將 Trend Vision One 與 Google SecOps 整合

本文說明如何將 Trend Vision One 與 Google Security Operations 整合。

將 Trend Vision One 與 Google SecOps 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱這篇說明文章。

整合輸入內容

如要設定整合功能，請使用下列參數：

參數
API 根層級 必要

Trend Vision One 執行個體的 API 根目錄。

預設值為 https://INSTANCE
API 權杖 必要

Trend Vision One 帳戶的 API 金鑰。
驗證 SSL

如果勾選，整合功能會驗證連至 Trend Vision One 伺服器的 SSL 憑證是否有效。

預設為勾選

如何產生 API 權杖

如要進一步瞭解如何產生 API 權杖，請參閱「取得帳戶的驗證權杖」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

充實實體

使用 Trend Vision One 的資訊充實實體。

實體

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址

動作輸入內容

如要設定動作，請使用下列參數：

參數
Agent UUID 選用。

以半形逗號分隔的 UUID 清單，用於指定要處理的端點。

除了快訊中找到的任何實體外，系統也會對這些端點執行動作。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 可用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
           "agentGuid": "3b3ff9df-d588-45a2-bb90-d73904accf46",
           "osName": "Example OS",
           "osVersion": "6.1.1111",
           "osDescription": "Example OS Professional (64 bit) build 1111",
           "productCode": "xes",
           "loginAccount": {
               "value": [
                   "EXAMPLE\\devs"
               ],
               "updatedDateTime": "2022-12-26T17:28:51.000Z"
           },
           "endpointName": {
               "value": "EXAMPLE",
               "updatedDateTime": "2022-12-27T17:47:17.000Z"
           },
           "macAddress": {
               "value": [
                   "01:23:45:ab:cd:ef",
                   "01:23:45:67:ab:cd:ef:gh"
               ],
               "updatedDateTime": "2022-12-27T17:47:17.000Z"
           },
           "ip": {
               "value": [
                   "198.51.100.1"
               ],
               "updatedDateTime": "2022-12-27T17:47:17.000Z"
           },
           "installedProductCodes": [
               "xes"
           ]
}
實體擴充 - 前置字元：TrendMicroVisionOne_
補充資料欄位名稱 來源 (JSON 金鑰) 邏輯 - 應用時機
os osDescription JSON 格式 (如有)
login_account loginAccount.value 的 CSV JSON 格式 (如有)
endpoint_name endpointName.value JSON 格式 (如有)
ip Csv ip.value JSON 格式 (如有)
installedProductCodes installedProductCodes 的 CSV JSON 格式 (如有)
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功使用 Trend Micro Vision One 的資訊，充實下列實體：ENTITY_IDENTIFIER 動作執行成功。
執行「Enrich Entities」動作時發生錯誤。原因：ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。
案件總覽表格

名稱：ENTITY_IDENTIFIER

欄：

  • 鍵
  • 值

執行自訂指令碼

在 Trend Vision One 的端點上執行自訂指令碼。

實體

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址。

動作輸入內容

如要設定動作，請使用下列參數：

參數
Agent UUID 選用。

以半形逗號分隔的 UUID 清單，用於指定要處理的端點。

除了快訊中找到的任何實體外，系統也會對這些端點執行動作。
Script Name 必要

要在端點上執行的指令碼名稱。
Script Parameters 指令碼的參數。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 可用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果

即使動作失敗，仍可取得 JSON 結果。

{
   "Entity": "qweqwe",
   "EntityResult": {
    "task_id": "{task id}"
       "status": "{task status}"
   }
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功在 Trend Micro Vision One 的下列端點上執行自訂指令碼「SCRIPT_NAME」：ENTITY_IDENTIFIER 動作執行成功。
執行「執行自訂指令碼」動作時發生錯誤。原因： ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。
執行「執行自訂指令碼」動作時發生錯誤。原因：找不到名稱為「SCRIPT_NAME」的指令碼。 動作傳回錯誤。

檢查指令碼名稱。
執行「執行自訂指令碼」動作時發生錯誤。原因：動作在執行期間逾時。請在 IDE 中增加逾時時間。 動作傳回錯誤。在 IDE 中提高逾時值。

執行電子郵件動作

在 Trend Vision One 的端點上執行電子郵件動作。

實體

這項動作不會對實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數
Action 電子郵件的動作。

預設值為 Delete。

可能的值包括：
  • 刪除
  • 隔離
  • 還原
Message ID 必要

動作中使用的訊息 ID。
Mailbox 與郵件相關的信箱。
Description 所執行動作的說明。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
    "id": "RM-20231017-00001",
    "status": "running",
    "createdDateTime": "2023-10-17T05:25:37Z",
    "lastActionDateTime": "2023-10-17T05:25:37Z",
    "description": "task description",
    "action": "quarantineMessage",
    "account": "API key",
    "tasks": [
        {
            "messageId": "<64e32256-fae1-4652-9f7a-8e514ec86d5a@example.com>",
            "mailBox": "example.user@example.com",
            "messageSubject": "Example Service has merged the incidents detected in your environment",
            "uniqueId": "AAkALgAAAAAAHYQDEapmEc2byACqAC-EWg0A28vWY1XUyUyUUvI8a3APqAADxR_EPAAA",
            "organizationId": "40c52b8c-062a-4095-bd74-e46a5eb48308",
            "status": "running",
            "lastActionDateTime": "2023-10-17T05:25:38Z"
        }
    ]
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功在 Trend Micro Vision One 中對郵件 ID 執行動作。 動作執行成功。
執行「執行電子郵件動作」時發生錯誤。原因： ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。
執行「執行電子郵件動作」時發生錯誤。原因：動作在執行期間逾時。請在 IDE 中增加逾時時間。 動作傳回錯誤。在 IDE 中提高逾時值。

隔離端點

在 Trend Vision One 中隔離端點。

實體

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

如要設定動作，請使用下列參數：

參數
Agent UUID

以半形逗號分隔的 UUID 清單，用於指定要處理的端點。

除了快訊中找到的任何實體外，系統也會對這些端點執行動作。
Description 必要。

隔離端點的原因。

預設值為 Isolating endpoint from Google SecOps Playbook。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果

即使動作失敗，系統也會顯示 JSON 結果。

[
  {
    "Entity": "172.yy.yyy.yyy",
    "EntityResult": {
      "status": "succeeded",
      "task_id": "1"
    }
  }
]
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功在 Trend Micro Vision One 中隔離下列端點： ENTITY_IDENTIFIER 動作執行成功。
執行「隔離端點」動作時發生錯誤。原因： ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。
執行「隔離端點」動作時發生錯誤。原因：動作在執行期間逾時。待處理端點：PENDING_ENDPOINTS。 請在 IDE 中增加逾時時間。 動作傳回錯誤。在 IDE 中提高逾時值。

提交檔案

在 Trend Vision One 中提交檔案。

實體

這項動作不會對實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數
File Paths 必要

以半形逗號分隔的檔案路徑清單，用於提交檔案。
Archive Password 封存檔的密碼。
Document Password 文件的密碼。
Arguments 提交檔案的引數。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
   "Entity": "file path",
   "EntityResult": {
    "id": "3daefed8-466f-46c6-849a-4dd46edb94b4",
    "type": "file",
    "digest": {
        "md5": "f90a614c2ec8f72c55c2f50c0af923f3",
        "sha1": "d3f75803673b19c0c736efbaf6a8d3891ae18a10",
        "sha256": "3ba41b6e5c2ee4e9a2710976b177cf0db1080eb0277c554aa7d6ef1f0b04b33f"
    },
    "analysisCompletionDateTime": "2023-10-16T17:38:21Z",
    "riskLevel": "noRisk",
    "detectionNames": [],
    "threatTypes": [],
    "trueFileType": "Shell Script"
}
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功在 Trend Micro Vision One 提交下列檔案： FILE_PATHS 動作執行成功。
執行「提交檔案」動作時發生錯誤。原因：ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。
執行「提交檔案」動作時發生錯誤。原因：找不到或無法存取下列檔案：LIST_OF_FILE_PATHS 動作傳回錯誤。

檢查檔案路徑。

提交網址

在 Trend Vision One 中提交網址。

實體

這項動作會對網址實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數
Action 電子郵件的動作。

預設值為 Delete。

可能的值包括：
  • 刪除
  • 隔離
  • 還原
Message ID 必要

動作中使用的訊息 ID。
Mailbox 與郵件相關的信箱。
Description 所執行動作的說明。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
   "Entity": "url",
   "EntityResult": {
    "id": "3daefed8-466f-46c6-849a-4dd46edb94b4",
    "type": "file",
    "digest": {
        "md5": "f90a614c2ec8f72c55c2f50c0af923f3",
        "sha1": "d3f75803673b19c0c736efbaf6a8d3891ae18a10",
        "sha256": "3ba41b6e5c2ee4e9a2710976b177cf0db1080eb0277c554aa7d6ef1f0b04b33f"
    },
    "analysisCompletionDateTime": "2023-10-16T17:38:21Z",
    "riskLevel": "noRisk",
    "detectionNames": [],
    "threatTypes": [],
    "trueFileType": "Shell Script"
}
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功在 Trend Micro Vision One 提交下列網址： LIST_OF_URLS 動作執行成功。
執行「提交網址」動作時發生錯誤。原因：ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。
執行「提交網址」動作時發生錯誤。原因：動作在執行期間逾時。待處理檔案：FILES_STILL_IN_PROGRESS。 請在 IDE 中增加逾時時間。 動作傳回錯誤。在 IDE 中提高逾時值。

取消隔離端點

在 Trend Vision One 中取消隔離端點。

實體

系統會配合下列實體執行這項操作：

  • IP 位址
  • 主機名稱

動作輸入內容

如要設定動作，請使用下列參數：

參數
Agent UUID

以半形逗號分隔的 UUID 清單，用於指定要處理的端點。

除了快訊中找到的任何實體外，系統也會對這些端點執行動作。
Description 必要。

取消隔離端點的原因。

預設值為 Unisolating endpoint from Google SecOps Playbook。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果

即使動作失敗，系統也會顯示 JSON 結果。

{
   "Entity": "qweqwe",
   "EntityResult": {
       "status": "{task status}"
   }
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功在 Trend Micro Vision One 中解除隔離下列端點： ENTITY_IDENTIFIER 動作執行成功。
執行「取消隔離端點」動作時發生錯誤。原因： ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。
執行「取消隔離端點」動作時發生錯誤。原因：動作在執行期間逾時。待處理端點：PENDING_ENDPOINTS。 請在 IDE 中增加逾時時間。 動作傳回錯誤。在 IDE 中提高逾時值。

更新 Workbench 快訊

在 Trend Vision One 中更新工作台警示。

實體

這項動作不會對實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數
Alert ID 必要

需要更新的警示 ID。
Status 必要

要為快訊設定的狀態。

預設值為 Select One

。可能的值包括：
  • New
  • In Progress
  • True Positive
  • False Positive

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
Insight 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
      "artifacts": [],
      "assignedTo": "tip.labops",
      "assignee": {
          "displayName": "tip.labops@example.com",
          "username": "tip.labops"
      },
      "closed": "2022-03-23T11:04:33.731971",
      "closedBy": "tip.labops",
      "confidence": 0.1,
      "created": "2022-03-11T08:48:26.030204",
      "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
      "entity": {
          "entityType": "_ip",
          "hostname": null,
          "id": "_ip-198.51.100.1",
          "macAddress": null,
          "name": "198.51.100.1",
          "sensorZone": "",
          "value": "198.51.100.1"
      },
      "id": "dbc30c20-6d99-4f6f-8580-157ce70368a5",
      "lastUpdated": "2022-03-23T11:04:33.740470",
      "lastUpdatedBy": null,
      "name": "Initial Access",
      "orgId": "example",
      "readableId": "INSIGHT-13927",
      "recordSummaryFields": [],
      "resolution": "False Positive",
      "severity": "CRITICAL",
      "signals": [
          {
              "allRecords": [
                  {
                      "action": "failed password attempt",
                      "bro_dns_answers": [],
                      "bro_file_bytes": {},
                      "bro_file_connUids": [],
                      "bro_flow_service": [],
                      "bro_ftp_pendingCommands": [],
                      "bro_http_cookieVars": [],
                      "bro_http_origFuids": [],
                      "bro_http_origMimeTypes": [],
                      "bro_http_request_headers": {},
                      "bro_http_request_proxied": [],
                      "bro_http_response_headers": {},
                      "bro_http_response_respFuids": [],
                      "bro_http_response_respMimeTypes": [],
                      "bro_http_tags": [],
                      "bro_http_uriVars": [],
                      "bro_kerberos_clientCert": {},
                      "bro_kerberos_serverCert": {},
                      "bro_sip_headers": {},
                      "bro_sip_requestPath": [],
                      "bro_sip_responsePath": [],
                      "bro_ssl_certChainFuids": [],
                      "bro_ssl_clientCertChainFuids": [],
                      "cseSignal": {},
                      "day": 11,
                      "device_ip": "198.51.100.1",
                      "device_ip_ipv4IntValue": 2887698974,
                      "device_ip_isInternal": true,
                      "device_ip_version": 4,
                      "fieldTags": {},
                      "fields": {
                          "auth_method": "ssh2",
                          "endpoint_ip": "198.51.100.1",
                          "endpoint_username": "1ewk0XJn",
                          "event_message": "Failed password for invalid user",
                          "src_port": "59088"
                      },
                      "friendlyName": "record",
                      "hour": 8,
                      "http_requestHeaders": {},
                      "listMatches": [],
                      "matchedItems": [],
                      "metadata_deviceEventId": "Example_server_auth_message",
                      "metadata_mapperName": "Example Server Auth Message",
                      "metadata_mapperUid": "bcc62402-2870-49ad-ba8d-64ddf22fd342",
                      "metadata_parseTime": 1646987453926,
                      "metadata_product": "Example Product",
                      "metadata_productGuid": "6751ee25-4ef9-4f9f-9c8b-c39668856994",
                      "metadata_receiptTime": 1646987443,
                      "metadata_relayHostname": "centos-002",
                      "metadata_schemaVersion": 3,
                      "metadata_sensorId": "0b52e838-2dbd-4fc0-a2b5-7135a5dc72b7",
                      "metadata_sensorInformation": {},
                      "metadata_sensorZone": "default",
                      "metadata_vendor": "Example Vendor",
                      "month": 3,
                      "normalizedAction": "logon",
                      "objectType": "Authentication",
                      "srcDevice_ip": "198.51.100.1",
                      "srcDevice_ip_ipv4IntValue": 2887698974,
                      "srcDevice_ip_isInternal": true,
                      "srcDevice_ip_version": 4,
                      "success": false,
                      "timestamp": 1646987443000,
                      "uid": "c2e6188b-202c-5736-9b4d-248ab6ba88dd",
                      "user_username": "1ewk0XJn",
                      "user_username_raw": "1ewk0XJn",
                      "year": 2022
                  }
              ],
              "artifacts": [],
              "contentType": "ANOMALY",
              "description": "Detects multiple failed login attempts from a single source with unique usernames over a 24 hour timeframe. This is designed to catch both slow and quick password spray type attacks. The threshold and time frame can be adjusted based on the customer's environment.",
              "id": "b4adb0dc-1340-56ec-87aa-c6f1fc0fa247",
              "name": "Password Attack",
              "recordCount": 10,
              "recordTypes": [],
              "ruleId": "THRESHOLD-S00095",
              "severity": 4,
              "stage": "Initial Access",
              "tags": [
                  "_mitreAttackTactic:TA0001"
              ],
              "timestamp": "2022-03-11T08:31:28"
          }
      ],
      "source": "USER",
      "status": {
          "displayName": "Closed",
          "name": "closed"
      },
      "subResolution": null,
      "tags": [
          "aaa3"
      ],
      "teamAssignedTo": null,
      "timeToDetection": 1271.030204,
      "timeToRemediation": 1044967.701767,
      "timeToResponse": 21.186055,
      "timestamp": "2022-03-11T08:31:28"
  }
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
已成功在 Trend Micro Vision One 中更新 ID 為 ID 的工作台警示。 動作執行成功。
執行「更新 Workbench 警告」動作時發生錯誤。原因： ERROR_REASON 動作傳回錯誤。

請檢查伺服器連線、輸入參數或憑證。

連接器

如要瞭解如何在 Google SecOps 中建立及設定 Trend Vision One 連接器，請參閱「設定連接器」。

Trend Vision One Workbench 快訊連接器

從 Trend Vision One 提取工作台警示的相關資訊。

連接器參數

如要設定連接器，請使用下列參數：

參數
Product Field Name 必要

輸入來源欄位名稱，即可擷取產品欄位名稱。

預設值為 Product Name。
Event Field Name 必要

輸入來源欄位名稱，擷取事件欄位名稱。

預設值為 indicators_field。
Environment Field Name 選用

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。

預設值為 ""。
Environment Regex Pattern 選用

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。

預設值 .* 會擷取所有值，並傳回未變更的值。

使用者可透過這個參數，使用規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Script Timeout (Seconds) 必要

執行目前指令碼的 Python 程序逾時限制。

預設值為 180。
API Root 必要

Trend Vision One 執行個體的 API 根目錄。

預設值為 https://INSTANCE。
API Key 必要

Trend Vision One 帳戶的 API 金鑰。
Lowest Severity Score To Fetch 選用

要擷取的事件最低嚴重性分數。

如未提供，連接器會擷取所有嚴重程度的事件。

可能的值包括：
  • 低
  • 中
  • 高
  • 重大
Max Hours Backwards 選用

擷取事件的時間範圍 (以小時為單位)。

預設值為 1 小時。
Max Alerts To Fetch 選用

每次連接器疊代要處理的警告數量。

預設值為 10。
Use dynamic list as a blocklist 必要

如果勾選，動態清單會做為封鎖清單使用。

預設為取消勾選。
Verify SSL 必要

如果勾選，系統會驗證連至 Trend Vision One 伺服器的 SSL 憑證是否有效。

預設為勾選。
Proxy Server Address 選用

要使用的 Proxy 伺服器位址。
Proxy Username 選用

用於驗證的 Proxy 使用者名稱。
Proxy Password 選用

用於驗證的 Proxy 密碼。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。