Trend Micro Apex Central

本文說明如何將 Trend Micro Apex Central 與 Google SecOps 整合。

如何取得 API 金鑰

如要進一步瞭解如何取得 API 金鑰，請參閱「新增應用程式」。

在 Google Security Operations 中設定 Trend Micro Apex Central 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 根層級 字串 http://x.x.x.x 是 Trend Micro Apex Central 執行個體的 API 根目錄。
應用程式 ID 字串 不適用 是 Trend Micro Apex Central 執行個體的應用程式 ID。
API 金鑰 密碼 不適用 是 Trend Micro Apex Central 執行個體的 API 金鑰。
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認與 Trend Micro Apex Central 伺服器連線的 SSL 憑證有效。

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 Trend Micro Apex Central 的連線能力。

參數

不適用

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

如果成功：
print Successfully connected to the Trend Micro Apex Central server with the provided connection parameters!

失敗：無法連線至 Trend Micro Apex Central 伺服器！錯誤：{0}".format(exception.stacktrace)

 一般

充實實體

說明

運用 Trend Micro Apex Central 的資訊擴充實體。支援的實體：IP 位址、MAC 位址、主機名稱、網址、雜湊。

參數

entity
名稱 預設值 為必填項目 說明
建立端點洞察 是 否 如果啟用，這項動作會建立深入分析，其中包含與擴充端點相關的資訊。
建立 UDSO 洞察 是 否 如果啟用，動作會建立洞察，其中包含與 UDSO 相符的實體相關資訊。
標示 UDSO 實體 是 否如果啟用，系統會將使用者定義可疑物件清單中的所有實體標示為可疑。
擷取網域 否 否 如果啟用，動作會擷取網址實體的網域部分，並用於充實。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • MAC 位址
  • 主機名稱
  • 網址
  • 雜湊

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
實體資料充實

主機、IP、MAC

補充資料欄位名稱 邏輯 - 應用時機
ip_address 如果 JSON 結果中存在，則傳回。
mac_address 如果 JSON 結果中存在，則傳回。
主機名稱 如果 JSON 結果中存在，則傳回。
has_endpoint_sensor 如果 JSON 結果中存在，則傳回。
isolation_status 如果 JSON 結果中存在，則傳回。
ad_domain 如果 JSON 結果中存在，則傳回。

網址、雜湊、IP

補充資料欄位名稱 邏輯 - 應用時機
類型 如果 JSON 結果中存在，則傳回。
附註 如果 JSON 結果中存在，則傳回。
動作 如果 JSON 結果中存在，則傳回。
expiration 如果 JSON 結果中存在，則傳回。
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止應對手冊執行作業：

  • if successful for 1 entity - 已成功從 Trend Micro Apex Central 擷取下列實體的資訊：{\n entity.identifier}

  • 如果 1 個實體未成功 - 動作無法從 Trend Micro Apex Central 擷取下列實體的資訊：{\n entity.identifier}

  • not successful for all -：未成功使用 Trend Micro Apex Central 的資訊充實任何實體

動作應失敗並停止執行應對手冊：

  • 嚴重錯誤，憑證無效，API 根目錄 - 執行「擴充實體」動作時發生錯誤。原因：{error traceback}
 一般
案件總覽表格

名稱：找到的端點

資料欄：

IP 位址

MAC 位址

主機名稱

有端點感應器

隔離狀態

AD 網域

 (主機、IP、MAC)
案件總覽表格

名稱：Found UDSO

資料欄：

實體

注意事項

動作

 (網址、雜湊、IP)

建立檔案 UDSO

說明

根據 Trend Micro Apex Central 中的檔案，建立使用者定義的可疑物件。

已知問題

處理 .eml 檔案時，這項動作不會傳回 JSON 結果。

參數

名稱 預設值 為必填項目 說明
檔案路徑 不適用 是 指定用於建立 UDSO 的檔案路徑清單，並以半形逗號分隔。
動作

封鎖

可能的值：

封鎖

記錄

隔離

 是 指定要對 UDSO 套用的動作。
注意事項 不適用 否 為提供的 UDSO 指定其他附註。警告：附註不得超過 256 個字元。
到期時間 (天) 不適用 否 指定 UDSO 應在幾天後到期。如未提供，UDSO 則永不過期。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
案件 成功 失敗 訊息
如果 1 個檔案成功 true false 已成功根據 Trend Micro Apex Central 中的下列檔案建立 UDSO：{\n file paths}
如果 1 個實體未成功 true false 動作無法根據 Trend Micro Apex Central 中的下列檔案建立 UDSO：{\n file paths}
如果已存在 true false Trend Micro Apex Central 已有下列 UDSO：{\n file paths}
並非對所有人都有效 false false Trend Micro Apex Central 中未建立任何 UDSO。
嚴重錯誤、憑證無效、API 根 false true 執行「建立檔案 UDSO」動作時發生錯誤。原因：{error traceback}
如果附註 > 256 個字元 false true 執行「建立檔案 UDSO」動作時發生錯誤。原因：附註不得超過 256 個半形字元。

建立實體 UDSO

說明

根據 Trend Micro Apex Central 中的實體，建立使用者定義的可疑物件。支援的實體：IP、網址、雜湊。

參數

名稱 預設值 為必填項目 說明
動作

封鎖

可能的值：

封鎖

記錄

 是 指定要對 UDSO 套用的動作。
注意事項 不適用 否 為提供的 UDSO 指定其他附註。警告：附註不得超過 256 個字元。
到期時間 (天) 不適用 否 指定 UDSO 應在幾天後到期。如未提供，UDSO 則永不過期。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 網址
  • 雜湊

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
案件 成功 失敗 訊息
如果 1 個實體成功 true false 已成功根據 Trend Micro Apex Central 中的下列實體建立 UDSO：{\n entity.identifier}
如果 1 個實體未成功 true false 動作無法根據 Trend Micro Apex Central 中的下列實體建立 UDSO：{\n entity.identifier}
如果已存在 true false Trend Micro Apex Central 中已存在下列 UDSO：{\n entity.identifier}
並非對所有人都有效 false false Trend Micro Apex Central 中未建立任何 UDSO。
嚴重錯誤、憑證無效、API 根 false true 執行「建立實體 UDSO」動作時發生錯誤。原因：{error traceback}
如果附註 > 256 個字元 false true 執行「建立實體 UDSO」動作時發生錯誤。原因：附註不得超過 256 個半形字元。

取消隔離端點

說明

在 Trend Micro Apex Central 中取消隔離端點。支援的實體：IP、Mac、主機名稱。

參數

名稱 預設值 為必填 說明
不適用 不適用 不適用 不適用

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • MAC 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
案件 成功 失敗 訊息
如果 1 個實體成功 true false 已成功在 Trend Micro Apex Central 中取消隔離下列端點：{\n entity.identifier}
如果 1 個實體未成功 true false 動作無法在 Trend Micro Apex Central 中取消隔離下列端點：{\n entity.identifier}
並非對所有人都有效 false false Trend Micro Apex Central 中沒有任何端點解除隔離。
非同步訊息 false false 已對下列端點啟動取消隔離程序：{entity.identifier}。正在等待解除隔離完成。
逾時訊息 false false

動作已啟動取消隔離，但下列端點仍待處理：{entity.identifier}。

建議您在 IDE 中延長逾時時間。
嚴重錯誤、憑證無效、API 根 false true 執行「取消隔離端點」動作時發生錯誤。原因：{error traceback}

隔離端點

說明

在 Trend Micro Apex Central 中隔離端點。支援的實體：IP、Mac、主機名稱。

參數

名稱 預設值 為必填 說明
不適用 不適用 不適用 不適用

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • MAC 位址
  • 主機名稱

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
案件 成功 失敗 訊息
如果 1 個實體成功 true false 已成功在 Trend Micro Apex Central 中隔離下列端點：{\n entity.identifier}
如果 1 個實體未成功 true false 動作無法在 Trend Micro Apex Central 中隔離下列端點：{\n entity.identifier}
並非對所有人都有效 false false Trend Micro Apex Central 中沒有任何端點遭到隔離。
非同步訊息 false false 已對下列端點啟動端點隔離：{entity.identifier}。正在等待隔離作業完成。
逾時訊息 true false

已啟動隔離動作，但下列端點仍處於待處理狀態：{entity.identifier}。

建議您在 IDE 中延長逾時時間。
嚴重錯誤、憑證無效、API 根 false true 執行「隔離端點」動作時發生錯誤。原因：{error traceback}

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。