Symantec ATP

Versione integrazione: 9.0

Configurare Symantec ATP per funzionare con Google Security Operations

Per generare un client OAuth:

1. In Symantec ATP Manager, vai a Impostazioni e poi a Condivisione dei dati.
2. Fai clic su Aggiungi applicazione nella sezione Client OAuth.
3. Digita il nome dell'applicazione che intendi registrare nel campo Nome app, quindi seleziona la versione dell'API che utilizzerai (l'impostazione predefinita è la versione 2).
4. Se selezioni l'abilitazione delle API versione 2, viene visualizzata l'opzione Ruolo. Seleziona il ruolo utente per l'app dal menu a discesa.
5. Fai clic su Genera.
6. Verranno visualizzati l'ID client e il client secret.
7. Fai clic su Fine.

Configurare l'integrazione di Symantec ATP in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, vedi Configurare le integrazioni.

Azioni

Aggiungi commento all'incidente

Descrizione

Allegare un commento a un incidente.

1. Per l'incidente in cui vuoi aggiungere un commento, fai clic sul campo Commenti.
2. Digita il tuo commento nella casella Nuovo commento. I caratteri ASCII estesi non vengono visualizzati correttamente nel formato .csv.
3. Fai clic su Aggiungi commenti.

Parametri

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Aggiungi alla blacklist

Descrizione

Crea un criterio di lista bloccata per un'entità. Symantec gestisce una blacklist mondiale di computer e file esterni che viene aggiornata regolarmente e integrata con Symantec Advanced Threat Protection (ATP). Puoi integrare questo elenco creando policy di blacklist per computer esterni o per i file che ritieni non attendibili. Ad esempio, potresti voler creare una policy di lista nera per un file visualizzato di recente nella tua intelligence per la sicurezza informatica che Symantec non ha ancora identificato come minaccia.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

• Filehash
• Nome host
• Indirizzo IP
• URL

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

  N/A

Aggiungi alla lista consentita

Descrizione

Quando inserisci un computer esterno nella lista consentita, ATP lo considera attendibile e non ispeziona il traffico da o verso i tuoi endpoint (anche se è inserito nella lista nera). Puoi inserire un computer esterno nella lista consentita in base al suo indirizzo IP, alla sottorete, al dominio o all'URL.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

• Filehash
• Nome host
• Indirizzo IP
• URL

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Chiudi incidente

Descrizione

Modifica lo stato dell'incidente in Chiuso. Per chiudere l'incidente, è necessario specificarne l'esito.

Parametri

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Elimina file

Descrizione

Quando un file viene selezionato per l'eliminazione in Protezione avanzata dalle minacce (ATP), non viene effettivamente eliminato, ma verrà messo in quarantena dall'endpoint selezionato.

Parametri

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

• Filehash
• Nome host

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Elimina policy della lista consentita

Descrizione

Elimina una policy della whitelist per un'entità.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Arricchisci Filehash

Descrizione

Arricchisci un'entità hash di file.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita sull'entità Filehash.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Recupera eventi per entità

Descrizione

Recupera tutti gli eventi per un'entità da un determinato momento.

Parametri

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

• Nome host
• Indirizzo IP

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Ottieni query gratuita per eventi

Descrizione

Recupera gli eventi tramite query gratuita.

Parametri

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Ottenere lo stato dei comandi sandbox

Descrizione

Ottieni lo stato dei comandi in base all'ID.

Parametri

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Isola endpoint

Descrizione

Per isolare gli endpoint da ATP Manager, è necessaria una policy firewall di quarantena e una policy di integrità host in Symantec Endpoint Protection Manager.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

• Nome host
• Indirizzo IP

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Dindin

Descrizione

Verifica che l'utente abbia una connessione a Symantec ATP tramite il proprio dispositivo.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Riassegnazione degli endpoint

Descrizione

Per rientrare negli endpoint da ATP Manager, è necessaria una policy firewall di quarantena e una policy di integrità host in Symantec Endpoint Protection Manager.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

• Nome host
• Indirizzo IP

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Revoca dalla lista nera

Descrizione

Elimina una policy di blacklist per una determinata entità.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Inviare file alla sandbox

Descrizione

Inviare gli hash dei file alla sandbox.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita sull'entità Filehash.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Recupera commenti incidente

Descrizione

Recupera i commenti relativi all'incidente.

Parametri

Run On

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

{
    "next": "MSwyMDIwLTA1LTAzVDEyOjU4OjMwLjc2Mlo=",
    "result": [
        {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        }
    ],
    "total": 3
}

{
    "entity": "{Incident UUID} comments"
    "Entity Results": [
"1": {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        },
"2" : {
 {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        },
"3":
 {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        }

]

           ],
    "total": 3
}

Aggiorna risoluzione incidente

Descrizione

Aggiorna la risoluzione dell'incidente.

Parametri

Run On

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Elimina policy della lista nera

Descrizione

Elimina un criterio di lista nera per un'entità Google SecOps.

Parametri

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script

Risultato JSON

N/A

Connettori

Connettore Symantec ATP - Incidents

Autorizzazioni del connettore

Affinché il connettore funzioni, devi disporre delle seguenti autorizzazioni per il token API:

• atp_view_incidents

Configurare il connettore Symantec ATP - Incidents in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, vedi Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Regole del connettore

Supporto del proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.