Respuesta en vivo de VMware Carbon Black Endpoint Standard

Versión de integración: 6.0

Caso de uso

Realiza investigaciones y correcciones en tiempo real en los hosts que ejecutan el agente de CB Endpoint Standard.

Configura la respuesta en vivo de VMware Carbon Black Endpoint Standard para que funcione con Google Security Operations

Permiso del producto

La función Live Response de Carbon Black se autentica a través de una clave de API. Los usuarios pueden ver la configuración de las claves de API en la consola de Carbon Black Cloud en Configuración > Claves de API.

Nombres de host del servicio

Existen dos nombres de host de Carbon Black Cloud:

• https://defense-<environment>.conferdeploy.net
• https://api-<environment>.conferdeploy.net

Además, tenemos varios entornos, como los siguientes (esta no es una lista completa):

• prod02
• prod04
• prod05

Para la API de Carbon Black Live Response, se usarán los siguientes nombres de host: https://defense-about:blank)<environment>.conferdeploy.net

Claves de API

Las claves de API incluyen dos partes:

• Clave secreta de la API (anteriormente, clave de API).
• Es el ID de la API (anteriormente, ID del conector).

La autenticación se pasa a la API a través del encabezado HTTP X-Auth-Token.

1. Para generar el encabezado adecuado, concatena la clave secreta de la API con el ID de la API, con una barra diagonal entre ellos.
2. Por ejemplo, si la clave secreta de la API es ABCD y el ID de la API es 1234, el encabezado HTTP X-Auth-Token correspondiente será: X-Auth-Token: ABCD/1234

Todas las solicitudes a la API deben autenticarse con una clave secreta de la API y un ID de la API. Las solicitudes no autenticadas devuelven un error HTTP 401.

Cómo obtener una clave secreta de la API y un ID de la API

1. Accede a tu organización de Carbon Black Cloud.
2. Navega a Configuración > Claves de API.
3. Haz clic en "Agregar clave de API".
4. Selecciona Nivel de acceso = Respuesta en vivo y configura otros parámetros.
5. Obtén tu par de ID y clave secreta de la API.

Red

Permiso del producto para la versión 6 de la API de CB Live Response

Conceptos necesarios para acceder a las APIs de Carbon Black Cloud:

1. Nombre de host del servicio
2. Claves de API
3. RBAC
4. Claves de organización

Nombres de host del servicio:

Para la API de CarbonBlack Live Response, se usarán los siguientes nombres de host: https://defense-<environment>.conferdeploy.net

Claves de API

Las APIs y los servicios de Carbon Black Cloud se autentican a través de claves de API. Los usuarios pueden ver la configuración de las claves de API en la consola de Carbon Black Cloud en Configuración > Claves de API.

Las claves de API incluyen dos partes:

• Clave secreta de la API (anteriormente, clave de API).
• Es el ID de la API (anteriormente, ID del conector).

Cómo obtener una clave secreta de la API y un ID de la API

1. Accede a tu organización de Carbon Black Cloud.
2. Navega a Configuración > Claves de API.
3. Haz clic en "Agregar clave de API".
4. Configura el nombre, el nivel de acceso, etcétera.
5. Obtén tu par de ID y clave secreta de la API.

Esto permite que un administrador de la organización defina una clave de API y obtenga acceso a la clave secreta de la API y al ID de la API que se requerirán para autenticar la solicitud a la API. Además, por motivos de seguridad, los administradores pueden restringir el uso de esta clave de API a un conjunto específico de direcciones IP.

Llaves de organización

Además de las claves de API, muchas APIs o servicios de Carbon Black Cloud requieren una org_key en la ruta de la solicitud de API. Esto es para ayudar a los clientes que administran varias organizaciones. Puedes encontrar tu clave de organización en la consola de Carbon Black Cloud en Settings > API Keys.

Configura el acceso a la API para la integración de CB Live Response de Google SecOps

Para configurar el acceso a la API para la integración de CB Live Response de Google SecOps, se deben seguir estos pasos:

1. Accede a la consola de Carbon Black Cloud y ve a Settings > API Access.
2. En la página Acceso a la API, ve a Niveles de acceso.
3. En la página Niveles de acceso, haz clic en + Agregar nivel de acceso.

4. En la ventana que se abrió, proporciona un nombre y una descripción para el nuevo nivel de acceso, y selecciona los permisos como se muestra en la siguiente captura de pantalla:

   

5. Regresa a la pestaña API Access.

6. Haz clic en + Agregar clave de API para crear una clave de API nueva.

7. En la pestaña que se abrió, completa el campo obligatorio y selecciona el nivel de acceso que configuraste en el paso 4:

   

8. Una vez que hagas clic en Guardar, se mostrarán el ID de API y la clave secreta de la API. Guarda esos valores, ya que los necesitarás para configurar la integración.

9. Una vez que se guardan el ID de la API y la clave secreta de la API, se completa el acceso a la API de CB Live Response v6.

Configura la integración de Live Response de VMware Carbon Black Endpoint Standard en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Acciones

Ping

Descripción

Prueba la conectividad con la respuesta en vivo de VMware Carbon Black Endpoint Standard con los parámetros proporcionados en la página de configuración de la integración en la pestaña de Google Security Operations Marketplace.

Parámetros

N/A

Caso de uso

La acción se usa para probar la conectividad en la página de configuración de la integración en la pestaña Google Security Operations Marketplace y se puede ejecutar como una acción manual, no se usa en los playbooks.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Muro de casos

Kill Process

Descripción

Finaliza un proceso en un host según la entidad de host o IP de Google SecOps.

Parámetros

Caso de uso

Finaliza el proceso malicioso en el dispositivo afectado.

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

1. Dirección IP
2. Nombre de host

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

La acción debe devolver un resultado JSON.

La acción debe devolver la información sobre la tarea de proceso de eliminación ejecutada, y esos resultados deben agruparse según las entidades en las que se ejecutó la acción para usarlos más adelante con el compilador de expresiones. Consulta el ejemplo de JSON como referencia.

{
    "entity1":[
  {
    "obj": {
        "name": "kill",
        "object": 2224
    },
    "id": 1,
    "name": "kill",
    "username": null,
    "creation_time": 1602161475,
    "completion_time": 1602161475,
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete"
}]
}

Enumera procesos

Descripción

Enumera los procesos que se ejecutan en el endpoint según la entidad de host o IP de Google SecOps proporcionada.

Parámetros

Casos de uso

Obtén una lista de procesos del host específico para la investigación.

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

1. Dirección IP
2. Nombre de host

Resultados de la acción

Enriquecimiento de entidades

Resultado de secuencia de comandos

Resultado de JSON

La acción debe devolver un resultado JSON.

La acción debe devolver la información sobre los procesos del resultado del comando get, y esos resultados deben agruparse según las entidades en las que se ejecutó la acción, para usarlos más adelante con el compilador de expresiones. Consulta el ejemplo de JSON como referencia.

{
    "entity1":[
  {
    "pid": 4,
    "create_time": 132463818889511,
    "path": "SYSTEM",
    "command_line": "",
    "sid": "S-1-5-18",
    "username": "NT AUTHORITY\\SYSTEM",
    "parent": 0,
    "parent_create_time": 0
  }]
}

Descargar archivo

Descripción

Descarga un archivo desde un host que ejecuta VMware CB Cloud Agent basado en la entidad de host o IP de Google SecOps.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host
• Archivo (opcional, si se proporciona)

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

{
    "values": [],
    "file_details": {
        "offset": 0,
        "count": 0,
        "file_id": "55173d88-b4a8-4410-870c-8d3a0acf1cc9"
    },
    "id": 1,
    "name": "get file",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "get file",
        "object": "C:\\TMP\\127.0.0.1.txt"
    },
    "create_time": "2021-06-16T11:46:41Z",
    "finish_time": "2021-06-16T11:46:42Z"
}

Enumerar archivos

Descripción

Enumera los archivos en un host que ejecuta el agente de VMware CB Cloud según la entidad de host o IP de Google SecOps.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

{
    "values": [],
    "id": 0,
    "name": "directory list",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [
        {
            "size": 0,
            "attributes": [
                "DIRECTORY"
            ],
            "filename": ".",
            "alternate_name": "",
            "create_time": "2021-01-27T19:06:19Z",
            "last_access_time": "2021-06-16T07:51:39Z",
            "last_write_time": "2021-06-16T07:51:40Z"
        },
        {
            "size": 0,
            "attributes": [
                "DIRECTORY"
            ],
            "filename": "..",
            "alternate_name": "",
            "create_time": "2021-01-27T19:06:19Z",
            "last_access_time": "2021-06-16T07:51:39Z",
            "last_write_time": "2021-06-16T07:51:40Z"
        },
        {
            "size": 341,
            "attributes": [
                "ARCHIVE"
            ],
            "filename": "127.0.0.1.txt",
            "alternate_name": "127001~1.TXT",
            "create_time": "2021-01-27T19:18:44Z",
            "last_access_time": "2021-03-18T12:34:04Z",
            "last_write_time": "2021-01-27T19:03:27Z"
        },

Put File

Descripción

Coloca un archivo en un host que ejecute VMware CB Cloud Agent según la entidad de host o IP de Google SecOps.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host
• Archivo (opcional, si se proporciona)

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

{
    "values": [],
    "id": 0,
    "name": "put file",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "chunkNumber": 0,
        "file_id": "a3623dc4-a1cc-4d29-8cde-2d36d605b1a5",
        "name": "put file",
        "object": "C:\\TMP\\test_file.txt"
    },
    "create_time": "2021-06-16T07:51:40Z",
    "finish_time": "2021-06-16T07:51:41Z"
}

Ejecutar archivo

Descripción

Ejecuta el archivo en un host que ejecuta el agente de VMware CB Cloud según la entidad de host o IP de Google SecOps.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host
• Archivo (opcional, si se proporciona)

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

{
    "values": [],
    "process_details": {
        "pid": 0,
        "return_code": -1
    },
    "id": 0,
    "name": "create process",
    "result_code": 0,
    "result_desc": "",
    "status": "pending",
    "sub_keys": [],
    "files": [],
    "input": {
        "wait": false,
        "name": "create process",
        "object": "C:\\Windows\\system32\\cmd.exe /C whoami"
    },
    "create_time": "2021-06-16T12:14:25Z",
    "finish_time": "2021-06-16T12:14:25.690Z"
}

Crea un volcado de memoria

Descripción

Crea un volcado de memoria en un host que ejecuta el agente de CB Cloud de VMware según la entidad de host o IP de SecOps de Google.

Además, ten en cuenta que la API de VMware CB no proporciona un mensaje de error si se proporciona una ruta de directorio remoto no válida para el volcado de memoria creado.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host
• Archivo (opcional, si se proporciona)

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

{
    "values": [],
    "mem_dump": {
        "compressing": false,
        "complete": true,
        "dumping": false,
        "return_code": 1627,
        "percentdone": 0
    },
    "id": 0,
    "name": "memdump",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "memdump",
        "object": "C:\\TMP\\cb-session-dump2.dmp"
    },
    "create_time": "2021-06-16T13:06:26Z",
    "finish_time": "+53427-09-21T04:18:52Z"
}

Borrar archivo

Descripción

Borra un archivo de un host que ejecuta VMware CB Cloud Agent según la entidad de host o IP de Google SecOps.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

{
    "values": [],
    "id": 0,
    "name": "delete file",
    "result_code": 0,
    "result_desc": "",
    "status": "pending",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "delete file",
        "object": "C:\\TMP\\test_file.txt"
    },
    "create_time": "2021-06-16T13:43:45Z",
    "finish_time": "2021-06-16T13:43:45.796Z"
}

Enumera archivos en Cloud Storage

Descripción

Enumera los archivos en el almacenamiento de archivos de VMware Carbon Black Cloud para una sesión de respuesta en vivo existente según la entidad de host o IP de Google SecOps.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host

Resultados de la acción

Resultado de secuencia de comandos

Resultado de JSON

[
    {
        "id": "97200931-cca6-4eed-8952-c47d529de103",
        "size": 32,
        "file_name": "test_file.txt",
        "size_uploaded": 0,
        "upload_url": null
    }
]

Borra un archivo de Cloud Storage

Descripción

Borra un archivo del almacenamiento de archivos de VMware Carbon Black Cloud para una sesión de respuesta en vivo existente según la entidad de host o IP de Google SecOps.

Parámetros

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Host
• Archivo (opcional, si se proporciona)

Resultados de la acción

Resultado de secuencia de comandos

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.