息

「Get Application List for Endpoint」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved available applications for the following endpoints: ENTITY_ID.

Action wasn't able to retrieve available applications for the following endpoints: ENTITY_ID.

No applications were retrieved for provided endpoints.

 動作成功。
Error executing action "Get Application List for Endpoint". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Application List for Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得封鎖清單

使用「Get Blacklist」動作，取得 SentinelOne 封鎖清單中所有可用項目的清單。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

Get Blacklist 動作需要下列參數：

參數 說明
Hash

選填。

以半形逗號分隔的雜湊清單，用於在封鎖清單中檢查。

這項動作只會傳回找到的雜湊。

如果您設定 Hash，動作會忽略 Limit 參數。
Site IDs

選填。

以半形逗號分隔的網站 ID 清單，用於傳回封鎖清單項目。
Group IDs

選填。

以半形逗號分隔的群組 ID 清單，用於傳回封鎖清單項目。
Account Ids

選填。

以半形逗號分隔的帳戶 ID 清單，用於傳回封鎖清單項目。
Limit

選填。

要傳回的封鎖清單項目數量。

如果您設定 Hash 參數，動作會忽略這個參數。

最大值為 1000。

預設值為 50。
Query

選填。

用於篩選結果的查詢。
Use Global Blacklist

選填。

如果選取，這項動作會傳回全域封鎖清單中的雜湊。

預設為未選取。

動作輸出內容

「Get Blacklist」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

Get Blacklist 動作可傳回下表：

資料表名稱：Blocklist Hashes

表格欄：

  • 雜湊
  • 範圍
  • 說明
  • OS
  • 使用者
JSON 結果

以下範例顯示使用「Get Blacklist」動作時，收到的 JSON 結果輸出內容：

[
    {
        "userName": "Example",
        "description": "test",
        "userId": "USER_ID",
        "scopeName": "Example.com",
        "value": "cf23df2207d99a74fbe169e3eba035e633bxxxxx",
        "source": "user",
        "updatedAt": "2020-02-27T15:02:54.686991Z",
        "osType": "windows",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "8353960925573xxxxx",
        "createdAt": "2020-02-27T15:02:54.687675Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "3395856ce81f2b7382dee72602f798b642fxxxxx",
        "source": "cloud",
        "updatedAt": "2020-03-18T14:42:02.730095Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-03-18T14:42:02.730449Z"
    }, {
        "description": "Detected by SentinelOne Cloud",
        "userId": null,
        "scopeName": "Example.com",
        "value": "df531d66173235167ac502b867f3cae2170xxxxx",
        "source": "cloud",
        "updatedAt": "2020-04-08T07:27:35.686775Z",
        "osType": "linux",
        "scope": {
            "siteIds": ["SITE_ID"]
        },
        "type": "black_hash",
        "id": "ENTITY_ID",
        "createdAt": "2020-04-08T07:27:35.687168Z"
    }
]
輸出訊息

「Get Blacklist」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved blocklisted hashes based on the provided filter criteria in SentinelOne.

No blocklisted hashes were found for the provided criteria in SentinelOne.

 動作成功。
Error executing action "Get Blacklist". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Blacklist」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得 Deep Visibility 查詢結果

使用「Get Deep Visibility Query Result」動作，擷取 Deep Visibility 查詢結果的相關資訊。

請搭配啟動 Deep Visibility 查詢動作執行這項動作。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Deep Visibility Query Result」(取得 Deep Visibility 查詢結果) 動作需要下列參數：

參數 說明
Query ID

這是必填欄位。

要傳回結果的查詢 ID。

ID 值會以 query_id 參數的形式，顯示在「Initiate Deep Visibility Query」動作的 JSON 結果中。
Limit

選填。

要傳回的事件數量。

最大值為 100。

預設值為 50。

動作輸出內容

「Get Deep Visibility Query Result」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「Get Deep Visibility Query Result」動作可傳回下列資料表：

資料表名稱：SentinelOne Events

表格欄：

  • 事件類型
  • 網站名稱
  • 時間
  • Agent OS
  • 程序 ID
  • 程序 UID
  • 程序名稱
  • MD5
  • SHA256
輸出訊息

「Get Deep Visibility Query Result」動作可傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully found events for query: QUERY_ID. 動作成功。
Error executing action "Get Deep Visibility Query Result". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Deep Visibility Query Result」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得端點過去幾小時的事件

使用「Get Events for Endpoint Hours Back」動作，擷取端點最新事件的相關資訊。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

「Get Events for Endpoint Hours Back」動作需要下列參數：

參數 說明
Hours Back

這是必填欄位。

擷取事件的時間範圍 (以小時為單位，從現在往前推算)。
Events Amount Limit

選填。

每個事件類型要傳回的事件數量上限。

預設值為 50。
Include File Events Information

選填。

如果選取，動作會查詢 file 事件的相關資訊。
Include Indicator Events Information

選填。

如果選取，動作會查詢 indicator 事件的相關資訊。
Include DNS Events Information

選填。

如果選取，動作會查詢 DNS 事件的相關資訊。
Include Network Actions Events Information

選填。

如果選取，這項動作會查詢 network actions 事件的相關資訊。
Include URL Events Information

選填。

如果選取，這項動作會查詢 URL 事件的相關資訊。
Include Registry Events Information

選填。

如果選取，這項動作會查詢 registry 事件的相關資訊。
Include Scheduled Task Events Information

選填。

如果選取，動作會查詢 scheduled task 事件的相關資訊。

動作輸出內容

「Get Events for Endpoint Hours Back」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Events for Endpoint Hours Back」動作時，收到的 JSON 結果輸出內容：

{
    "data": [
        {
            "activeContentFileId": null,
            "activeContentHash": null,
            "activeContentPath": null,
            "activeContentSignedStatus": null,
            "activeContentType": null,
            "agentDomain": "",
            "agentGroupId": "GROUP_ID",
            "agentId": "ID",
            "agentInfected": false,
            "agentIp": "192.0.2.160",
            "agentIsActive": true,
            "agentIsDecommissioned": false,
            "agentMachineType": "server",
            "agentName": "ip-203-0-113-205",
            "agentNetworkStatus": "connected",
            "agentOs": "linux",
            "agentTimestamp": "2020-03-19T08:17:01.575Z",
            "agentUuid": "UUID",
            "agentVersion": "3.3.1.14",
            "attributes": [
                {
                    "display": "Created At",
                    "display_attribute": false,
                    "field_id": "agentTimestamp",
                    "priority": 3,
                    "queryable": false,
                    "section": "Main Attributes",
                    "value": "2020-03-19T08:17:01.575Z"
                },{
                    "display": "Site ID",
                    "display_attribute": false,
                    "field_id": "siteId",
                    "priority": 7,
                    "queryable": true,
                    "section": "Endpoint Info",
                    "value": null
                }
            ],
            "containerId": null,
            "containerImage": null,
            "containerLabels": null,
            "containerName": null,
            "createdAt": "2020-03-19T08:17:01.575000Z",
            "eventType": "Process Creation",
            "hasParent": true,
            "id": "ID",
            "k8sCluame": null,
            "k8sControllerLabels": null,
            "k8sControllerName": null,
            "k8sControllerType": null,
            "k8sNamespace": null,
            "k8sNamespaceLabels": null,
            "k8sNode": null,
            "k8sPodLabels": null,
            "k8sPodName": null,
            "md5": null,
            "objectType": "process",
            "parentPid": "32461",
            "parentProcessName": "dash",
            "parentProcessStartTime": "2020-03-19T08:17:01.785Z",
            "parentProcessUniqueKey": "KEY",
            "pid": "32462",
            "processCmd": " run-parts --report /etc/cron.hourly",
            "processDisplayName": null,
            "processGroupId": "GROUP_ID",
            "processImagePath": "/bin/run-parts",
            "processImageSha1Hash": "66df74a1f7cc3509c87d6a190ff90ac86caf440d",
            "processIntegrityLevel": "INTEGRITY_LEVEL_UNKNOWN",
            "processIsRedirectedCommandProcessor": "False",
            "processIsWow64": "False",
            "processName": "run-parts",
            "processRoot": "False",
            "processSessionId": "0",
            "processStartTime": "2020-03-19T08:17:01.787Z",
            "processSubSystem": "SUBSYSTEM_UNKNOWN",
            "processUniqueKey": "KEY",
            "publisher": null,
            "relatedToThreat": "False",
            "sha256": null,
            "signatureSignedInvalidReason": null,
            "signedStatus": "unsigned",
            "siteName": "example.com",
            "trueContext": "c98a4557-94b5-da31-5074-fe6360f17228",
            "user": "unknown",
            "verifiedStatus": null
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 632
    }
}
輸出訊息

「Get Events for Endpoint Hours Back」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about the events for the following endpoints: ENDPOINT_ID.

Action wasn't able to find any events for the following endpoints: ENDPOINT_ID.

No information events for the provided endpoints.

 動作成功。
Error executing action "Get Events for Endpoint Hours Back". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Events for Endpoint Hours Back」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得群組詳細資料

使用「Get Group Details」動作，擷取指定群組的詳細資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Group Details」動作需要下列參數：

參數 說明
Group Names

這是必填欄位。

要擷取詳細資料的群組名稱。這項參數接受多個值，請以逗號分隔的清單表示。

動作輸出內容

「Get Group Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「Get Group Details」動作可傳回下表：

資料表名稱：SentinelOne Groups

表格欄：

  • ID
  • 名稱
  • 類型
  • 排名
  • 創作者
  • 建立時間
JSON 結果

以下範例顯示使用「Get Group Details」動作時，收到的 JSON 結果輸出內容：

[
    {
        "GROUP_NAME":"UNEDITABLE_VARIABLERESPONSE_DATA"
    }
]
輸出訊息

「Get Group Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about the following groups in SentinelOne: GROUP_NAME.

Action wasn't able to retrieve information about the following groups in SentinelOne: GROUP_NAME.

No information about provided groups was found.

 動作成功。
Error executing action "Get Group Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Group Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得雜湊信譽

(已淘汰) 使用「Get Hash Reputation」動作，從 SentinelOne 擷取雜湊相關資訊。

這項動作會在 Google SecOps Hash 實體上執行。

動作輸入內容

「Get Hash Reputation」動作需要下列參數：

參數 說明
Reputation Threshold

選填。

將實體標示為可疑的信譽門檻。

如未設定值，動作就不會將任何實體標示為可疑。

最大值為 10。

預設值為 5。
Create Insight

選填。

如果選取，這項動作會建立包含信譽相關資訊的洞察。
Only Suspicious Hashes Insight

選填。

如果選取，則動作只會為信譽超過或等於 Reputation Threshold 值的雜湊建立深入分析。

動作輸出內容

「Get Hash Reputation」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 可用
JSON 結果 無法使用
輸出訊息 無法使用
指令碼執行結果 可用
補充資訊表格

「Get Hash Reputation」動作可充實下列欄位：

補充資料欄位名稱 適用範圍
SENO_reputation 如果 JSON 結果中存在，則傳回。
指令碼執行結果

下表列出使用「Get Hash Reputation」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得端點的程序清單 - 已淘汰

取得網站代理

使用「Get Site Agents」動作，擷取與 SentinelOne 中特定網站相關聯的資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Site Agents」動作需要下列參數：

參數 說明
Site Name

這是必填欄位。

要傳回的警示 ID。
Max Agents To Return

這是必填欄位。

要傳回的代理數量上限。

最大值為 1000。

預設值為 100。

動作輸出內容

「Get Site Agents」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Site Agents」動作時，收到的 JSON 結果輸出內容：

[
    {
        "accountId": "0000000000000000000",
        "accountName": "Customer_Company_Name",
        "activeDirectory": {
            "computerDistinguishedName": null,
            "computerMemberOf": [],
            "lastUserDistinguishedName": null,
            "lastUserMemberOf": [],
            "userPrincipalName": null
        },
        "activeProtection": [
            "edr"
        ],
        "activeThreats": 27,
        "agentVersion": "XX.X.X.X",
        "allowRemoteShell": true,
        "appsVulnerabilityStatus": "not_applicable",
        "cloudProviders": {
            "Google Cloud": {
                "cloudAccount": "customer-edr-agents-yyyy",
                "cloudImage": "debian-image-name-vYYYYMMDD",
                "cloudInstanceId": "0000000000000000000",
                "cloudInstanceSize": "e2-medium",
                "cloudLocation": "us-region-x",
                "cloudNetwork": "private-network-name",
                "cloudTags": [
                    "corelight-ingress",
                    "Endpoint does not have sufficient permissions to fetch labels"
                ],
                "gcpServiceAccount": "000000000000-compute@developer.gserviceaccount.com"
            }
        },
        "computerName": "virtual-machine-name-1",
        "consoleMigrationStatus": "N/A",
        "containerizedWorkloadCounts": null,
        "coreCount": 2,
        "cpuCount": 1,
        "cpuId": "Intel(R) Xeon(R) CPU @ X.XGHz",
        "createdAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "detectionState": null,
        "domain": "us-region-x.c.customer-edr-agents-yyyy.internal",
        "encryptedApplications": false,
        "externalId": "",
        "externalIp": "000.000.000.000",
        "firewallEnabled": false,
        "firstFullModeTime": null,
        "fullDiskScanLastUpdatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "groupId": "0000000000000000000",
        "groupIp": "000.000.000.0",
        "groupName": "Default Group",
        "hasContainerizedWorkload": false,
        "id": "0000000000000000000",
        "inRemoteShellSession": false,
        "infected": true,
        "installerType": ".deb",
        "isActive": true,
        "isAdConnector": false,
        "isDecommissioned": false,
        "isHyperAutomate": null,
        "isPendingUninstall": false,
        "isUninstalled": false,
        "isUpToDate": true,
        "lastActiveDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "lastIpToMgmt": "000.000.000.000",
        "lastLoggedInUserName": "",
        "lastSuccessfulScanDate": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "licenseKey": "",
        "locationEnabled": false,
        "locationType": "not_supported",
        "locations": null,
        "machineSid": null,
        "machineType": "server",
        "missingPermissions": [],
        "mitigationMode": "detect",
        "mitigationModeSuspicious": "detect",
        "modelName": "Google Google Compute Engine",
        "networkInterfaces": [
            {
                "gatewayIp": "000.000.000.000",
                "gatewayMacAddress": "XX:XX:XX:XX:XX:XX",
                "id": "0000000000000000000",
                "inet": [
                    "000.000.000.000"
                ],
                "inet6": [
                    "fe80::0000:0000:0000:0"
                ],
                "name": "ens4",
                "physical": "XX:XX:XX:XX:XX:XX"
            },
            {
                "gatewayIp": null,
                "gatewayMacAddress": null,
                "id": "0000000000000000000",
                "inet": [
                    "172.17.0.1"
                ],
                "inet6": [],
                "name": "docker0",
                "physical": "XX:XX:XX:XX:XX:XX"
            }
        ],
        "networkQuarantineEnabled": false,
        "networkStatus": "connected",
        "operationalState": "na",
        "operationalStateExpiration": null,
        "osArch": "64 bit",
        "osName": "Linux",
        "osRevision": "Debian GNU/11 (bullseye) X.X.X.X-cloud-amd64",
        "osStartTime": "YYYY-MM-DDTHH:MM:SSZ",
        "osType": "linux",
        "osUsername": "user",
        "proxyStates": null,
        "rangerStatus": "Disabled",
        "rangerVersion": null,
        "registeredAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "remoteProfilingState": "disabled",
        "remoteProfilingStateExpiration": null,
        "scanAbortedAt": null,
        "scanFinishedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStartedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "scanStatus": "finished",
        "serialNumber": null,
        "showAlertIcon": false,
        "siteId": "0000000000000000000",
        "siteName": "SITE_NAME",
        "storageName": null,
        "storageType": null,
        "tags": {
            "sentinelone": [
                {
                    "assignedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
                    "assignedBy": "anon.user@google.com",
                    "assignedById": "0000000000000000000",
                    "id": "0000000000000000000",
                    "key": "MD_Containment_Allowlist",
                    "value": "No Value"
                }
            ]
        },
        "threatRebootRequired": false,
        "totalMemory": 3930,
        "updatedAt": "YYYY-MM-DDTHH:MM:SS.SSSSSSZ",
        "userActionsNeeded": [],
        "uuid": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy"
    }
]
輸出訊息

「Get Site Agents」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned information about the hosts from Site SITE_NAME in SentinelOne.

No hosts are associated with Site SITE_NAME in SentinelOne.

 動作成功。
Error executing action "Get Site Agents". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Site Agents」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得系統狀態

使用「Get System Status」動作擷取系統狀態。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

「Get System Status」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 無法使用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get System Status」動作時，收到的 JSON 結果輸出內容：

{
    "system_status": {
        "data": {
            "health": "ok"
        }},
    "db_status": {
        "data": {
            "health": "ok"
        }},
    "cache_status": {
        "data": {
            "health": "ok"
        }
    }
}
指令碼執行結果

下表列出使用「Get System Status」(取得系統狀態) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得系統版本

使用「Get System Version」動作擷取系統版本。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

「Get System Version」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Get System Version」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得威脅

使用「Get Threats」動作，擷取 SentinelOne 中的威脅資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Threats」動作需要下列參數：

參數 說明
Mitigation Status

選填。

以半形逗號分隔的威脅狀態清單。

這項動作只會傳回符合設定狀態的威脅。

可能的值如下：

  • mitigated
  • active
  • blocked
  • suspicious
  • suspicious_resolved
Created until

選填。

威脅的結束時間，例如 2020-03-02T21:30:13.014874Z。
Created from

選填。

威脅的開始時間，例如 2020-03-02T21:30:13.014874Z。
Resolved Threats

選填。

如果選取，動作只會傳回已解決的威脅。
Threat Display Name

選填。

要傳回的威脅顯示名稱。
Limit

選填。

要傳回的威脅數量。

預設值為 10。
API Version

選填。

執行動作時要使用的 API 版本。

API 版本會影響 JSON 結果結構。建議您使用環境支援的最新 API 版本。

預設值為 2.0。

動作輸出內容

「Get Threats」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Threats」動作時，收到的 JSON 結果輸出內容：

{
            "accountId": "ACCOUNT_ID",
            "accountName": "ACCOUNT_NAME",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "192.0.2.176",
            "agentIsActive": false,
            "agentIsDecommissioned": false,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connected",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "838490132723152335",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "external_ticket_id": null,
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "THREAT_ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "0BB46E119EF0AE51",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": true,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": "sent"
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-07-07T17:19:48.260119Z",
            "username": "DESKTOP-example\\ddiserens",
            "whiteningOptions": []
}
輸出訊息

「Get Threats」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about the available threats in SentinelOne.

No information about threats was found based on the provided criteria.

 動作成功。
Error executing action "Get Threats". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Threats」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

啟動 Deep Visibility 查詢

使用「Initiate Deep Visibility Query」動作，啟動 Deep Visibility 查詢搜尋。

這項動作會傳回「Get Deep Visibility Query Result」動作所需的查詢 ID 值。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Initiate Deep Visibility Query」動作需要下列參數：

參數 說明
Query

這是必填欄位。

搜尋查詢。

如要進一步瞭解查詢語法，請參閱「SentinelOne Deep Visibility Cheat Sheet」(SentinelOne Deep Visibility 快速入門指南)。
Start Date

選填。

搜尋的開始日期。

如未設定值，動作預設會擷取目前時間前 30 天的事件。
End Date

選填。

搜尋結束日期。

如未設定值，動作會使用目前時間。

動作輸出內容

「Initiate Deep Visibility Query」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Initiate Deep Visibility Query」動作時，收到的 JSON 結果輸出內容：

[
    {
        "query_id": "QUERY_ID"
    }
]
輸出訊息

「Initiate Deep Visibility Query」(啟動 Deep Visibility 查詢) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully created a Deep Visibility query. Query ID: QUERY_ID.

Failed to create a Deep Visibility query.

 動作成功。
Error executing action "Initiate Deep Visibility Query". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Initiate Deep Visibility Query」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

啟動完整掃描

使用「Initiate Full Scan」動作，在 SentinelOne 的端點上啟動完整磁碟掃描。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Initiate Full Scan」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Initiate Full Scan」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully started the full disk scan on the following endpoints in SentinelOne: ENTITY_ID.

Action wasn't able to start a full disk scan on the following endpoints in SentinelOne: ENTITY_ID.

No full disk scans were initiated.

 動作成功。
Error executing action "Initiate Full Scan". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Initiate Full Scan」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出網站

使用「List Sites」動作，列出 SentinelOne 中的可用網站。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「List Sites」動作需要下列參數：

參數 說明
Filter Key

選填。

篩選網站的鍵。

可能的值如下：

  • Select One
  • Name
  • ID

預設值為 Select One。
Filter Logic

選填。

要套用的篩選器邏輯。

篩選邏輯會使用 Filter Key 參數中設定的值。

可能的值如下：

  • Not Specified
  • Equal
  • Contains

預設值為 Not Specified。
Filter Value

選填。

篩選器中使用的值。

篩選邏輯會使用 Filter Key 參數中設定的值。

如果您在 Filter Logic 參數中選取 Equal，動作就會在結果中搜尋完全比對的項目。

如果您在 Filter Logic 參數中選取 Contains，動作會搜尋包含指定子字串的結果。

如未設定值，動作會忽略篩選器。
Max Records To Return

選填。

要傳回的記錄數量。

預設值為 50。

動作輸出內容

「List Sites」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「List Sites」動作可傳回下表：

資料表名稱：Available Sites

表格欄：

  • 名稱
  • ID
  • 創作者
  • 效期
  • 類型
  • 「State」
輸出訊息

List Sites 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found sites for the provided criteria in SentinelOne.

No sites were found for the provided criteria in SentinelOne.

The filter was not applied, because parameter "Filter Value" has an empty value.

 動作成功。
Error executing action "List Sites". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「List Sites」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

標示為威脅

使用「Mark as Threat」動作，在 SentinelOne 中將可疑威脅標示為真陽性威脅。

如要在 SentinelOne 中標示威脅，您必須具備下列任一角色：

  • Admin
  • IR Team
  • SOC

只有可疑偵測項目可以標示為威脅。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Mark as Threat」(標示為威脅) 動作需要下列參數：

參數 說明
Threat IDs

這是必填欄位。

列出要標示為威脅的偵測 ID，並以半形逗號分隔。

動作輸出內容

「標示為威脅」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Mark as Threat」(標示為威脅) 動作時，收到的 JSON 結果輸出內容：

[
    {
        "ID": "DETECTION_ID",
        "marked_as_threat": "true"
    }
]
輸出訊息

「標示為威脅」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully marked the following threats in SentinelOne: THREAT_ID.

Action wasn't able to mark the following threats in SentinelOne: THREAT_ID.

No threats were marked.

 動作成功。
Error executing action "Mark as Threat". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「標示為威脅」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

緩解威脅

使用「Mitigate Threat」動作，在 SentinelOne 中對威脅執行緩解動作。

如要在 SentinelOne 緩解威脅，您必須具備下列任一角色：

  • Admin
  • IR Team
  • SOC

復原作業僅適用於 Windows。威脅修復功能僅適用於 macOS 和 Windows。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Mitigate Threat」動作需要下列參數：

參數 說明
Mitigation action

這是必填欄位。

針對偵測到的威脅採取緩解措施。

可能的值如下：

  • quarantine
  • kill
  • un-quarantine
  • remediate
  • rollback-remediate

預設值為 quarantine。
Threat IDs

這是必填欄位。

列出要緩解的威脅 ID，並以半形逗號分隔。

動作輸出內容

「Mitigate Threat」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Mitigate Threat」動作時，收到的 JSON 結果輸出內容：

[
        {
            "mitigated": true,
            "mitigation_action": "quarantine",
            "Threat_ID": "THREAT_ID"
        }
]
輸出訊息

「Mitigate Threat」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully mitigated the following threats in SentinelOne: THREAT_ID.

Action wasn't able to mitigate the following threats in SentinelOne: THREAT_ID.

No threats were mitigated.

 動作成功。
Error executing action "Mitigate Threat". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Mitigate Threat」(緩解威脅) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

移動代理

使用「Move Agents」(移動代理) 動作，將代理從相同網站移至提供的群組。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

「Move Agents」(移動代理) 動作需要下列參數：

參數 說明
Group ID

選填。

要移入代理的群組 ID。
Group Name

選填。

要移動代理程式的群組名稱。

如果同時設定 Group ID 參數和 Group Name 參數，動作會優先採用 Group ID 參數。

動作輸出內容

「Move Agents」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Move Agents 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully moved the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID.

Action wasn't able to move the following endpoints to the group with ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne: ENTITY_ID.

No endpoints were moved to the group ID_OR_NAME GROUP_ID_OR_NAMEin SentinelOne.

動作成功。
Error executing action "Move Agents". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Move Agents」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用 Ping 動作測試連線。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將代理程式重新連上網路

使用「Reconnect Agent to the Network」(將代理程式重新連線至網路) 動作，將中斷連線的端點重新連線至網路。

這項動作會在下列 Google SecOps 實體上執行：

  • IP Address
  • Hostname

動作輸入內容

無

動作輸出內容

「Reconnect Agent to the Network」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Reconnect Agent to the Network」(將代理程式重新連線至網路) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

解決威脅

使用「解決威脅」動作，解決 SentinelOne 中的威脅。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Resolve Threat」動作需要下列參數：

參數 說明
Threat IDs

這是必填欄位。

列出要解決的威脅 ID，並以半形逗號分隔。
Annotation

選填。

解決威脅的理由。

動作輸出內容

「Resolve Threat」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Resolve Threat」(解決威脅) 動作時，收到的 JSON 結果輸出內容：

[
    {
        "resolved": false,
        "Threat_ID": "THREAT_ID"
        }
]
輸出訊息

「Resolve Threat」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully resolved the following threats in SentinelOne: THREAT_ID.

Action wasn't able to resolve the following threats in SentinelOne: THREAT_ID.

No threats were resolved.

 動作成功。
Error executing action "Resolve Threat". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Resolve Threat」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新警告內容

使用「Update Alert」(更新警告) 動作，更新 SentinelOne 中威脅的警告。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Alert」動作需要下列參數：

參數 說明
Alert ID

這是必填欄位。

要更新的快訊 ID。
Status

選填。

快訊狀態。

可能的值如下：

  • Unresolved
  • In Progress
  • Resolved
Verdict

選填。

快訊的判定結果。

可能的值如下：

  • True Positive
  • False Positive
  • Suspicious

動作輸出內容

「Update Alert」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Update Alert」動作時，收到的 JSON 結果輸出內容：

{
           "agentDetectionInfo": {
               "accountId": "1727154225040260868",
               "machineType": "server",
               "name": "windows-server-20230913",
               "osFamily": "windows",
               "osName": "Windows Server 2019 Datacenter",
               "osRevision": "17763",
               "siteId": "1727154229628829519",
               "uuid": "da943d26318e46a8b3f6fc480c02636d",
               "version": "23.1.2.400"
           },
           "agentRealtimeInfo": {
               "id": "1896661984701699721",
               "infected": true,
               "isActive": true,
               "isDecommissioned": false,
               "machineType": "server",
               "name": "windows-server-20230913",
               "os": "windows",
               "uuid": "da943d26318e46a8b3f6fc480c02636d"
           },
           "alertInfo": {
               "alertId": "1947486263439640318",
               "analystVerdict": "Undefined",
               "createdAt": "2024-05-11T00:27:23.135000Z",
               "dnsRequest": null,
               "dnsResponse": null,
               "dstIp": null,
               "dstPort": null,
               "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
               "eventType": "REGVALUEMODIFIED",
               "hitType": "Events",
               "incidentStatus": "Unresolved",
               "indicatorCategory": null,
               "indicatorDescription": null,
               "indicatorName": null,
               "isEdr": true,
               "loginAccountDomain": null,
               "loginAccountSid": null,
               "loginIsAdministratorEquivalent": null,
               "loginIsSuccessful": null,
               "loginType": null,
               "loginsUserName": null,
               "modulePath": null,
               "moduleSha1": null,
               "netEventDirection": null,
               "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryOldValue": "0060030100000000",
               "registryOldValueType": "BINARY",
               "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
               "registryValue": "0070030100000000",
               "reportedAt": "2024-05-11T00:27:33.873767Z",
               "source": "STAR",
               "srcIp": null,
               "srcMachineIp": null,
               "srcPort": null,
               "tiIndicatorComparisonMethod": null,
               "tiIndicatorSource": null,
               "tiIndicatorType": null,
               "tiIndicatorValue": null,
               "updatedAt": "2025-05-12T18:41:08.366615Z"
           },
           "containerInfo": {
               "id": null,
               "image": null,
               "labels": null,
               "name": null
           },
           "kubernetesInfo": {
               "cluster": null,
               "controllerKind": null,
               "controllerLabels": null,
               "controllerName": null,
               "namespace": null,
               "namespaceLabels": null,
               "node": null,
               "pod": null,
               "podLabels": null
           },
           "ruleInfo": {
               "description": null,
               "id": "1763599692710649014",
               "name": "Registry Value Modified",
               "queryLang": "1.0",
               "queryType": "events",
               "s1ql": "EventType = \"Registry Value Modified\"",
               "scopeLevel": "account",
               "severity": "Critical",
               "treatAsThreat": "UNDEFINED"
           },
           "sourceParentProcessInfo": {
               "commandline": "C:\\Windows\\system32\\services.exe",
               "effectiveUser": null,
               "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
               "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
               "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
               "filePath": "C:\\Windows\\System32\\services.exe",
               "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "services.exe",
               "pid": "896",
               "pidStarttime": "2024-04-26T17:33:41.962000Z",
               "realUser": null,
               "storyline": "DD880F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "DC880F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "sourceProcessInfo": {
               "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
               "effectiveUser": null,
               "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
               "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
               "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
               "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
               "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
               "integrityLevel": "system",
               "loginUser": null,
               "name": "cyserver.exe",
               "pid": "3204",
               "pidStarttime": "2024-04-26T17:34:17.273000Z",
               "realUser": null,
               "storyline": "74890F57CA4DC0BB",
               "subsystem": "sys_win32",
               "uniqueId": "73890F57CA4DC0BB",
               "user": "NT AUTHORITY\\SYSTEM"
           },
           "targetProcessInfo": {
               "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
               "tgtFileHashSha1": null,
               "tgtFileHashSha256": null,
               "tgtFileId": null,
               "tgtFileIsSigned": "signed",
               "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
               "tgtFileOldPath": null,
               "tgtFilePath": null,
               "tgtProcCmdLine": null,
               "tgtProcImagePath": null,
               "tgtProcIntegrityLevel": "unknown",
               "tgtProcName": null,
               "tgtProcPid": null,
               "tgtProcSignedStatus": null,
               "tgtProcStorylineId": null,
               "tgtProcUid": null,
               "tgtProcessStartTime": "1970-01-01T00:00:00Z"
           }
       }
輸出訊息

「Update Alert」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully updated alert with ID ALERT_ID in SentinelOne. 動作成功。
Error executing action "Update Alert". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「更新快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新分析師判定結果

使用「Update Analyst Verdict」動作，更新 SentinelOne 中威脅的分析師判定結果。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Analyst Verdict」(更新分析師判定結果) 動作需要下列參數：

參數 說明
Threat ID

這是必填欄位。

列出威脅 ID 並以半形逗號分隔，更新分析師判定結果。
Analyst Verdict

這是必填欄位。

分析師判定結果。

可能的值如下：

  • True Positive
  • False Positive
  • Suspicious
  • Undefined

預設值為 Undefined。

動作輸出內容

「Update Analyst Verdict」(更新分析師判定結果) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Update Analyst Verdict」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully updated analyst verdict for the following threats in SentinelOne: THREAT_ID.

Action wasn't able to update analyst verdict for the following threats in SentinelOne: THREAT_ID.

Action wasn't able to update analyst verdict for the provided threats in SentinelOne.

 動作成功。
Error executing action "Update Analyst Verdict". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Update Analyst Verdict」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新裝置控制規則

使用「Update Device Control Rule」動作，更新 SentinelOne 中的裝置控制規則。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「更新裝置控制規則」動作需要下列參數：

參數 說明
Rule ID

這是必填欄位。

要更新的規則 ID。
Rule JSON

這是必填欄位。

代表裝置控制規則設定的 JSON 物件。

預設值如下：

   {
        "ruleName": "String",
        "interface": "String",
        "ruleType": "String",
        "action": "String",
        "accessPermission": "String",
        "deviceClass": "String",
        "status": "String"
    }

動作輸出內容

「更新裝置控制規則」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「更新裝置控制規則」動作時，收到的 JSON 結果輸出內容：

{
    "data": {
        "accessPermission": "Read-Write",
        "action": "Allow",
        "bluetoothAddress": null,
        "createdAt": "2024-01-01T00:00:00.000000Z",
        "creator": "[USERNAME] ([EMAIL_ADDRESS])",
        "creatorId": "[CREATOR_ID]",
        "deviceClass": "FFh",
        "deviceClassName": "FF Vendor Specific",
        "deviceId": null,
        "deviceInformationServiceInfoKey": null,
        "deviceInformationServiceInfoValue": null,
        "deviceName": null,
        "editable": true,
        "gattService": null,
        "id": "[RULE_ID]",
        "interface": "USB",
        "manufacturerName": null,
        "minorClasses": null,
        "order": 1,
        "productId": null,
        "ruleName": "Test",
        "ruleType": "class",
        "scope": "account",
        "scopeId": "[SCOPE_ID]",
        "scopeName": "[SCOPE_NAME]",
        "status": "Disabled",
        "uid": null,
        "updatedAt": "2024-01-01T00:00:00.000000Z",
        "vendorId": null,
        "version": null
    }
}
輸出訊息

Update Device Control Rule 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully updated a Device Control Rule with ID DEVICE_CONTROL_ID in SentinelOne.

 動作成功。
Error executing action "Update Device Control Rule". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「更新裝置控制規則」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

更新事件狀態

使用「Update Incident Status」動作，在 SentinelOne 中更新威脅事件狀態。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Incident Status」(更新事件狀態) 動作需要下列參數：

參數 說明
Threat ID

這是必填欄位。

列出威脅 ID 並以半形逗號分隔，用於更新事件狀態。
Status

這是必填欄位。

事件狀態。

可能的值如下：

  • Unresolved
  • In Progress
  • Resolved

預設值為 Resolved。

動作輸出內容

「Update Incident Status」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「更新事件狀態」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully updated incident status for the following threats in SentinelOne: THREAT_ID.

Action wasn't able to update incident status for the following threats in SentinelOne: THREAT_ID.

Action wasn't able to update incident status for the provided threats in SentinelOne.

 動作成功。
Error executing action "Update Incident Status". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Update Incident Status」(更新事件狀態) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

SentinelOne - 警告連接器

使用 SentinelOne - Alerts 連接器，擷取 SentinelOne 的警告。

連接器可讓您根據 ruleInfo.name 參數，使用動態清單篩選快訊。這份清單的行為取決於 Use dynamic list as a blocklist 參數。

  • 如果未選取 Use dynamic list as a blocklist：

    動態清單會做為許可清單。連接器只會擷取 ruleInfo.name 與清單中值相符的快訊。如果清單空白，則不會擷取任何快訊。

  • 如果選取「Use dynamic list as a blocklist」：

    動態清單會做為封鎖清單。連接器會擷取所有快訊，但 ruleInfo.name 與清單中的值相符的快訊除外。如果清單空白，系統會擷取所有快訊。

連接器參數

SentinelOne - Alerts Connector 需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。

預設值為 Product Name。
Event Field Name

這是必填欄位。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 ruleInfo_name。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。

預設值為 ""。
Environment Regex Pattern

選填。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。

預設值為 .*。
PythonProcessTimeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root

這是必填欄位。

SentinelOne 執行個體的 API 根目錄。
API Token

這是必填欄位。

SentinelOne API 權杖。
Status Filter

選填。

以半形逗號分隔的快訊狀態清單，用於擷取。

可能的值如下：

  • Unresolved
  • In Progress
  • Resolved

如未提供值，連接器會擷取狀態為 Unresolved 和 In Progress 的快訊。
Case Name Template

選填。

用於定義自訂案件名稱的範本。連接器會將 custom_case_name 鍵新增至事件。

您可以使用 FIELD_NAME 格式的預留位置，系統會根據第一個事件的字串值填入這些預留位置。

範例：Phishing - EVENT_MAILBOX。
Alert Name Template

選填。

定義快訊名稱的範本。

您可以使用 FIELD_NAME 格式的預留位置，系統會根據第一個事件的字串值填入這些預留位置。

範例：Phishing - EVENT_MAILBOX。

如未提供值或範本無效，連接器會使用預設快訊名稱。
Lowest Severity To Fetch

選填。

要擷取的快訊最低嚴重性。

如未設定這項參數，連接器會擷取所有嚴重性等級的警告。

可能的值如下：

  • Info
  • Low
  • Medium
  • High
  • Critical

如未提供值，系統會擷取所有嚴重性。
Max Hours Backwards

這是必填欄位。

擷取目前時間前幾小時的快訊。

預設值為 24。
Max Alerts To Fetch

這是必填欄位。

每次連接器疊代處理的警告數量上限。

最大值為 100。

預設值為 10。
Use dynamic list as a blocklist

這是必填欄位。

如果選取，連接器會將動態清單做為封鎖清單。

預設為停用。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。

預設為停用。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 SentinelOne 伺服器時驗證 SSL 憑證。

(預設為啟用)。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。

連接器規則

連接器支援 Proxy。

快訊結構

下表說明 SentinelOne 警告欄位與 Google SecOps 警告欄位的對應關係：

Siemplify 警告欄位 SentinelOne 警告欄位 (API 的 JSON 鍵)
SourceSystemName 由架構填入。
TicketId alertInfo.alertId
DisplayId SentinelOne_Alert_{alertInfo.alertId}
Name SentinelOne Alert: {ruleInfo.name}
Reason ruleInfo.s1q1
Description ruleInfo.description
DeviceVendor 硬式編碼：SentinelOne
DeviceProduct 備用值：Alerts
Priority 對應自 ruleInfo.severity
RuleGenerator SentinelOne Alert: {ruleInfo.name}
SourceGroupingIdentifier ruleInfo.name
Severity 對應自 ruleInfo.severity
Risk Score 嚴重程度的整數表示法
StartTime 從alertInfo.createdAt轉換
EndTime 從alertInfo.createdAt轉換
Siemplify Alert - Extensions 不適用
Siemplify Alert - Attachments 不適用

連接器事件

以下是連接器事件範例：

{
    "agentDetectionInfo": {
        "accountId": "1727154225040260868",
        "machineType": "server",
        "name": "windows-server-20230913",
        "osFamily": "windows",
        "osName": "Windows Server 2019 Datacenter",
        "osRevision": "17763",
        "siteId": "1727154229628829519",
        "uuid": "da943d26318e46a8b3f6fc480c02636d",
        "version": "23.1.2.400"
    },
    "agentRealtimeInfo": {
        "id": "1896661984701699721",
        "infected": true,
        "isActive": true,
        "isDecommissioned": false,
        "machineType": "server",
        "name": "windows-server-20230913",
        "os": "windows",
        "uuid": "da943d26318e46a8b3f6fc480c02636d"
    },
    "alertInfo": {
        "alertId": "1947486263439640318",
        "analystVerdict": "Undefined",
        "createdAt": "2024-05-11T00:27:23.135000Z",
        "dnsRequest": null,
        "dnsResponse": null,
        "dstIp": null,
        "dstPort": null,
        "dvEventId": "01HXJGR13VFVQAHW6TPDZ78WSX_35",
        "eventType": "REGVALUEMODIFIED",
        "hitType": "Events",
        "incidentStatus": "Unresolved",
        "indicatorCategory": null,
        "indicatorDescription": null,
        "indicatorName": null,
        "isEdr": true,
        "loginAccountDomain": null,
        "loginAccountSid": null,
        "loginIsAdministratorEquivalent": null,
        "loginIsSuccessful": null,
        "loginType": null,
        "loginsUserName": null,
        "modulePath": null,
        "moduleSha1": null,
        "netEventDirection": null,
        "registryKeyPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryOldValue": "0060030100000000",
        "registryOldValueType": "BINARY",
        "registryPath": "MACHINE\\SYSTEM\\ControlSet001\\Services\\CSAgent\\Sim\\NT",
        "registryValue": "0070030100000000",
        "reportedAt": "2024-05-11T00:27:33.873767Z",
        "source": "STAR",
        "srcIp": null,
        "srcMachineIp": null,
        "srcPort": null,
        "tiIndicatorComparisonMethod": null,
        "tiIndicatorSource": null,
        "tiIndicatorType": null,
        "tiIndicatorValue": null,
        "updatedAt": "2025-05-12T18:41:08.366615Z"
    },
    "containerInfo": {
        "id": null,
        "image": null,
        "labels": null,
        "name": null
    },
    "kubernetesInfo": {
        "cluster": null,
        "controllerKind": null,
        "controllerLabels": null,
        "controllerName": null,
        "namespace": null,
        "namespaceLabels": null,
        "node": null,
        "pod": null,
        "podLabels": null
    },
    "ruleInfo": {
        "description": null,
        "id": "1763599692710649014",
        "name": "Registry Value Modified",
        "queryLang": "1.0",
        "queryType": "events",
        "s1ql": "EventType = \"Registry Value Modified\"",
        "scopeLevel": "account",
        "severity": "Critical",
        "treatAsThreat": "UNDEFINED"
    },
    "sourceParentProcessInfo": {
        "commandline": "C:\\Windows\\system32\\services.exe",
        "effectiveUser": null,
        "fileHashMd5": "0d464c4bf9d85412d6ef15eea3a91e72",
        "fileHashSha1": "582a7cbf0bf13889080900cd7bea368bf77f8faf",
        "fileHashSha256": "243e370c279b3b8062e5dd81d8df539705397cc68472168251ed54134b13d70b",
        "filePath": "C:\\Windows\\System32\\services.exe",
        "fileSignerIdentity": "MICROSOFT WINDOWS PUBLISHER",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "services.exe",
        "pid": "896",
        "pidStarttime": "2024-04-26T17:33:41.962000Z",
        "realUser": null,
        "storyline": "DD880F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "DC880F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "sourceProcessInfo": {
        "commandline": "\"C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe\"",
        "effectiveUser": null,
        "fileHashMd5": "1d6ec27dc8bbf1509a4ebf81b9ea6c26",
        "fileHashSha1": "dca4478ce7db9f98b930b12096205be8a587620e",
        "fileHashSha256": "c043dfeafb79b60018f3098f5908eb57b2fe84dbdfde0c83e613b4b42d7255c6",
        "filePath": "C:\\Program Files\\Palo Alto Networks\\Traps\\cyserver.exe",
        "fileSignerIdentity": "PALO ALTO NETWORKS (NETHERLANDS) B.V.",
        "integrityLevel": "system",
        "loginUser": null,
        "name": "cyserver.exe",
        "pid": "3204",
        "pidStarttime": "2024-04-26T17:34:17.273000Z",
        "realUser": null,
        "storyline": "74890F57CA4DC0BB",
        "subsystem": "sys_win32",
        "uniqueId": "73890F57CA4DC0BB",
        "user": "NT AUTHORITY\\SYSTEM"
    },
    "targetProcessInfo": {
        "tgtFileCreatedAt": "1970-01-01T00:00:00Z",
        "tgtFileHashSha1": null,
        "tgtFileHashSha256": null,
        "tgtFileId": null,
        "tgtFileIsSigned": "signed",
        "tgtFileModifiedAt": "1970-01-01T00:00:00Z",
        "tgtFileOldPath": null,
        "tgtFilePath": null,
        "tgtProcCmdLine": null,
        "tgtProcImagePath": null,
        "tgtProcIntegrityLevel": "unknown",
        "tgtProcName": null,
        "tgtProcPid": null,
        "tgtProcSignedStatus": null,
        "tgtProcStorylineId": null,
        "tgtProcUid": null,
        "tgtProcessStartTime": "1970-01-01T00:00:00Z"
    }
}

SentinelOne - Threats 連接器

使用 SentinelOne - Threats Connector 擷取 SentinelOne 的威脅。

連接器可讓您根據動態清單篩選快訊。

SentinelOne - Threats Connector 會使用 alert_name 參數篩選快訊。

如果選取 Use whitelist as a blacklist 參數，連接器只會擷取 alert_name 與動態清單中任何值都不相符的快訊。

如果未在動態清單中設定 alert_name 值，連接器會擷取所有快訊。

如未選取 Use whitelist as a blacklist 參數，連接器只會擷取 alert_name 與動態清單中的值相符的快訊。

連接器輸入

SentinelOne - Threats 連接器需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值 siemplify_event 會解析為程式碼參照的備用值。根據預設，這個參數的任何無效輸入內容都會解析為備用值。

預設值為 siemplify_event。
Event Field Name

這是必填欄位。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 threatinfo_classification。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。

預設值為 ""。
Environment Regex Pattern

選填。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Script Timeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root

這是必填欄位。

SentinelOne API 根。

預設值為 https://usea1-partners.sentinelone.net/。
API Token

這是必填欄位。

SentinelOne API 權杖。
API Version

選填。

連接器要使用的 SentinelOne API 版本。

預設值為 2.0。
Fetch Max Days Backwards

選填。

要擷取幾天前的快訊。

這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。

預設值為 1。
Max Alerts Per Cycle

選填。

每次連接器疊代處理的警告數量上限。

預設值為 25。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。

預設為未選取。
Use whitelist as a blacklist

這是必填欄位。

如果選取，連接器會將動態清單做為封鎖清單。

預設為未選取。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 SentinelOne 伺服器時驗證 SSL 憑證。

預設為選取。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。
Event Object Type Filter

選填。

以半形逗號分隔的事件物件清單，會與威脅資訊一併傳回。

連接器會將這個參數做為篩選器，只傳回特定物件，例如 process, ip, indicators。

如未設定值，連接器會擷取所有事件物件類型。
Event Type Filter

選填。

以半形逗號分隔的事件類型清單，用於傳回威脅資訊。

連接器會將這個參數做為篩選器，只傳回特定事件類型，例如 Process Creation, Behavioral Indicators。
Max Events To Return

選填。

每個威脅要傳回的事件數量。

最大值為 199。

預設值為 199。

連接器規則

連接器支援 Proxy。

連接器支援許可清單和封鎖清單。

連接器事件

連接器事件範例如下：

{
    "data": [
        {
            "accountId": "ACCOUNT_ID",
            "accountName": "SentinelOne",
            "agentComputerName": "desktop-example",
            "agentDomain": "WORKGROUP",
            "agentId": "AGENT_ID",
            "agentInfected": false,
            "agentIp": "203.0.113.180",
            "agentIsActive": false,
            "agentIsDecommissioned": true,
            "agentMachineType": "desktop",
            "agentNetworkStatus": "connecting",
            "agentOsType": "windows",
            "agentVersion": "3.6.6.104",
            "annotation": null,
            "annotationUrl": null,
            "automaticallyResolved": false,
            "browserType": null,
            "certId": "",
            "classification": "generic.heuristic",
            "classificationSource": "Cloud",
            "classifierName": "MANUAL",
            "cloudVerdict": "provider_unknown",
            "collectionId": "COLLECTION_ID",
            "commandId": "835975626369402963",
            "createdAt": "2020-03-02T21:30:13.014874Z",
            "createdDate": "2020-03-02T21:30:12.748000Z",
            "description": "malware detected - not mitigated yet",
            "engines": [
                "manual"
            ],
            "fileContentHash": "fc5a9b5e806f35a7b285e012ef8df3f06f399492",
            "fileCreatedDate": null,
            "fileDisplayName": "example.exe",
            "fileExtensionType": "Executable",
            "fileIsDotNet": null,
            "fileIsExecutable": true,
            "fileIsSystem": false,
            "fileMaliciousContent": null,
            "fileObjectId": "99FF941D82E382D1",
            "filePath": "\\Device\\HarddiskVolume3\\Program Files\\example.exe",
            "fileSha256": null,
            "fileVerificationType": "NotSigned",
            "fromCloud": false,
            "fromScan": false,
            "id": "ID",
            "indicators": [],
            "initiatedBy": "dvCommand",
            "initiatedByDescription": "Deep Visibility Command",
            "initiatingUserId": "INITIATING_USER_ID",
            "isCertValid": false,
            "isInteractiveSession": false,
            "isPartialStory": false,
            "maliciousGroupId": "MALICED_GROUP_ID",
            "maliciousProcessArguments": "-ServerName:App.Example.mca",
            "markedAsBenign": false,
            "mitigationMode": "protect",
            "mitigationReport": {
                "kill": {
                    "status": "success"
                },
                "network_quarantine": {
                    "status": null
                },
                "quarantine": {
                    "status": "success"
                },
                "remediate": {
                    "status": null
                },
                "rollback": {
                    "status": null
                },
                "unquarantine": {
                    "status": null
                }
            },
            "mitigationStatus": "mitigated",
            "publisher": "",
            "rank": 2,
            "resolved": true,
            "siteId": "SITE_ID",
            "siteName": "Example.com",
            "threatAgentVersion": "3.6.6.104",
            "threatName": "example.exe",
            "updatedAt": "2020-04-02T14:51:21.901754Z",
            "username": "DESKTOP-example\\username",
            "whiteningOptions": [
                "hash"
            ]
        }
    ],
    "pagination": {
        "nextCursor": "VALUE",
        "totalItems": 161
    }
}

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

SentinelOneV2 - 同步處理快訊

使用 SentinelOneV2 - Sync Alerts 工作，在 Google SecOps 和 SentinelOne 之間雙向同步快訊狀態和分析師判定結果。

工作要求

為確保工作能識別及同步處理正確的資料，必須符合下列條件：

  • Google SecOps 案件必須包含 SentinelOne Alert 標記。

  • 如果快訊並非來自 SentinelOne - Alerts Connector，您必須在快訊中新增 Alert_ID 內容值，工作才能識別正確的 SentinelOne 記錄。

作業邏輯

這項工作會分兩個階段執行同步處理。先從 Google SecOps 到 SentinelOne，再從 SentinelOne 到 Google SecOps。

在 SentinelOne 關閉案件時，適用下列邏輯：

  • 如果 Google SecOps 結案原因為 Malicious，SentinelOne 判定會設為 True Positive。

  • 如果 Google SecOps 結案原因為 Not Malicious，SentinelOne 判定會設為 False Positive。

  • 如果是其他關閉原因，SentinelOne 會將快訊標示為 Resolved，且不會設定判定結果。

  • 如果 SentinelOne 警告標示為 undefined，對應的 Google SecOps 案件會關閉，原因為 Inconclusive。

工作參數

SentinelOne V2 - Sync Alerts 工作需要下列參數：

參數 說明
Environment Name

選填。

要同步處理快訊的環境名稱。

預設值為 Default Environment。
API Root

這是必填欄位。

SentinelOne 執行個體的 API 根目錄。
API Token

這是必填欄位。

用於向 SentinelOne 驗證的 API 權杖。
Max Hours Backwards

這是必填欄位。

在第一次工作疊代期間，同步處理目前時間之前幾小時的警示。

預設值為 24。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 SentinelOne 伺服器時驗證 SSL 憑證。

(預設為啟用)。

SentinelOneV2 - 同步威脅

使用 SentinelOneV2 - Sync Threats 工作，在 Google SecOps 警示和 SentinelOne 威脅之間雙向同步註解和狀態。

工作要求

為確保工作能識別及同步處理正確的資料，必須符合下列條件：

  • Google SecOps 案件必須包含 SentinelOne Threat 標記。

  • 如果快訊並非來自 SentinelOne - Threats Connector，您必須在快訊中新增 Threat_ID 內容值，工作才能識別正確的 SentinelOne 記錄。

作業邏輯

這項工作會分兩個階段同步處理資料。第一階段會將 SentinelOne 威脅資料同步至 Google SecOps 警告。第二階段會將 Google SecOps 警示資料同步至 SentinelOne 威脅。

工作會使用 Max Hours Backwards 進行初始疊代。對於所有後續要求，工作會使用上次處理的快訊 start_time。

留言同步邏輯

這項工作會使用 last_update_time 篩選留言，並防止重複項目。同步註解會使用下列結構：

  • Sent from SentinelOne: SentinelOne {threat_id}: {comment}
  • 由 Google SecOps 傳送： Google SecOps {case_id}: {comment}
狀態和判定結果對應

在 Google SecOps 關閉快訊後，工作會根據下列對應關係更新 SentinelOne 威脅：

  • 如果關閉「Reason」為 Malicious，SentinelOne 狀態會設為 Resolved，「Verdict」則設為 True Positive。

  • 如果關閉「Reason」為 Not Malicious，SentinelOne 狀態會設為 Resolved，「Verdict」則設為 False Positive。

  • 如果是其他結案原因，SentinelOne 狀態會設為 Resolved，不含判定結果。

工作參數

SentinelOneV2 - Sync Threats 工作需要下列參數：

參數 說明
Environment Name

這是必填欄位。

工作搜尋威脅的環境名稱。

預設值為 Default Environment。
API Root

這是必填欄位。

SentinelOne 執行個體的 API 根目錄。
API Token

這是必填欄位。

用於向 SentinelOne 驗證的 API 權杖。
Max Hours Backwards

這是必填欄位。

在第一次工作疊代期間，同步處理威脅的目前時間前的小時數。

預設值為 24。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 SentinelOne 伺服器時驗證 SSL 憑證。

(預設為啟用)。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。