Symantec ATP

Versión de integración: 9.0

Configurar Symantec ATP para que funcione con Google Security Operations

Para generar un cliente de OAuth, sigue estos pasos:

1. En Symantec ATP Manager, vaya a Configuración y, a continuación, a Compartir datos.
2. En la sección Clientes de OAuth, haz clic en Añadir aplicación.
3. Escribe el nombre de la aplicación que quieras registrar en el campo Nombre de la aplicación y, a continuación, selecciona la versión de la API que vas a usar (la versión 2 está seleccionada de forma predeterminada).
4. Si seleccionas la opción para habilitar las APIs de la versión 2, aparecerá la opción Rol. En el menú desplegable, selecciona el rol del usuario en la aplicación.
5. Haz clic en Generar.
6. Aparecerán el ID y el secreto de cliente.
7. Haz clic en Listo.

Configurar la integración de Symantec ATP en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Acciones

Añadir comentario a incidente

Descripción

Adjunta un comentario a una incidencia.

1. En el incidente en el que quieras hacer un comentario, haz clic en el campo Comentarios.
2. Escribe tu comentario en el cuadro Nuevo comentario. Los caracteres ASCII extendidos no se muestran correctamente en formato .csv.
3. Haz clic en Añadir comentarios.

Parámetros

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Añadir a lista negra

Descripción

Crea una política de lista negra para una entidad. Symantec mantiene una lista negra mundial de ordenadores y archivos externos que se actualiza periódicamente y se integra con Symantec Advanced Threat Protection (ATP). Puedes complementar esta lista creando políticas de listas negras para ordenadores externos o archivos que consideres que no son de confianza. Por ejemplo, puede crear una política de lista negra para un archivo que haya aparecido recientemente en su información de ciberseguridad y que Symantec aún no haya identificado como amenaza.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

• Filehash
• Nombre de host
• Dirección IP
• URL

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

  N/A

Añadir a lista de permitidos

Descripción

Cuando incluyes en la lista blanca un ordenador externo, ATP lo considera de confianza y no inspecciona el tráfico hacia o desde él desde tus endpoints (aunque esté en la lista negra). Puede incluir en una lista blanca un ordenador externo en función de su dirección IP, subred, dominio o URL.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

• Filehash
• Nombre de host
• Dirección IP
• URL

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Cerrar incidente

Descripción

Cambia el estado del incidente a Cerrado. Para cerrar el incidente, debe especificarse el resultado.

Parámetros

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Eliminar archivo

Descripción

Cuando se selecciona un archivo para eliminarlo en Protección Avanzada contra Amenazas (ATP), no se elimina, sino que se pone en cuarentena en el endpoint seleccionado.

Parámetros

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

• Filehash
• Nombre de host

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Eliminar política de lista de permitidos

Descripción

Elimina una política de lista de permitidos de una entidad.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Enrich Filehash

Descripción

Enriquecer una entidad de hash de archivo.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Get Events for Entity

Descripción

Obtiene todos los eventos de una entidad desde un momento determinado.

Parámetros

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

• Nombre de host
• Dirección IP

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Get Events Free Query

Descripción

Obtener eventos mediante una consulta gratuita.

Parámetros

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Obtener el estado de los comandos del entorno aislado

Descripción

Obtener el estado de los comandos por ID.

Parámetros

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Aislar endpoint

Descripción

Para aislar los endpoints de ATP Manager, se necesita una política de firewall de cuarentena y una política de integridad de host en Symantec Endpoint Protection Manager.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

• Nombre de host
• Dirección IP

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Ping

Descripción

Verifica que el usuario tenga una conexión con Symantec ATP a través de su dispositivo.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Volver a unirse a endpoints

Descripción

Para volver a añadir los endpoints desde ATP Manager, se necesita una política de cortafuegos de cuarentena y una política de integridad de host en Symantec Endpoint Protection Manager.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

• Nombre de host
• Dirección IP

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Revocar de la lista negra

Descripción

Elimina una política de lista negra de una entidad determinada.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Enviar archivos al entorno aislado

Descripción

Enviar hashes de archivos al sandbox.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Obtener comentarios de incidentes

Descripción

Recuperar los comentarios relacionados con el incidente.

Parámetros

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

{
    "next": "MSwyMDIwLTA1LTAzVDEyOjU4OjMwLjc2Mlo=",
    "result": [
        {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        }
    ],
    "total": 3
}

{
    "entity": "{Incident UUID} comments"
    "Entity Results": [
"1": {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        },
"2" : {
 {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        },
"3":
 {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        }

]

           ],
    "total": 3
}

Actualizar resolución de incidente

Descripción

Actualiza la resolución del incidente.

Parámetros

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Eliminar política de lista negra

Descripción

Elimina una política de lista negra de una entidad de Google SecOps.

Parámetros

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Conectores

Conector de incidentes de Symantec ATP

Permisos del conector

Para que el conector funcione, necesitas los siguientes permisos para tu token de API:

• atp_view_incidents

Configurar el conector de incidentes de Symantec ATP en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Reglas de conectores

Compatibilidad con proxies

El conector admite proxies.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.