VMware Carbon Black Endpoint Standard Live Response

Version de l'intégration : 6.0

Cas d'utilisation

Effectuez des investigations et des corrections en temps réel sur les hôtes sur lesquels l'agent CB Endpoint Standard est en cours d'exécution.

Configurer VMware Carbon Black Endpoint Standard Live Response pour qu'il fonctionne avec Google Security Operations

Autorisation du produit

La fonctionnalité Carbon Black Live Response est authentifiée à l'aide d'une clé API. Les utilisateurs peuvent afficher les paramètres des clés API dans la console Carbon Black Cloud sous Paramètres > Clés API.

Noms d'hôte du service

Il existe deux noms d'hôte Carbon Black Cloud :

• https://defense-<environment>.conferdeploy.net
• https://api-<environment>.conferdeploy.net

De plus, nous disposons de plusieurs environnements, tels que (liste non exhaustive) :

• prod02
• prod04
• prod05

Pour l'API Carbon Black Live Response, les noms d'hôte suivants seront utilisés : https://defense-about:blank)<environment>.conferdeploy.net

Clés API

Les clés API comportent deux parties :

• Clé secrète de l'API (anciennement clé API).
• ID d'API (anciennement ID de connecteur).

L'authentification est transmise à l'API via l'en-tête HTTP X-Auth-Token.

1. Pour générer l'en-tête approprié, concaténez la clé secrète de l'API avec l'ID de l'API en les séparant par une barre oblique.
2. Par exemple, si la clé secrète de l'API est ABCD et l'ID de l'API est 1234, l'en-tête HTTP X-Auth-Token correspondant sera : X-Auth-Token: ABCD/1234

Toutes les requêtes API doivent être authentifiées à l'aide d'une clé secrète et d'un ID API. Les requêtes non authentifiées renvoient une erreur HTTP 401.

Obtenir une clé secrète et un ID d'API

1. Connectez-vous à votre organisation Carbon Black Cloud.
2. Accédez à Paramètres > Clés API.
3. Cliquez sur "Add API Key" (Ajouter une clé API).
4. Sélectionnez "Niveau d'accès = Réponse en direct", puis configurez les autres paramètres.
5. Obtenez votre paire clé secrète et ID d'API.

Réseau

Autorisation de produit pour la version 6 de l'API CB Live Response

Concepts requis pour accéder aux API Carbon Black Cloud :

1. Nom d'hôte du service
2. Clés API
3. RBAC
4. Clés d'organisation

Noms d'hôte du service :

Pour l'API CarbonBlack Live Response, les noms d'hôte suivants seront utilisés : https://defense-<environment>.conferdeploy.net

Clés API

L'authentification des API et services Carbon Black Cloud s'effectue à l'aide de clés API. Les utilisateurs peuvent afficher les paramètres des clés API dans la console Carbon Black Cloud sous Paramètres > Clés API.

Les clés API comportent deux parties :

• Clé secrète de l'API (anciennement clé API).
• ID d'API (anciennement ID de connecteur).

Obtenir une clé secrète et un ID d'API

1. Connectez-vous à votre organisation Carbon Black Cloud.
2. Accédez à Paramètres > Clés API.
3. Cliquez sur "Add API Key" (Ajouter une clé API).
4. Configurer le nom, le niveau d'accès, etc.
5. Obtenez votre paire clé secrète et ID d'API.

Cela permet à un administrateur d'organisation de définir une clé API et d'accéder à la clé secrète et à l'ID de l'API qui seront nécessaires pour authentifier la requête API. De plus, pour des raisons de sécurité, les administrateurs peuvent limiter l'utilisation de cette clé API à un ensemble spécifique d'adresses IP.

Clés d'organisation

En plus des clés API, de nombreuses API ou services Carbon Black Cloud nécessitent une clé org_key dans le chemin d'accès à la requête API. Cela permet d'aider les clients qui gèrent plusieurs organisations. Vous trouverez votre org_key dans la console Carbon Black Cloud sous Settings > API Keys.

Configurer l'accès à l'API pour l'intégration de la réponse en direct CB Live Response à Google SecOps

Pour configurer l'accès aux API pour l'intégration de la réponse en direct CB à Google SecOps, procédez comme suit :

1. Connectez-vous à la console Carbon Black Cloud, puis accédez à Settings > API Access (Paramètres > Accès à l'API).
2. Sur la page "Accès à l'API", accédez à Niveaux d'accès.
3. Sur la page "Niveaux d'accès", cliquez sur + Ajouter un niveau d'accès.

4. Dans la fenêtre qui s'ouvre, indiquez un nom et une description pour le nouveau niveau d'accès, puis sélectionnez les autorisations comme indiqué sur la capture d'écran ci-dessous :

   

5. Revenez à l'onglet "Accès à l'API".

6. Cliquez sur + Ajouter une clé API pour créer une clé API.

7. Dans l'onglet qui s'ouvre, remplissez le champ obligatoire et sélectionnez le niveau d'accès que vous avez configuré à l'étape 4 :

   

8. Une fois que vous aurez cliqué sur "Enregistrer", l'ID et la clé secrète de l'API s'afficheront. Veuillez enregistrer ces valeurs, car vous en aurez besoin pour configurer l'intégration.

9. Une fois l'ID et la clé secrète de l'API enregistrés, l'accès à l'API CB Live Response v6 est terminé.

Configurer l'intégration de VMware Carbon Black Endpoint Standard Live Response dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Actions

Ping

Description

Testez la connectivité à VMware Carbon Black Endpoint Standard Live Response avec les paramètres fournis sur la page de configuration de l'intégration dans l'onglet "Marketplace" de Google Security Operations.

Paramètres

N/A

Cas d'utilisation

Cette action permet de tester la connectivité sur la page de configuration de l'intégration, dans l'onglet "Google Security Operations Marketplace". Elle peut être exécutée manuellement, mais n'est pas utilisée dans les playbooks.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script

Mur des cas

Arrêter le processus

Description

Arrêtez un processus sur un hôte en fonction de l'entité hôte ou adresse IP Google SecOps.

Paramètres

Cas d'utilisation

Arrête le processus malveillant sur l'appareil concerné.

Exécuter sur

Cette action s'applique aux entités suivantes :

1. Adresse IP
2. Nom d'hôte

Résultats de l'action

Résultat du script

Résultat JSON

L'action doit renvoyer un résultat JSON.

L'action doit renvoyer des informations sur la tâche de processus d'arrêt exécutée. Ces résultats doivent être regroupés en fonction des entités sur lesquelles l'action a été exécutée, afin d'être utilisés ultérieurement avec le générateur d'expressions. Consultez l'exemple JSON pour référence.

{
    "entity1":[
  {
    "obj": {
        "name": "kill",
        "object": 2224
    },
    "id": 1,
    "name": "kill",
    "username": null,
    "creation_time": 1602161475,
    "completion_time": 1602161475,
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete"
}]
}

Lister les processus

Description

Liste les processus en cours d'exécution sur le point de terminaison en fonction de l'entité hôte ou de l'adresse IP Google SecOps fournie.

Paramètres

Cas d'utilisation

Obtenez une liste des processus de l'hôte spécifique pour l'enquête.

Exécuter sur

Cette action s'applique aux entités suivantes :

1. Adresse IP
2. Nom d'hôte

Résultats de l'action

Enrichissement d'entités

Résultat du script

Résultat JSON

L'action doit renvoyer un résultat JSON.

L'action doit renvoyer des informations sur les processus à partir du résultat de la commande "get". Ces résultats doivent être regroupés en fonction des entités sur lesquelles l'action a été exécutée, pour être utilisés ultérieurement avec le générateur d'expressions. Consultez l'exemple JSON pour référence.

{
    "entity1":[
  {
    "pid": 4,
    "create_time": 132463818889511,
    "path": "SYSTEM",
    "command_line": "",
    "sid": "S-1-5-18",
    "username": "NT AUTHORITY\\SYSTEM",
    "parent": 0,
    "parent_create_time": 0
  }]
}

Télécharger le fichier

Description

Téléchargez un fichier à partir d'un hôte exécutant VMware CB Cloud Agent en fonction de l'entité hôte ou adresse IP Google SecOps.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte
• Fichier (facultatif, si fourni)

Résultats de l'action

Résultat du script

Résultat JSON

{
    "values": [],
    "file_details": {
        "offset": 0,
        "count": 0,
        "file_id": "55173d88-b4a8-4410-870c-8d3a0acf1cc9"
    },
    "id": 1,
    "name": "get file",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "get file",
        "object": "C:\\TMP\\127.0.0.1.txt"
    },
    "create_time": "2021-06-16T11:46:41Z",
    "finish_time": "2021-06-16T11:46:42Z"
}

Répertorier les fichiers

Description

Lister les fichiers sur un hôte exécutant l'agent VMware CB Cloud en fonction de l'entité hôte ou adresse IP Google SecOps.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte

Résultats de l'action

Résultat du script

Résultat JSON

{
    "values": [],
    "id": 0,
    "name": "directory list",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [
        {
            "size": 0,
            "attributes": [
                "DIRECTORY"
            ],
            "filename": ".",
            "alternate_name": "",
            "create_time": "2021-01-27T19:06:19Z",
            "last_access_time": "2021-06-16T07:51:39Z",
            "last_write_time": "2021-06-16T07:51:40Z"
        },
        {
            "size": 0,
            "attributes": [
                "DIRECTORY"
            ],
            "filename": "..",
            "alternate_name": "",
            "create_time": "2021-01-27T19:06:19Z",
            "last_access_time": "2021-06-16T07:51:39Z",
            "last_write_time": "2021-06-16T07:51:40Z"
        },
        {
            "size": 341,
            "attributes": [
                "ARCHIVE"
            ],
            "filename": "127.0.0.1.txt",
            "alternate_name": "127001~1.TXT",
            "create_time": "2021-01-27T19:18:44Z",
            "last_access_time": "2021-03-18T12:34:04Z",
            "last_write_time": "2021-01-27T19:03:27Z"
        },

Placer un fichier

Description

Placez un fichier sur un hôte exécutant l'agent VMware CB Cloud en fonction de l'entité hôte ou adresse IP Google SecOps.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte
• Fichier (facultatif, si fourni)

Résultats de l'action

Résultat du script

Résultat JSON

{
    "values": [],
    "id": 0,
    "name": "put file",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "chunkNumber": 0,
        "file_id": "a3623dc4-a1cc-4d29-8cde-2d36d605b1a5",
        "name": "put file",
        "object": "C:\\TMP\\test_file.txt"
    },
    "create_time": "2021-06-16T07:51:40Z",
    "finish_time": "2021-06-16T07:51:41Z"
}

Exécuter le fichier

Description

Exécutez un fichier sur un hôte exécutant l'agent VMware CB Cloud en fonction de l'entité hôte ou adresse IP Google SecOps.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte
• Fichier (facultatif, si fourni)

Résultats de l'action

Résultat du script

Résultat JSON

{
    "values": [],
    "process_details": {
        "pid": 0,
        "return_code": -1
    },
    "id": 0,
    "name": "create process",
    "result_code": 0,
    "result_desc": "",
    "status": "pending",
    "sub_keys": [],
    "files": [],
    "input": {
        "wait": false,
        "name": "create process",
        "object": "C:\\Windows\\system32\\cmd.exe /C whoami"
    },
    "create_time": "2021-06-16T12:14:25Z",
    "finish_time": "2021-06-16T12:14:25.690Z"
}

Créer un fichier de vidage mémoire

Description

Créez un fichier memdump sur un hôte exécutant l'agent VMware CB Cloud en fonction de l'entité hôte ou adresse IP Google SecOps.

Notez également que l'API VMware CB n'affiche pas de message d'erreur si un chemin d'accès au répertoire distant non valide est fourni pour le vidage mémoire créé.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte
• Fichier (facultatif, si fourni)

Résultats de l'action

Résultat du script

Résultat JSON

{
    "values": [],
    "mem_dump": {
        "compressing": false,
        "complete": true,
        "dumping": false,
        "return_code": 1627,
        "percentdone": 0
    },
    "id": 0,
    "name": "memdump",
    "result_code": 0,
    "result_type": "WinHresult",
    "result_desc": "",
    "status": "complete",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "memdump",
        "object": "C:\\TMP\\cb-session-dump2.dmp"
    },
    "create_time": "2021-06-16T13:06:26Z",
    "finish_time": "+53427-09-21T04:18:52Z"
}

Supprimer le fichier

Description

Supprimez un fichier d'un hôte exécutant l'agent VMware CB Cloud en fonction de l'entité hôte ou adresse IP Google SecOps.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte

Résultats de l'action

Résultat du script

Résultat JSON

{
    "values": [],
    "id": 0,
    "name": "delete file",
    "result_code": 0,
    "result_desc": "",
    "status": "pending",
    "sub_keys": [],
    "files": [],
    "input": {
        "name": "delete file",
        "object": "C:\\TMP\\test_file.txt"
    },
    "create_time": "2021-06-16T13:43:45Z",
    "finish_time": "2021-06-16T13:43:45.796Z"
}

Lister des fichiers dans Cloud Storage

Description

Lister les fichiers dans l'espace de stockage de fichiers VMware Carbon Black Cloud pour une session de réponse en direct existante en fonction de l'entité hôte ou adresse IP Google SecOps.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte

Résultats de l'action

Résultat du script

Résultat JSON

[
    {
        "id": "97200931-cca6-4eed-8952-c47d529de103",
        "size": 32,
        "file_name": "test_file.txt",
        "size_uploaded": 0,
        "upload_url": null
    }
]

Supprimer un fichier de Cloud Storage

Description

Supprime un fichier du stockage de fichiers VMware Carbon Black Cloud pour une session de réponse en direct existante basée sur l'entité hôte ou adresse IP Google SecOps.

Paramètres

Exécuter sur

Cette action s'applique aux entités suivantes :

• Adresse IP
• Hôte
• Fichier (facultatif, si fourni)

Résultats de l'action

Résultat du script

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.