Carbon Black Response

Versión de integración: 31.0

Configurar VMware Carbon Black EDR (EDR) para que funcione con Google Security Operations

Clave de API

Para obtener una clave de API, sigue estos pasos:

  1. Iniciar sesión en la consola
  2. En la parte superior derecha, haz clic en el nombre de usuario.
  3. Ve a Información del perfil.

  4. Haz clic en el botón Token de API situado en la parte izquierda para mostrar el token de API.

    Si no se muestra ningún token de API, haz clic en el botón Restablecer para crear uno.

Red

Función Puerto predeterminado Dirección Protocolo
API Multivalores Saliente apikey

Configurar la integración de Carbon Black Response en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la instancia Cadena N/A No Nombre de la instancia para la que quiere configurar la integración.
Descripción Cadena N/A No Descripción de la instancia.
Raíz de la API Cadena https://x.x.x.x Sí Dirección de la instancia de VMware Carbon Black EDR (detección y respuesta de endpoints).
Clave de API Cadena N/A Sí Clave de API generada en la consola de VMware Carbon Black EDR (EDR).
Versión Cadena 6,3 Sí La versión del producto. Asegúrate de proporcionar una versión más corta. Por ejemplo, en lugar de 7.4.0, indique 7.4.
Ejecutar de forma remota Casilla Desmarcada No Marca el campo para ejecutar la integración configurada de forma remota. Una vez marcada, aparece la opción para seleccionar al usuario remoto (agente).

Acciones

Consulta gratuita binaria

Descripción

Lista los archivos binarios por consulta gratuita.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Consulta Cadena N/A Sí Ejemplo: md5:* AND original_filename:{file-name}

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
    {
        "host_count": x,
        "digsig_result":"Signed",
        "Observed_filename": ["c:\\\\windows\\\\system32\\\\xxxxxx.exe"],
        "product_version": "10.0.17134.1",
        "digsig_issuer": "Microsoft Windows Production PCA 2011",
        "legal_copyright": "\\\\u00a9 Microsoft Corporation. All rights reserved.",
        "digsig_sign_time": "2018-04-11T19:19:00Z",
        "orig_mod_len": 20888,
        "is_executable_image": true,
        "is_64bit": true,
        "digsig_subject": "Microsoft Windows",
        "digsig_publisher": "Microsoft Corporation",
        "group": ["Default Group"],
        "file_version": "10.0.17134.1 (WinBuild.160101.0800)",
        "company_name": "Microsoft Corporation",
        "internal_name": "xxxxxxx.exe",
        "product_name": "Microsoft\\\\u00ae Windows\\\\u00ae Operating System",
        "digsig_result_code": "0",
        "timestamp": "2018-12-30T03:55:55.376Z",
        "copied_mod_len": 20888,
        "server_added_timestamp": "2018-12-30T03:55:55.376Z",
        "digsig_prog_name": "Microsoft Windows",
        "md5": "2528137C6745C4EADD87817A1909677E",
        "endpoint": ["DESKTOP-CEIFS6E|15",
                     "DESKTOP-CEIFS6E|16",
                     "LP-AVITAL|17",
                     "LAPTOP-66I4I93K|18"],
        "watchlists": [
            {
                "wid": "3",
                "value": "2018-12-30T04:00:03.635Z"
            }],
        "signed": "Signed",
        "original_filename": "xxxxxxx.exe",
        "cb_version": 520,
        "os_type": "Windows",
        "file_desc": "COM Surrogate",
        "last_seen": "2019-02-21T15:27:33.231Z"
    }
]

Hash de bloque

Descripción

Bloquear un hash.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Crear lista de seguimiento

Descripción

Crea una lista de seguimiento para procesos (type = events) o para archivos binarios (type = modules).

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la lista de seguimiento Cadena N/A Sí Nombre de esta lista de seguimiento.
Consulta Cadena N/A Sí Consulta sin procesar de Carbon Black con la que coincide esta lista de seguimiento.
Tipo de lista de seguimiento Cadena N/A Sí El tipo de lista de seguimiento. Por ejemplo, módulos.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Descargar binario

Descripción

Descarga un archivo binario.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
    {
        "EntityResult": "TVqQAAMAAAAEAAAA//8AALgAAAAAAAAAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAgAAAAA4fug4AtAnNIb",
        "Entity": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
    }
]

Enrich Binary

Descripción

Enriquece el hash con información binaria de CB Response.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso success:False
Resultado de JSON
[
    {
        "EntityResult": {
            "host_count": x,
            "digsig_result": "Unsigned",
            "observed_filename":["c:\\\\\\\\TEST_source\\\\\\\\main\\\\\\\\client\\\\\\\\wpf\\\\\\\\TEST.client\\\\\\\\bin\\\\\\\\release\\\\\\\\TEST.client.exe"],
            "product_version": "x.x.x.x",
            "legal_copyright": "TEST",
            "orig_mod_len": 4108800,
            "is_executable_image": "True",
            "is_64bit": "False",
            "group": ["Default Group"],
            "file_version": "x.x.x.x",
            "comments": "Flavor=Release",
            "company_name": "TEST",
            "internal_name": "TEST.xxxxxx.exe",
            "icon": "iVBORw0KGgoAAAANSUhEUg",
            "product_name": "(unknown)",
            "digsig_result_code": "xxxxxxx",
            "timestamp": "2016-12-11T18:54:03.352Z",
            "copied_mod_len": 4108800,
            "server_added_timestamp": "2016-12-11T18:54:03.352Z",
            "md5": "82A2C91219F140BB2A4FE34A7390B6C7",
            "endpoint": ["WS-ALON|4"],
            "Watchlists": [
                {
                    "wid": "3", "value": "2016-12-11T19:00:03.232Z"
                }],
            "signed": "Unsigned",
            "original_filename": "TEST.xxxxx.exe",
            "cb_version": 520,
            "os_type": "Windows",
            "file_desc": " ",
            "last_seen": "2016-12-11T19:00:04.178Z"
        },
        "Entity": "82A2C91219F140BB2A4FE34A7123B6C7"
    }
]

Proceso de enriquecimiento

Descripción

Enriquece la entidad de proceso con datos de la respuesta de CB.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Proceso
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
    {
        "EntityResult": [
            {
                "modload_count": 28,
                "sensor_id": 14,
                "filtering_known_dlls": "False",
                "process_md5": "d752c96401e2540a123c599154fc6fa9",
                "parent_unique_id": "0000000e-0000-13d4-01d4-a04566d108ba-00000001",
                "emet_count": 0,
                "cmdline": "\\\\\\\\??\\\\\\\\C:\\\\\\\\Windows\\\\\\\\system32\\\\\\\\conhost.exe 0xffffffff -ForceV1",
                "last_update": "2018-12-30T13:41:43.904Z",
                "id": "x-x-x-x-x",
                "parent_name": "python.exe",
                "parent_md5": "000000000000000000000000000000",
                "group": "Default Group",
                "hostname": "TEST",
                "filemod_count": 0,
                "start": "2018-12-30T13:41:43.885Z",
                "emet_config": "",
                "netconn_count": 0,
                "interface_ip": 167772456,
                "process_pid": xxxx,
                "username": "TEST\\\\\\\\xxxxxx",
                "terminated": "True",
                "process_name": "xxxxx.exe",
                "comms_ip": xxxxxxx,
                "path": "c:\\\\\\\\windows\\\\\\\\system32\\\\\\\\xxxxxx.exe",
                "regmod_count": 0,
                "parent_pid": 5076,
                "crossproc_count": 1,
                "current_segment": 0,
                "segment_id": 1,
                "host_type": "server",
                "processblock_count": 0,
                "os_type": "windows",
                "childproc_count": 0,
                "unique_id": "0000000e-0000-1310-01d4-a04566d29849-00000001"
            }],
        "Entity": "process.exe"
    }
]

Obtener datos de FileMod de un proceso

Descripción

Obtiene los datos de filemod de un proceso por su ID.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de proceso Cadena N/A Sí ID único del proceso.
ID de segmento Cadena N/A Sí Por ejemplo, 1.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
{
    "Process":
    {
        "process_md5": "517110bd83835338c037269e603db55d",
        "sensor_id": x,
        "group": "Default Group",
        "segment_id": x,
        "process_name": "xxxxxxx.exe",
        "start": "2013-09-19T22:07:07Z",
        "regmod_complete": [
            "2|2013-09-19 22:07:07.000000|\\\\\\\\registry\\\\\\\\user\\\\\\\\s-1-5-19\\\\\\\\software\\\\\\\\microsoft\\\\\\\\sqmclient\\\\\\\\reliability\\\\\\\\adaptivesqm\\\\\\\\manifestinfo\\\\\\\\version",
            "2|2013-09-19 22:09:07.000000|\\\\\\\\registry\\\\\\\\machine\\\\\\\\software\\\\\\\\microsoft\\\\\\\\reliability analysis\\\\\\\\rac\\\\\\\\wmilasttime"],
        "cmdline": "xxxxxxx.exe $(arg0)",
        "Filemod_complete": [
            "2|2013-09-19 22:07:07.000000|c:\\\\\\\\programdata\\\\\\\\microsoft\\\\\\\\rac\\\\\\\\statedata\\\\\\\\racmetadata.dat|",
            "2|2013-09-19 22:07:07.000000|c:\\\\\\\\programdata\\\\\\\\microsoft\\\\\\\\rac\\\\\\\\temp\\\\\\\\sql4475.tmp|"],
        "parent_id": "",
        "modload_complete": [
            "2013-09-19 22:07:07.000000||c:\\\\\\\\windows\\\\\\\\system32\\\\\\\\xxxxxx.exe",
            "2013-09-19 22:07:07.000000||c:\\\\\\\\windows\\\\\\\\system32\\\\\\\\ntdll.dll"],
        "id": "xxxxxxxxxxxxxxxx",
        "path": "c:\\\\\\\\xxxxxxx\\\\\\\\xxxxxx\\\\\\\\xxxxxxx.exe",
        "os_type": "windows",
        "last_update": "2013-09-19T22:09:07Z",
        "hostname": "xxxx-xxxxxxxxxxx"
    },
    "elapsed": 0.0126001834869
}

Obtener licencia

Descripción

Obtener la licencia actual de CB Response.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Obtener datos del árbol de procesos

Descripción

Obtiene los datos del árbol de procesos del proceso por el ID(JSON).

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de proceso Cadena N/A Sí ID único del proceso.
ID de segmento Cadena N/A Sí Por ejemplo, 1.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
{
    "Process":
    {
        "process_md5": "517110bd83835338c037269e603db55d",
        "sensor_id": x,
        "group": "Default Group",
        "segment_id": x,
        "process_name": "xxxxxx.exe",
        "last_update": "2013-09-19T22:09:07Z",
        "cmdline": "taskhost.exe $(arg0)",
        "start": "2013-09-19T22:07:07Z",
        "parent_id": "xxxxxxxxx",
        "id": "xxxxxxxxx",
        "path": "c:\\\\\\\\xxxxxxx\\\\\\\\xxxxxxx\\\\\\\\xxxxxxx.exe",
        "os_type": "xxxxxxx",
        "hostname": "xxxxxxx-xxxxxx"
    },
    "Siblings": [
        {
            "process_md5": "c78655bc80301d76ed4fef1c1ea40a7d",
            "sensor_id": x,
            "group": "Default Group",
            "segment_id": x,
            "process_name": "xxxxxxxx.exe",
            "last_update": "2013-09-19T22:34:49Z",
            "start": "2013-09-10T04:10:07Z",
            "parent_id": "xxxxxxxxx",
            "id": "xxxxxxxxxxxx",
            "path": "c:\\\\\\\\xxxxxx\\\\\\\\xxxxxxx\\\\\\\\xxxxxx.exe",
            "os_type":"xxxxxx",
            "hostname": "xxx-xxxxxxx"
        }],
    "children": [],
    "parent": {
        "process_md5": "24acb7e5be595468e3b9aa488b9b4fcb",
        "sensor_id": x,
        "group": "Default Group",
        "segment_id": x,
        "process_name": "xxxxxx.exe",
        "last_update": "2013-09-19T22:09:07Z",
        "start": "2013-09-10T04:09:51Z",
        "parent_id": "xxxxxxxxxxxx",
        "id": "xxxxxxxxxxxxx",
        "path": "c:\\\\\\\\xxxxxxx\\\\\\\\xxxxxxx\\\\\\\\xxxxxx.exe",
        "os_type": "xxxxxx",
        "hostname": "xxx-xxxxxxxx"
    }
}

Obtener información del sistema

Descripción

Obtener información del sistema de un sensor de Respuesta de CB y enriquecer la entidad.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
    {
        "EntityResult": {
            "systemvolume_total_size": "479127379968",
            "computer_name": "LP-WORKER",
            "os_environment_display_string": "Windows 10 Professional, 64-bit",
            "systemvolume_free_size": "319940304896",
            "physical_memory_size": "17058787328",
            "emet_version": "",
            "emet_dump_flags": "",
            "clock_delta": "10840",
            "supports_cblr": "True",
            "id": xx,
            "is_isolating": "False",
            "emet_process_count": 0,
            "build_id": 2,
            "uptime": "1640459",
            "computer_dns_name":"xx-xxxxxx.xxxxxx.xxxxx",
            "emet_report_setting": "(Locally configured)",
            "last_update": "2018-06-25 13:27:47.442521+03:00",
            "parity_host_id": "0",
            "power_state": 0,
            "network_isolation_enabled": "False",
            "uninstalled": "None",
            "next_checkin_time": "2018-06-25 13:28:13.089904+03:00",
            "status": "Offline",
            "num_eventlog_bytes": "13771",
            "sensor_health_message": "Elevated memory usage",
            "build_version_string": "1.1.1.1",
            "computer_sid": "S-1-5-21-x-x-x",
            "node_id": 0,
            "event_log_flush_time": "None",
            "emet_exploit_action": " (Locally configured)",
            "emet_telemetry_path":"",
            "license_expiration": "1990-01-01 00:00:00+02:00",
            "supports_isolation": "True",
            "emet_is_gpo": "False",
            "supports_2nd_gen_modloads": "False",
            "network_adapters": "x.x.x.x,xxxxxxxxx|",
            "sensor_health_status": 90,
            "registration_time": "2018-03-01 08:12:47.420579+02:00",
            "restart_queued": "False",
            "notes": "None",
            "num_storefiles_bytes": "0",
            "os_environment_id": 5,
            "cookie": 292474955,
            "shard_id": x,
            "boot_id": "xx",
            "last_checkin_time": "2018-06-25 13:27:43.091387+03:00",
            "os_type": 1,
            "group_id": x,
            "display": "True",
            "sensor_uptime": "x",
            "uninstall":"False"
        },
        "Entity": "xx-xxxxx"
    }
]

Hosts por proceso

Descripción

Obtiene los hosts relacionados con un proceso concreto.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad Proceso.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
    {
        "EntityResult": [
            {
                "systemvolume_total_size": "160534884352",
                "computer_name": "COMPUTER",
                "os_environment_display_string": "Windows 10 Server Server Standard (Evaluation), 64-bit",
                "systemvolume_free_size": "120903110656",
                "physical_memory_size": "8589463552",
                "emet_version": "",
                "emet_dump_flags": "",
                "clock_delta": "7348",
                "supports_cblr": "True",
                "id": xx,
                "is_isolating": "False",
                "emet_process_count": 0,
                "build_id": 2,
                "uptime": "5888902",
                "computer_dns_name": "COMPUTER",
                "emet_report_setting": " (Locally configured)",
                "last_update": "2019-01-07 11:07:17.187979+02:00",
                "parity_host_id": "x",
                "power_state": 0,
                "network_isolation_enabled": "False",
                "uninstalled": "None",
                "next_checkin_time": "2019-01-07 11:07:44.348203+02:00",
                "status": "Offline",
                "num_eventlog_bytes": "34800",
                "sensor_health_message": "Healthy",
                "build_version_string": "1.1.1.1",
                "computer_sid": "S-1-5-21-405201704-2854221227-856099807",
                "node_id": 0,
                "event_log_flush_time": "None",
                "emet_exploit_action": " (Locally configured)",
                "emet_telemetry_path": "",
                "license_expiration": "1990-01-01 00:00:00+02:00",
                "supports_isolation": "True",
                "emet_is_gpo": "False",
                "supports_2nd_gen_modloads": "False",
                "network_adapters": "x.x.x.x,xxxxxxxx|",
                "sensor_health_status": 100,
                "registration_time": "2018-12-22 02:46:33.629175+02:00",
                "restart_queued": "False",
                "notes": "None",
                "num_storefiles_bytes": "0",
                "os_environment_id": 8,
                "cookie": 1164577502,
                "shard_id": 0,
                "boot_id": "1",
                "last_checkin_time": "2019-01-07 11:07:14.349477+02:00",
                "os_type": 1,
                "group_id": 1,
                "display": "True",
                "sensor_uptime": "1412441",
                "uninstall": "False"
            }],
        "Entity": "xxxxxx.xxx"
    }
]

Aislar host

Descripción

Aísla un endpoint de la red.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Finalizar proceso

Descripción

Finaliza un proceso en un host concreto.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Proceso
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Mostrar procesos

Descripción

Lista los procesos relacionados con las entidades proporcionadas.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
    {
        "EntityResult": [
            {
                "modload_count": 63,
                "sensor_id": xx,
                "filtering_known_dlls": "False",
                "process_md5": "00eb8baca58a0dd0106d67db566d6ea4",
                "parent_unique_id": "x-x-x-x-x-x",
                "emet_count": 0,
                "cmdline": "python.exe C:\\\\\\\\HOST_Server\\\\\\\\z31fmfzn.vzo.py",
                "last_update": "2018-12-30T13:39:55.642Z",
                "id": "xxxxxx-xxxx-xxxxx-xxxxxx-xxxxxxx",
                "parent_name": "xxxx.xxxxxx.xxxxxxx.xxxxxxx.exe",
                "parent_md5": "000000000000000000000000000000",
                "group": "Default Group",
                "hostname": "xxxx",
                "filemod_count": 7,
                "start": "2018-12-30T13:39:34.728Z",
                "emet_config": "",
                "netconn_count": 2,
                "interface_ip": 167772456,
                "process_pid": 6024,
                "username": "xxxx\\\\\\\\xxxx",
                "terminated": "True",
                "process_name": "xxxxx.exe",
                "comms_ip": xxxxxx,
                "path": "c:\\\\\\\\python27\\\\\\\\python.exe",
                "regmod_count": 0,
                "parent_pid": 4152,
                "crossproc_count": 1,
                "current_segment": 0,
                "segment_id": x,
                "host_type": "server",
                "processblock_count": 0,
                "os_type": "windows",
                "childproc_count": 1,
                "unique_id": "x-x-x-x-x-x"
            }],
        "Entity": "HOST"
    }
]

Ping

Descripción

Prueba de conectividad.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Procesar consulta gratuita

Descripción

Lista de procesos por consulta gratuita.

Parámetros

Parámetro Tipo Valor predeterminado Es obligatorio Descripción
Consulta Cadena N/A Sí Por ejemplo, process_name:python.exe.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
    {
        "process_md5": "00eb8baca58a0dd0106d67db566d6ea4",
        "sensor_id": xx,
        "filtering_known_dlls": "False",
        "modload_count": 63,
        "parent_unique_id": "x-x-x-x-x-x",
        "emet_count": 0,
        "group": "Default Group",
        "cmdline": "python.exe C:\\\\\\\\bin\\\\\\\\\\\\\\\\z31fmfzn.vzo.py",
        "last_update": "2018-12-30T13:39:55.642Z",
        "id": "x-x-x-x-x",
        "parent_name": "xxxx.xxxxxx.xxxxxx.xxxxxx.exe",
        "parent_md5": "000000000000000000000000000000",
        "parent_pid": 4152,
        "hostname": "xxxx",
        "filemod_count": 7,
        "start": "2018-12-30T13:39:34.728Z",
        "emet_config": "",
        "netconn_count": 2,
        "interface_ip": xxxxxxxx,
        "process_pid": 6024,
        "username": "xxxxx\\\\\\\\xxxxx",
        "terminated": "True",
        "process_name": "xxxxxx.xxx",
        "comms_ip": xxxxxxx,
        "path": "c:\\\\\\\\python27\\\\\\\\xxxxxx.exe",
        "regmod_count": 0,
        "crossproc_count": 1,
        "current_segment": 0,
        "segment_id": x,
        "host_type": "server",
        "processblock_count": 0,
        "os_type": "windows",
        "childproc_count": 1,
        "unique_id": "x-x-x-x-x-x"
    }
]

Resolver alerta

Descripción

Resuelve una alerta.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Cadena N/A Sí ID de la alerta que se va a resolver.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Desbloquear hash

Descripción

Desbloquear un hash.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Unisolate Host

Descripción

Volver a unir un endpoint a la red.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False

Conectores

Conector de respuesta de Carbon Black

Configurar Carbon Black Response Connector en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Entorno DDL N/A Sí

Seleccione el entorno que quiera. Por ejemplo, "Cliente uno".

Si el campo de entorno de la alerta está vacío, la alerta se inyectará en este entorno.
Ejecutar cada Entero 0:0:0:10 No Selecciona la hora a la que quieres que se ejecute la conexión.
Nombre del campo de producto Cadena device_product Sí Nombre del campo que se usa para determinar el producto del dispositivo.
Nombre del campo de evento Cadena name Sí Nombre del campo que se usa para determinar el nombre del evento (subtipo).
Tiempo de espera de secuencia de comandos (segundos) Cadena 60 Sí El límite de tiempo de espera (en segundos) del proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API Cadena null Sí https://x.x.x.x
Clave de API Contraseña N/A Sí N/A
Versión Cadena 6,3 Sí Versión del servidor de CB. Se usará la versión 6.3 de forma predeterminada.
Límite de recuento de alertas Entero 20 Sí Limita el número de alertas en cada ciclo. Ejemplo: 20
Máximo de días hacia atrás Entero 3 Sí Este campo se usa en el primer ciclo de ejecución del conector y determina la hora de inicio del conector. Ejemplo: 3
Nombre del campo de entorno Cadena N/A No Nombre del campo del entorno.
Tipo de lista Cadena N/A No Puede ser una lista blanca o una lista negra.
Lista de operadores Cadena N/A No Puede ser "exact" (exacto), "start with" (empieza por), "ends with" (termina por) o "contains" (contiene).
Mostrar campos Cadena N/A No Lista de campos separados por comas.
Dirección del servidor proxy Cadena N/A No Dirección del servidor proxy que se va a usar.
Nombre de usuario del proxy Cadena N/A No Nombre de usuario del proxy para autenticarse.
Contraseña del proxy Contraseña N/A No La contraseña del proxy para autenticarte.

Reglas de conectores

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.