Carbon Black Defense

Versión de integración: 9.0

Configura VMware Carbon Black Endpoint Standard (Endpoint Standard) para que funcione con Google Security Operations

Clave de API

  1. Accede a la consola de Carbon Black.
  2. Navega al nombre de usuario en la parte superior derecha de la página y selecciona Información del perfil.

  3. Haz clic en API Token en el lado izquierdo de la página para revelar tu token de API.

    Si no se muestra ningún token de API, haz clic en Restablecer para crear uno nuevo.

Red

Función Puerto predeterminado Dirección Protocolo
API Valores múltiples Saliente apikey

Configura la integración de Carbon Black Defense en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la instancia String N/A No Nombre de la instancia para la que deseas configurar la integración.
Descripción String N/A No Es la descripción de la instancia.
Raíz de la API String https://{server-addres} Sí Es la URL raíz de la API de VMware Carbon Black Endpoint Standard (Endpoint Standard).
Clave secreta de la API String N/A Sí Clave de API de VMware Carbon Black Endpoint Standard (Endpoint Standard).
Ejecutar de forma remota Casilla de verificación Desmarcado No Marca la casilla para ejecutar la integración configurada de forma remota. Una vez que se marca, aparece la opción para seleccionar al usuario remoto (agente).

Acciones

Cambiar el estado del dispositivo

Descripción

Cambia el estado de un dispositivo.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Estado del dispositivo String N/A Sí Es el nuevo estado. Ejemplo: REGISTERED

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicar
cb_defense_deviceId N/A
cb_defense_device_status N/A
Estadísticas

N/A

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Cambiar política

Descripción

Cambia la política de CB Defense asignada a cada una de las entidades de resultado de las búsquedas.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la política String N/A Sí Es el nombre de la política nueva. Ejemplo: DFLabs_Policy

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicar
cb_defense_deviceId N/A
cb_defense_policy N/A
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
correcto Verdadero/Falso success:False

Crear política

Descripción

Crea una política nueva en Cb Defense.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la política String N/A Sí Nombre de la política.
Descripción de la política String N/A Sí Es una descripción de la política.
Nivel de prioridad String BAJO Sí Es la puntuación de prioridad asociada a los sensores asignados a esta política. Ejemplo: LOW
Detalles de la política String N/A Sí Son los detalles de la política.

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
new_policy_id N/A N/A

Borrar política

Descripción

Borra una política de Cb Defense.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la política String N/A Sí Nombre de la política.

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Borra la regla de la política

Descripción

Quita una regla de una política existente.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la política String N/A Sí Nombre de la política.
ID de la regla String N/A Sí ID de regla. Ejemplo: 1

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Obtener información del dispositivo

Descripción

Obtén información sobre un dispositivo.

Parámetros

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicar
assignedToName Devuelve si existe en el resultado JSON.
macAddress Devuelve si existe en el resultado JSON.
adGroupId Devuelve si existe en el resultado JSON.
avEngine Devuelve si existe en el resultado JSON.
avVdfVersion Devuelve si existe en el resultado JSON.
rootedByAnalyticsTime Devuelve si existe en el resultado JSON.
linuxKernelVersion Devuelve si existe en el resultado JSON.
lastExternalIpAddress Devuelve si existe en el resultado JSON.
lastDevicePolicyRequestedTime Devuelve si existe en el resultado JSON.
activationCodeExpiryTime Devuelve si existe en el resultado JSON.
currentSensorPolicyName Devuelve si existe en el resultado JSON.
organizationName Devuelve si existe en el resultado JSON.
deviceGuid Devuelve si existe en el resultado JSON.
loginUserName Devuelve si existe en el resultado JSON.
lastPolicyUpdatedTime Devuelve si existe en el resultado JSON.
registeredTime Devuelve si existe en el resultado JSON.
deviceSessionId Devuelve si existe en el resultado JSON.
lastDevicePolicyChangedTime Devuelve si existe en el resultado JSON.
windowsPlatform Devuelve si existe en el resultado JSON.
osVersion Devuelve si existe en el resultado JSON.
firstVirusActivityTime Devuelve si existe en el resultado JSON.
avUpdateServers Devuelve si existe en el resultado JSON.
lastReportedTime Devuelve si existe en el resultado JSON.
middleName Devuelve si existe en el resultado JSON.
activationCode Devuelve si existe en el resultado JSON.
deregisteredTime Devuelve si existe en el resultado JSON.
lastResetTime Devuelve si existe en el resultado JSON.
lastInternalIpAddress Devuelve si existe en el resultado JSON.
deviceOwnerId Devuelve si existe en el resultado JSON.
avMaster Devuelve si existe en el resultado JSON.
lastLocation Devuelve si existe en el resultado JSON.
deviceType Devuelve si existe en el resultado JSON.
targetPriorityType Devuelve si existe en el resultado JSON.
encodedActivationCode Devuelve si existe en el resultado JSON.
lastVirusActivityTime Devuelve si existe en el resultado JSON.
avStatus Devuelve si existe en el resultado JSON.
sensorStates Devuelve si existe en el resultado JSON.
correo electrónico Devuelve si existe en el resultado JSON.
virtualizationProvider Devuelve si existe en el resultado JSON.
avPackVersion Devuelve si existe en el resultado JSON.
assignedToId Devuelve si existe en el resultado JSON.
scanStatus Devuelve si existe en el resultado JSON.
nombre Devuelve si existe en el resultado JSON.
policyName Devuelve si existe en el resultado JSON.
scanLastActionTime Devuelve si existe en el resultado JSON.
vdiBaseDevice Devuelve si existe en el resultado JSON.
rootedByAnalytics Devuelve si existe en el resultado JSON.
testId Devuelve si existe en el resultado JSON.
avProductVersion Devuelve si existe en el resultado JSON.
rootedBySensorTime Devuelve si existe en el resultado JSON.
lastShutdownTime Devuelve si existe en el resultado JSON.
En cuarentena Devuelve si existe en el resultado JSON.
createTime Devuelve si existe en el resultado JSON.
deviceId Devuelve si existe en el resultado JSON.
sensorVersion Devuelve si existe en el resultado JSON.
passiveMode Devuelve si existe en el resultado JSON.
virtualMachine Devuelve si existe en el resultado JSON.
firstName Devuelve si existe en el resultado JSON.
uninstallCode Devuelve si existe en el resultado JSON.
uninstalledTime Devuelve si existe en el resultado JSON.
mensajes Devuelve si existe en el resultado JSON.
policyOverride Devuelve si existe en el resultado JSON.
organizationId Devuelve si existe en el resultado JSON.
sensorOutOfDate Devuelve si existe en el resultado JSON.
avAveVersion Devuelve si existe en el resultado JSON.
estado Devuelve si existe en el resultado JSON.
policyId Devuelve si existe en el resultado JSON.
deviceMetaDataItemList Devuelve si existe en el resultado JSON.
lastName Devuelve si existe en el resultado JSON.
originEventHash Devuelve si existe en el resultado JSON.
avLastScanTime Devuelve si existe en el resultado JSON.
rootedBySensor Devuelve si existe en el resultado JSON.
scanLastCompleteTime Devuelve si existe en el resultado JSON.
lastContact Devuelve si existe en el resultado JSON.
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
correcto Verdadero/Falso success:False
Resultado de JSON
[
    {
  "EntityResult":
    {
     "assignedToName": null,
     "macAddress": null,
     "adGroupId": 0,
     "avEngine": "",
     "avVdfVersion": null,
     "rootedByAnalyticsTime": null,
     "linuxKernelVersion": null,
     "lastExternalIpAddress": "1.1.1.1",
     "lastDevicePolicyRequestedTime": null,
     "activationCodeExpiryTime": 1513776891190,
     "currentSensorPolicyName": null,
     "organizationName": "cb-internal-alliances.com",
     "deviceGuid": null,
     "loginUserName": null,
     "lastPolicyUpdatedTime": null,
     "registeredTime": 1513172091219,
     "deviceSessionId": null,
     "lastDevicePolicyChangedTime": null,
     "windowsPlatform": null,
     "osVersion": "Windows 10 x64",
     "firstVirusActivityTime": 0,
     "avUpdateServers": null,
     "lastReportedTime": 1520325064134,
     "middleName": null,
     "activationCode": null,
     "deregisteredTime": null,
     "lastResetTime": 0,
     "lastInternalIpAddress": "1.1.1.1",
     "deviceOwnerId": 260377,
     "avMaster": false,
     "lastLocation": "OFFSITE",
     "deviceType": "WINDOWS",
     "targetPriorityType": "MEDIUM",
     "encodedActivationCode": null,
     "lastVirusActivityTime": 0,
     "avStatus": ["AV_BYPASS"],
     "sensorStates": ["ACTIVE","LIVE_RESPONSE_NOT_RUNNING","LIVE_RESPONSE_NOT_KILLED"],
     "email": "ACorona",
     "virtualizationProvider": null,
     "avPackVersion": null,
     "assignedToId": null,
     "scanStatus": null,
     "name": "HP-01",
     "policyName": "default",
     "scanLastActionTime": 0,
     "vdiBaseDevice": null,
     "rootedByAnalytics": false,
     "testId": -1,
     "avProductVersion": null,
     "rootedBySensorTime": null,
     "lastShutdownTime": 1519811818082,
     "quarantined": false,
     "createTime": null,
     "deviceId": 605341,
     "sensorVersion": "1.1.1.1",
     "passiveMode": false,
     "virtualMachine": false,
     "firstName": null,
     "uninstallCode": null,
     "uninstalledTime": null,
     "messages": null,
     "policyOverride": false,
     "organizationId": 1105,
     "sensorOutOfDate": false,
     "avAveVersion": null,
     "status": "REGISTERED",
     "policyId": 6525,
     "deviceMetaDataItemList": null,
     "lastName": null,
     "originEventHash": null,
     "avLastScanTime": 0,
     "rootedBySensor": false,
     "scanLastCompleteTime": 0,
     "lastContact": 1520325053567
 },
 "Entity": "HP-01"
}
]

Obtener eventos

Descripción

Obtiene eventos por entidad.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Período cadena N/A Sí Es el período de la búsqueda. Ejemplo: 3h

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicar
eventId Devuelve si existe en el resultado JSON.
parentApp Devuelve si existe en el resultado JSON.
eventTime Devuelve si existe en el resultado JSON.
selectedApp Devuelve si existe en el resultado JSON.
attackStage Devuelve si existe en el resultado JSON.
processDetails Devuelve si existe en el resultado JSON.
eventType Devuelve si existe en el resultado JSON.
targetAp Devuelve si existe en el resultado JSON.
longDescription Devuelve si existe en el resultado JSON.
threatIndicators Devuelve si existe en el resultado JSON.
securityEventCode Devuelve si existe en el resultado JSON.
registryValue Devuelve si existe en el resultado JSON.
incidentId Devuelve si existe en el resultado JSON.
shortDescription Devuelve si existe en el resultado JSON.
createTime Devuelve si existe en el resultado JSON.
alertScore Devuelve si existe en el resultado JSON.
alertCategory Devuelve si existe en el resultado JSON.
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
correcto Verdadero/Falso success:False
Resultado de JSON
[
    {
        "EntityResult":
        {
            "0":
            {
                "eventId": "1defe38112e911e7b34047d6447797bd",
                "parentApp":
                {
                    "applicationName": "C: \\\\Windows\\\\System32\\\\svchost.exe",
                    "md5Hash": null,
                    "reputationProperty": null,
                    "effectiveReputation": null,
                    "applicationPath": null,
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null
                    "sha256Hash": "c7db4ae8175c33a47baa3ddfa089fad17bc8e362f21e835d78ab22c9231fe370",
                    "virusSubCategory": null
                },
                "eventTime": 1490617768036,
                "selectedApp":
                {
                    "applicationName": "taskeng.exe",
                    "md5Hash": "a21ac8d41e63cf1aa24ebc165ae82c9a",
                    "reputationProperty": "TRUSTED_WHITE_LIST",
                    "effectiveReputation": null,
                    "applicationPath": "C: \\\\Windows\\\\System32\\\\taskeng.exe",
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null,
                    "sha256Hash": "74b9cf472d5008e00735482f084f886eaa201248d6e87ab6b1990e3670bd6693",
                    "virusSubCategory": null
                },
                "attackStage": null,
                "processDetails":
                {
                    "userName": "SYSTEM",
                    "interpreterHash": null,
                    "parentCommandLine": "C: Windows\\\\system32\\\\svchost.exe-knetsvcs",
                    "milisSinceProcessStart": 32,
                    "name": "taskeng.exe",
                    "parentPid": 772,
                    "processId": 2872,
                    "interpreterName": null,
                    "commandLine": "taskeng.exe{5267BC82-9B0D-4F0B-A566-E06CDE5602F1}S-1-5-18: NTAUTHORITY\\\\System: Service: ",
                    "parentName": "svchost.exe",
                    "parentPrivatePid": "772-1489763380982-18",
                    "targetPrivatePid": "2468-1490617768051-975",
                    "targetPid": 2468,
                    "targetCommandLine": "C: \\\\ProgramFiles(x86)\\\\Google\\\\Update\\\\GoogleUpdate.exe",
                    "privatePid": "2872-1490617768004-974",
                    "targetName": "GoogleUpdate.exe",
                    "fullUserName": "NTAUTHORITY\\\\SYSTEM"
                },
                "eventType": "SYSTEM_API_CALL",
                "targetApp":
                {
                    "applicationName": "C: \\\\ProgramFiles(x86)\\\\Google\\\\Update\\\\GoogleUpdate.exe",
                    "md5Hash": null,
                    "reputationProperty": "TRUSTED_WHITE_LIST",
                    "effectiveReputation": null,
                    "applicationPath": null,
                    "virusName": null,
                    "effectiveReputationSource": null,
                    "virusCategory": null,
                    "sha256Hash": "52fc3aa9f704300041e486e57fe863218e4cdf4c8eee05ca6b99a296efee5737",
                    "virusSubCategory": null
                },
                "longDescription": "",
                "threatIndicators": ["SUSPENDED_PROCESS"],
                "securityEventCode": null,
                "registryValue": null,
                "incidentId": null,
                "shortDescription": "",
                "createTime": 1490617872232,
                "alertScore": 0,
                "alertCategory": null
            }
        },
        "Entity": "HP-01"
    }
]

Obtener procesos

Descripción

Enumera los procesos por dispositivo.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Período cadena 3h Sí Es el período de la búsqueda. Ejemplo: 3h

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicar
applicationName Devuelve si existe en el resultado JSON.
processId Devuelve si existe en el resultado JSON.
numEvents Devuelve si existe en el resultado JSON.
applicationPath Devuelve si existe en el resultado JSON.
privatePid Devuelve si existe en el resultado JSON.
sha256Hash Devuelve si existe en el resultado JSON.
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
correcto Verdadero/Falso success:False
Resultado de JSON
[
    {
        "EntityResult":
        {
            "0":
            {
                "applicationName": "chrome.exe",
                "processId": 3052,
                "numEvents": 252,
                "applicationPath": null,
                "privatePid": "3052-1489181082476-30",
                "sha256Hash": "c8b01dd0153bbe4527630fb002f9ef8b4e04127bdff212831ff67bd6ab0ea265"
            }
        },
        "Entity": "HP-01"
    }
]

Ping

Descripción

Prueba la conectividad.

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
correcto Verdadero/Falso success:False

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.