Symantec Endpoint Security Complete Cloud

本文件提供 Symantec Endpoint Security Complete Cloud 與 Google SecOps 整合的指南。

應用實例

執行充實動作。

在 Google Security Operations 中設定 Symantec Endpoint Security Complete Cloud 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 根層級 字串 https://api.sep.securitycloud.symantec.com 是 Symantec Endpoint Security Complete API 根
用戶端 ID 字串 不適用 是 Symantec Endpoint Security Complete 用戶端 ID
用戶端密鑰 密碼 是 Symantec Endpoint Security Complete 用戶端密鑰
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認 Symantec Endpoint Security Complete 伺服器連線的 SSL 憑證有效。

動作

乒乓

說明

使用 Google SecOps Content Hub 整合設定頁面提供的參數，測試與 Symantec Endpoint Security Complete 的連線能力。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化動作：
如果成功：「已成功使用提供的連線參數連線至 Symantec Endpoint Security Complete 伺服器！」

如果動作失敗，應停止執行應對手冊：
如果失敗：「無法連線至 Symantec Endpoint Security Complete 伺服器！錯誤為 {0}".format(exception.stacktrace)

 一般

充實實體

說明

使用 Symantec Endpoint Security Complete 的資訊充實實體。支援的實體：主機名稱、雜湊、網址和 IP 位址。僅支援 SHA256 雜湊。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
裝置群組 字串 預設 是 指定要用於擷取端點資訊的裝置群組名稱。
建立端點洞察 核取方塊 已勾選 否 如果啟用，動作會建立包含端點相關資訊的洞察。
建立 IOC 洞察 核取方塊 已勾選 否 如果啟用，動作會建立含有 IOC 擴充資訊的深入分析。

執行日期

這項動作會對下列實體執行：

  • 主機名稱
  • 雜湊
  • 網址
  • IP 位址

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果 - 端點
{
    "id": "x10bQZJsRi6z87se02g3Vw",
    "os": {
        "ver": "10.0.18363",
        "name": "Windows 10 Enterprise Edition",
        "type": "WINDOWS_WORKSTATION",
        "64_bit": true,
        "lang": "en",
        "major_ver": 10,
        "minor_ver": 0,
        "sp": 0,
        "tz_offset": -480,
        "user": "Admin",
        "user_domain": "LocalComputer",
        "vol_avail_mb": 5443,
        "vol_cap_mb": 30138
    },
    "name": "DESKTOP-8P0TH6Q",
    "host": "DESKTOP-8P0TH6Q",
    "domain": "WORKGROUP",
    "created": "2020-11-19T12:24:23.422Z",
    "modified": "2021-03-05T10:39:03.884Z",
    "adapters": [
        {
            "addr": "2001:db8::",
            "category": "Public",
            "ipv4Address": "192.0.2.182",
            "ipv4_gw": "192.0.2.1",
            "ipv4_prefix": 24,
            "ipv6Address": "2001:db8:1:1:1:1:1:1",
            "ipv6_gw": "192.0.2.1",
            "ipv6_prefix": 64,
            "mask": "255.255.255.0"
        }
    ],
    "device_status": "SECURE",
    "parent_device_group_id": "rujWDk9WTcKsnLkCeZKl7A",
    "products": [
        {
            "name": "Symantec Endpoint Protection",
            "product_status": "SECURE",
            "version": "14.3.3384.1000",
            "agent_status": "ONLINE",
            "last_connected_time": "2021-03-05T10:39:23.271Z",
            "features": [
                {
                    "name": "APP_ISOLATION",
                    "state": "ENABLED",
                    "feature_status": "SECURE",
                    "engine_version": "6.7.0.2033"
                },
                {
                    "name": "FIREWALL",
                    "state": "ENABLED",
                    "feature_status": "SECURE"
                }
            ]
        }
    ]
}
JSON 結果 - IOC
{
    "reputation": "BAD",
    "prevalence": "LessThanFifty",
    "firstSeen": "2021-04-01",
    "lastSeen": "2021-04-03",
    "targetOrgs": {
        "topCountries": [
            "us",
            "cm",
            "sg"
        ],
        "topIndustries": [
            "financial services"
        ]
    },
    "state": "blocked",
    "process_chain": [
        {
            "parent": {
                "parent": {
                    "file": "6a671b92a69755de6fd063fcbe4ba926d83b49f78c42dbaeed8cdb6bbc57576a",
                    "processName": "explorer.exe"
                },
                "file": "f686f2ff41923bb5c106c76d5f3df30146eb37683b81c4a57110dcc63032526a",
                "processName": "chrome.exe"
            }
        }
    ]
}
實體強化 - 端點
補充資料欄位名稱 邏輯 - 應用時機
id JSON 格式 (如有)
os JSON 格式 (如有)
主機名稱 JSON 格式 (如有)
網域 JSON 格式 (如有)
ips JSON 格式 (如有)
mac
狀態 JSON 格式 (如有)
連結 JSON 格式 (如有)
實體擴充 - IOC
補充資料欄位名稱 邏輯 - 應用時機
信譽 JSON 格式 (如有)
普及度 JSON 格式 (如有)
國家/地區 JSON 格式 (如有)
first_seen JSON 格式 (如有)
last_seen JSON 格式 (如有)
產業 JSON 格式 (如有)
最終的隱藏狀態 JSON 格式 (如有)
案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化動作：
if enriched some(is_success = true): "Successfully enriched the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier)

如果未擴充部分實體 (is_success = true)："Action wasn't able to enrich the following entities using Symantec Endpoint Security Complete:\n".format(entity.identifier)

如果未擴充所有實體 (is_success = false)：「未擴充任何實體」。

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『充實實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果裝置群組無效：「Error executing action "Enrich Entities". 原因：找不到指定的裝置群組。請檢查拼字。

 一般
實體表格 **** 實體

列出裝置群組

說明

列出 Symantec Endpoint Security Complete 中可用的裝置群組。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
篩選邏輯 DDL

等於

DDL

等於

包含

 否 指定要套用的篩選器邏輯。
篩選器值 字串 不適用 否 指定篩選條件應使用的值。
要傳回的群組數量上限 整數 50 否 指定要傳回的群組數量。預設值：50。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：
如果狀態碼為 200 且有可用資料 (is_success = true)：「已成功傳回 Symantec Endpoint Security Complete 中的可用裝置群組。」

如果狀態碼為 200 且沒有可用資料 (is_success=false)：「在 Symantec Endpoint Security Complete 中，找不到符合指定條件的裝置群組。」

如果發生重大錯誤 (例如憑證錯誤、無法連線至伺服器等)，動作應失敗並停止執行自動化動作：
「執行『列出裝置群組』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

名稱：可用的裝置群組

資料欄：

ID

名稱

 一般

說明

從 Symantec Endpoint Security Complete 取得與實體相關的 IOC。支援的實體：雜湊、網址和 IP 位址。僅支援 SHA256 雜湊。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
來源篩選器 CSV

byThreatActor,
byProcessChain,
bySignature,
bySampleTraits,
byNetworkingTrait,
bySimilarIncidents

 否

指定來源篩選器。如未提供，動作會根據所有來源傳回相關實體。
可能的值：

byThreatActor、byProcessChain、bySignature、bySampleTraits、byNetworkingTrait、

bySimilarIncidents

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • 網址
  • IP 位址

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "total": 1,
    "device_groups": [
        {
            "id": "rujWDk9WTcKsnLkCeZKl7A",
            "name": "Default",
            "created": "2020-11-19T02:17:15.236Z",
            "modified": "2020-11-19T02:17:17.482Z",
            "parent_id": ""
        }
    ]
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化程序：
如果 200 (is_success = true)：「已成功從 Symantec Endpoint Security Complete 傳回所提供實體的相關 IOC。」

如果找不到 IOC (is_success = false)：「找不到與 Symantec Endpoint Security Complete 所提供實體相關的 IOC。」

動作應失敗並停止執行應對手冊：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關 IOC』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。