Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

ANY.RUN in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie ANY.RUN in Google Security Operations (Google SecOps) einbinden.

Produktberechtigung

Die Integration funktioniert mit der API-Schlüsselauthentifizierung. Sie können auf der ANY.RUN-Seite einen neuen API-Schlüssel generieren.

Integrationsparameter

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Instanzname	String	–	Nein	Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung	String	–	Nein	Beschreibung der Instanz.
API-Schlüssel	Passwort	–	Ja	API-Schlüssel für die Integration.
Remote ausführen	Kästchen	Deaktiviert	Nein	Setzen Sie ein Häkchen, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Datei analysieren

Erstellen Sie eine ANY.RUN-Dateianalyseaufgabe.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt. Der vollständige Pfad zur Datei für die Analyse sollte als Eingabeparameter für die Aktion angegeben werden.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Dateipfad	String	–	Nein	Geben Sie den vollständigen Pfad zur Datei an, die analysiert werden soll.
Auf den Bericht warten?	Kästchen	Aktiviert	Nein	Geben Sie an, ob die Aktion auf die Erstellung des Berichts warten soll. Der Bericht kann auch später mit der Aktion „Bericht abrufen“ abgerufen werden, sobald der Scan abgeschlossen ist.
Grenzwert	Ganzzahl	0	Ja	Wenn das Kästchen „Auf Bericht warten“ angekreuzt ist, wird die Entität als verdächtig markiert, wenn der Risikowert im Bericht für die Entität über dem angegebenen Schwellenwert liegt.
Versuchen, die Einreichung x-mal zu erstellen	Ganzzahl	30	Ja	Wie viele Versuche die Aktion unternehmen soll, um zu prüfen, ob das API-Gleichzeitigkeitslimit nicht überschritten wird, und um zu versuchen, eine neue Einreichung zu erstellen. Die Prüfung erfolgt alle 2 Sekunden.
Version des Betriebssystems	DDL	7 Mögliche Werte: 7 8.1 10	Nein	Betriebssystemversion, für die die Analyse ausgeführt werden soll.
Bit-Architektur des Betriebssystems	DDL	32 Mögliche Werte: 32 64	Nein	Bitness des Betriebssystems
Betriebssystem-Umgebungstyp	DDL	abgeschlossen Mögliche Werte: abgeschlossen büro sauber	Nein	Umgebungstyp, für den die Analyse ausgeführt werden soll.
Status der Netzwerkverbindung	DDL	An Mögliche Werte: An Aus	Nein	Status der Netzwerkverbindung für die Analyse.
FakeNet-Funktionsstatus	DDL	falsch Mögliche Werte: wahr falsch	Nein	FakeNet-Featurestatus für die Analyse.
TOR verwenden	DDL	falsch Mögliche Werte: wahr falsch	Nein	Gibt an, ob TOR während der Analyse verwendet werden soll.
opt_network_mitm	DDL	falsch Mögliche Werte: wahr falsch	Nein	HTTPS-MITM-Proxy-Option.
opt_network_geo	DDL	Schnellste Mögliche Werte: Schnellste AU BR DE CH FR KR USA RU GB IT-Team	Nein	Option für die Standortbestimmung.
opt_network_heavyevasion	DDL	falsch Mögliche Werte: wahr falsch	Nein	Option für starkes Ausweichen.
opt_privacy_type	DDL	Nach Link Mögliche Werte: Über Link Öffentlich Inhaber Nach Team	Nein	Datenschutzeinstellungen für die Analyse.
opt_timeout	String	60	Nein	Zeitlimit für die Analyse im Bereich von 10 bis 600 Sekunden.
obj_ext_startfolder	DDL	temp Mögliche Werte: temp Desktop Home Downloads appdata Fenster root	Nein	Startort für die Analyse.

Anwendungsfälle

Analysieren Sie die Datei, die Teil der Benachrichtigung ist, um festzustellen, ob sie schädlich ist.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Mark entity as suspicious if the number of negative engines is equal or above the given threshold. if data.get("report", {}).get("risk_score", {}).get("result") > threshold

Name des Anreicherungsfelds	Logik – Wann anwenden
domain_blacklist	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
html_forms	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
server_details	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
response_headers	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Weiterleitung	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
file_type	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
risk_score	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
security_checks	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
geo_location	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
url_parts	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
site_category	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
web_page	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
dns_records	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	True oder False	is_success:False

JSON-Ergebnis

Option 1: Wenn das Kästchen „Auf Bericht warten“ nicht aktiviert ist, werden die Informationen zur erstellten Analyseaufgabe zurückgegeben (Antwort auf Anfrage 1).

{
    "error": false,
    "data": {
        "taskid": "TASK_ID"
    }
}

Option 2: Wenn das Kästchen „Auf Bericht warten“ nicht aktiviert ist, werden die Informationen zum erstellten Analysevorgang zurückgegeben (Antwort auf Anfrage 1).

{
    "error": false,
    "data": {
        "analysis": {
            "uuid": "UUID",
            "permanentUrl": "https://app.any.run/tasks/UUID",
            "reports": {
                "IOC": "https://api.any.run/report/UUID/ioc/json",
                "MISP": "https://api.any.run/report/UUID/summary/misp",
                "HTML": "https://api.any.run/report/UUID/summary/html",
                "graph": "https://content.any.run/tasks/UUID/graph"
            },
            "sandbox": {
                "name": "ANY.RUN - Interactive Sandbox",
                "plan": {
                    "name": "Tester"
                }
            },
            "duration": 60,
            "creation": 1602483368256,
            "creationText": "2020-10-12T06:16:08.256Z",
            "tags": [],
            "options": {
            }
        }
    }
}

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn die Analyseaufgabe für die angegebene Datei erfolgreich erstellt wurde: "Successfully created analysis task for file: {0}".format(file_path). Wenn die Analyseaufgabe für die angegebene Datei nicht erstellt werden kann: „Failed to create ANY.RUN analysis task for file: {0}“.format(file_path). Wenn das Kästchen „Auf Bericht warten“ aktiviert ist und die Aktion beendet wird, weil das Zeitlimit für den Python-Prozess fast erreicht ist: „Aktion hat das Zeitlimit beim Warten auf den Bericht für die Datei erreicht: {0}“ ausgeben.format(file_path). Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)	Allgemein

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn die Analyseaufgabe für die angegebene Datei erfolgreich erstellt wurde: "Successfully created analysis task for file: {0}".format(file_path).

Wenn die Analyseaufgabe für die angegebene Datei nicht erstellt werden kann: „Failed to create ANY.RUN analysis task for file: {0}“.format(file_path).

Wenn das Kästchen „Auf Bericht warten“ aktiviert ist und die Aktion beendet wird, weil das Zeitlimit für den Python-Prozess fast erreicht ist: „Aktion hat das Zeitlimit beim Warten auf den Bericht für die Datei erreicht: {0}“ ausgeben.format(file_path).

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)

Allgemein

Datei-URL analysieren

Erstellen Sie eine ANY.RUN-Dateianalyseaufgabe.

Die Aktion funktioniert nicht mit Google SecOps-Entitäten. Die URL zur zu analysierenden Datei muss als Eingabeparameter für die Aktion angegeben werden.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
URL zur Datei	String	–	Nein	Geben Sie die URL der Datei an, die heruntergeladen und analysiert werden soll.
Quell-URL ausblenden?	Kästchen	Deaktiviert	Nein	Geben Sie an, ob die Quell-URL für die heruntergeladene Datei ausgeblendet werden soll.
Auf den Bericht warten?	Kästchen	Aktiviert	Nein	Geben Sie an, ob die Aktion auf die Erstellung des Berichts warten soll. Der Bericht kann auch später mit der Aktion „Bericht abrufen“ abgerufen werden, sobald der Scan abgeschlossen ist.
Grenzwert	Ganzzahl	0	Ja	Wenn das Kästchen „Auf Bericht warten“ angekreuzt ist, wird die Entität als verdächtig markiert, wenn der Risikowert im Bericht für die Entität über dem angegebenen Schwellenwert liegt.
Versuchen, die Einreichung x-mal zu erstellen	Integer	30	Ja	Wie viele Versuche die Aktion unternehmen soll, um zu prüfen, ob das API-Gleichzeitigkeitslimit nicht überschritten wird, und um zu versuchen, eine neue Einreichung zu erstellen. Die Prüfung erfolgt alle 2 Sekunden.
Version des Betriebssystems	DDL	7	Nein	Betriebssystemversion, für die die Analyse ausgeführt werden soll.
Bit-Architektur des Betriebssystems	DDL	32	Nein	Bitness des Betriebssystems
Betriebssystem-Umgebungstyp	DDL	abgeschlossen	Nein	Umgebungstyp, für den die Analyse ausgeführt werden soll.
Status der Netzwerkverbindung	DDL	An	Nein	Status der Netzwerkverbindung für die Analyse.
FakeNet-Funktionsstatus	DDL	Falsch	Nein	FakeNet-Featurestatus für die Analyse.
TOR verwenden	DDL	Falsch	Nein	Gibt an, ob TOR während der Analyse verwendet werden soll.
opt_network_mitm	DDL	Falsch	Nein	HTTPS-MITM-Proxy-Option.
opt_network_geo	DDL	Schnellste	Nein	Option für die Standortbestimmung.
opt_network_heavyevasion	DDL	Falsch	Nein	Option für starkes Ausweichen.
opt_privacy_type	DDL	Nach Link Mögliche Werte: Über Link Öffentlich Inhaber Nach Team	Nein	Datenschutzeinstellungen für die Analyse.
opt_timeout	String	60	Nein	Zeitlimit für die Analyse im Bereich von 10 bis 600 Sekunden.
obj_ext_startfolder	DDL	temp	Nein	Startort für die Analyse.

Anwendungsfälle

Analysieren Sie die Datei, die Teil der Benachrichtigung ist, um festzustellen, ob sie schädlich ist.

Ausführen am

Diese Aktion funktioniert nicht für Entitäten.

Aktionsergebnisse

Entitätsanreicherung

Entität als verdächtig markieren, wenn die Anzahl der negativen Engines dem angegebenen Grenzwert entspricht oder darüber liegt. is_suspicious: if data.get("score") > threshold

Name des Anreicherungsfelds	Logik – Wann anwenden
Domain	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
should_block	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Punktzahl	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
disposable	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
has_mx_records	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
has_spf_records	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	True oder False	is_success:False

JSON-Ergebnis

Option 1: Wenn das Kästchen „Auf Bericht warten“ nicht aktiviert ist, werden die Informationen zur erstellten Analyseaufgabe zurückgegeben (Antwort auf Anfrage 1).

{
    "error": false,
    "data": {
        "taskid": "TASK_ID"
    }
}

Option 2: Wenn das Kästchen „Auf Bericht warten“ nicht aktiviert ist, werden die Informationen zum erstellten Analysevorgang zurückgegeben (Antwort auf Anfrage 1).

{
    "error": false,
    "data": {
        "analysis": {
            "uuid": "UUID",
            "permanentUrl": "https://app.any.run/tasks/UUID",
            "reports": {
                "IOC": "https://api.any.run/report/UUID/ioc/json",
                "MISP": "https://api.any.run/report/UUID/summary/misp",
                "HTML": "https://api.any.run/report/UUID/summary/html",
                "graph": "https://content.any.run/tasks/UUID/graph"
            },
            "sandbox": {
                "name": "ANY.RUN - Interactive Sandbox",
                "plan": {
                    "name": "Tester"
                }
            },
            "duration": 60,
            "creation": 1602483368256,
            "creationText": "2020-10-12T06:16:08.256Z",
            "tags": [],
            "options": {
            }
        }
    }
}

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn die Analyseaufgabe für die angegebene Datei erfolgreich erstellt wurde: "Successfully created analysis task for file: {0}".format(file_path). Wenn die Erstellung der Analyseaufgabe für die angegebene Datei fehlschlägt: ANY.RUN-Analyseaufgabe für Datei konnte nicht erstellt werden: {0}".format(file_path). Wenn das Kästchen „Auf Bericht warten“ aktiviert ist und die Aktion beendet wird, weil das Zeitlimit für den Python-Prozess fast erreicht ist: „Action reached timeout waiting for report for file: {0}“.format(file_path). Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)	Allgemein

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn die Analyseaufgabe für die angegebene Datei erfolgreich erstellt wurde: "Successfully created analysis task for file: {0}".format(file_path).

Wenn die Erstellung der Analyseaufgabe für die angegebene Datei fehlschlägt: ANY.RUN-Analyseaufgabe für Datei konnte nicht erstellt werden: {0}".format(file_path).

Wenn das Kästchen „Auf Bericht warten“ aktiviert ist und die Aktion beendet wird, weil das Zeitlimit für den Python-Prozess fast erreicht ist: „Action reached timeout waiting for report for file: {0}“.format(file_path).

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)

Allgemein

URL analysieren

Erstellt eine ANY.RUN-Analyseaufgabe für die angegebene URL.

Die Aktion unterstützt keine Google SecOps-Entitäten. Eine zu analysierende URL muss als Eingabeparameter angegeben werden.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
URL für die Analyse	String	–	Nein	Geben Sie die zu analysierende URL an.
Auf den Bericht warten?	Kästchen	Aktiviert	Nein	Geben Sie an, ob die Aktion auf die Erstellung des Berichts warten soll. Der Bericht kann auch später mit der Aktion „Bericht abrufen“ abgerufen werden, sobald der Scan abgeschlossen ist.
Versuchen, die Einreichung x-mal zu erstellen	Ganzzahl	30	Ja	Wie viele Versuche die Aktion unternehmen soll, um zu prüfen, ob das API-Gleichzeitigkeitslimit nicht überschritten wird, und um zu versuchen, eine neue Einreichung zu erstellen. Die Prüfung erfolgt alle 2 Sekunden.
Version des Betriebssystems	DDL	7	Nein	Betriebssystemversion, für die die Analyse ausgeführt werden soll.
Bit-Architektur des Betriebssystems	DDL	32	Nein	Bitness des Betriebssystems
Betriebssystem-Umgebungstyp	DDL	abgeschlossen	Nein	Umgebungstyp, für den die Analyse ausgeführt werden soll.
Status der Netzwerkverbindung	DDL	An	Nein	Status der Netzwerkverbindung für die Analyse.
FakeNet-Funktionsstatus	DDL	Falsch	Nein	FakeNet-Featurestatus für die Analyse.
TOR verwenden	DDL	Falsch	Nein	Gibt an, ob TOR während der Analyse verwendet werden soll.
opt_network_mitm	DDL	Falsch	Nein	HTTPS-MITM-Proxy-Option.
opt_network_geo	DDL	Schnellste	Nein	Option für die Standortbestimmung.
opt_network_heavyevasion	DDL	Falsch	Nein	Option für starkes Ausweichen.
opt_privacy_type	DDL	Nach Link Mögliche Werte: Über Link Öffentlich Inhaber Nach Team	Nein	Datenschutzeinstellungen für die Analyse.
opt_timeout	String	60	Nein	Zeitlimit für die Analyse im Bereich von 10 bis 600 Sekunden.
obj_ext_startfolder	DDL	temp	Nein	Startort für die Analyse.

Anwendungsfälle

Analysieren Sie die URL, die Teil der geprüften Benachrichtigung ist, um festzustellen, ob sie schädlich ist.

Ausführen am

Diese Aktion wird für die URL-Entität ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	True oder False	is_success:False

JSON-Ergebnis

Option 1: Wenn das Kästchen „Auf Bericht warten“ nicht aktiviert ist, werden die Informationen zur erstellten Analyseaufgabe zurückgegeben (Antwort auf Anfrage 1).

{
    "error": false,
    "data": {
        "taskid": "TASK_ID"
    }
}

Option 2: Wenn das Kästchen „Auf Bericht warten“ nicht aktiviert ist, werden die Informationen zum erstellten Analysevorgang zurückgegeben (Antwort auf Anfrage 1).

{
    "error": false,
    "data": {
        "analysis": {
            "uuid": "UUID",
            "permanentUrl": "https://app.any.run/tasks/UUID",
            "reports": {
                "IOC": "https://api.any.run/report/UUID/ioc/json",
                "MISP": "https://api.any.run/report/UUID/summary/misp",
                "HTML": "https://api.any.run/report/UUID/summary/html",
                "graph": "https://content.any.run/tasks/UUID/graph"
            },
            "sandbox": {
                "name": "ANY.RUN - Interactive Sandbox",
                "plan": {
                    "name": "Tester"
                }
            },
            "duration": 60,
            "creation": 1602483368256,
            "creationText": "2020-10-12T06:16:08.256Z",
            "tags": [],
            "options": {
            }
        }
    }
}

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn für mindestens eine der angegebenen Entitäten ein Analyseauftrag erstellt wurde: „Created analysis tasks for the following entities: {0}“.format([entity.Identifier]). Wenn für alle bereitgestellten Entitäten keine Analyseaufgabe erstellt werden kann: „Es wurden keine ANY.RUN-Analyseaufgaben erstellt.“ Wenn für einige Entitäten keine Analyseaufgaben erstellt werden können: "Failed to create analysis tasks for the following entities: {0}".format([entity.identifier]) Wenn das Kästchen „Auf Bericht warten“ aktiviert ist und die Aktion beendet wird, weil das Zeitlimit für den Python-Prozess fast erreicht ist: „Action reached timeout waiting for report for the following entities: {0}“.format([entity.identifier]) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)	Allgemein

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn für mindestens eine der angegebenen Entitäten ein Analyseauftrag erstellt wurde: „Created analysis tasks for the following entities: {0}“.format([entity.Identifier]).

Wenn für alle bereitgestellten Entitäten keine Analyseaufgabe erstellt werden kann: „Es wurden keine ANY.RUN-Analyseaufgaben erstellt.“

Wenn für einige Entitäten keine Analyseaufgaben erstellt werden können: "Failed to create analysis tasks for the following entities: {0}".format([entity.identifier])

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)

Allgemein

Bericht abrufen

ANY.RUN-Bericht aus einer früheren Analyse basierend auf der angegebenen Google SecOps-Datei, dem FileHash oder der URL-Entität abrufen.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Grenzwert	Ganzzahl	0	Ja	Entität als verdächtig markieren, wenn der Punktwert für die Entität über dem angegebenen Schwellenwert liegt.
In den letzten x Scans suchen	Ganzzahl	25	Ja	Sucht nach einem Bericht für den angegebenen Dateihash in den letzten x Analysen, die in ANY.RUN ausgeführt wurden.
Insight erstellen?	Kästchen	Deaktiviert	Nein	Geben Sie an, ob eine Statistik basierend auf den Berichtsdaten erstellt werden soll.
Aktuellen Bericht abrufen?	Kästchen	Aktiviert	Nein	Geben Sie an, ob der neueste Analysebericht oder alle gefundenen Berichte für die angegebene Entität zurückgegeben werden sollen.

Anwendungsfälle

Suchen Sie im Playbook nach dem ANY.RUN-Hash, der in der Benachrichtigungsanalyse vorkommt.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

Dateiname
Filehash
URL

Aktionsergebnisse

Entitätsanreicherung

Die Aktion sollte diesen Wert auf „True“ setzen, wenn der Risikowert für die Entität über dem Schwellenwert liegt, der als Eingabeparameter für die Aktion angegeben wurde.

Statistiken

Insight-Logik	Typ	Titel	Entität	Einstufung	Bedrohungsstufe	Punktzahl
Erstellen, wenn das entsprechende Kästchen angeklickt wurde.	Entität	Beliebig/Bericht erstellen	Entitäts-ID, für die die Statistik erstellt wird	Wert aus API-Antwort	Wert aus API-Antwort	Wert aus API-Antwort

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	True oder False	is_success:False

JSON-Ergebnis

{
  "error":false,
  "data":{
    "analysis":{
      "uuid":"UUID",
      "permanentUrl":"https://app.any.run/tasks/UUID",
      "reports":{
        "IOC":"https://api.any.run/report/UUID/ioc/json",
        "MISP":"https://api.any.run/report/UUID/summary/misp",
        "HTML":"https://api.any.run/report/UUID/summary/html",
        "graph":"https://content.any.run/tasks/UUID/graph"
      },
      "sandbox":{
        "name":"ANY.RUN - Interactive Sandbox",
        "plan":{
          "name":"Tester"
        }
      },
      "duration":60,
      "creation":1602483368256,
      "creationText":"2020-10-12T06:16:08.256Z",
      "tags":[
      ],
      "options":{
        "timeout":60,
        "additionalTime":0,
        "fakeNet":false,
        "heavyEvasion":false,
        "mitm":false,
        "tor":{
          "used":false,
          "geo":"fastest"
        },
        "presentation":false,
        "video":true,
        "hideSource":false,
        "network":true,
        "privacy":"bylink",
        "privateSample":false,
        "automatization":{
          "uac":false
        }
      },
      "scores":{
        "verdict":{
          "score":100,
          "threatLevel":2,
          "threatLevelText":"Malicious activity"
        },
        "specs":{
          "injects":false,
          "autostart":false,
          "cpuOverrun":false,
          "crashedApps":false,
          "crashedTask":false,
          "debugOutput":false,
          "executableDropped":false,
          "exploitable":false,
          "lowAccess":false,
          "memOverrun":false,
          "multiprocessing":true,
        }
      }
    }
  }
}

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn erfolgreich und ein Bericht für mindestens eine der angegebenen Entitäten abgerufen wurde: "Found ANY.RUN reports for the following entities: {0}".format([entity.Identifier]). Wenn für keine der angegebenen Entitäten Berichte gefunden werden: „Es wurden keine ANY.RUN-Berichte gefunden.“ Wenn für einige Entitäten keine Berichte gefunden werden: "Failed to find ANY.RUN reports for the following entities: {0}".format([entity.identifier]) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei einem kritischen Fehler, z. B. falschen Anmeldedaten oder Verbindungsverlust: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)	Allgemein
Tabelle	Name: Latest ANY.RUN Report Spalten: Parameter, Wert: Einstufung „Bedrohungsstufe“ „Score“ URL des Berichts IOC melden MISP melden HTML-Bericht Diagramm melden	Allgemein

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn erfolgreich und ein Bericht für mindestens eine der angegebenen Entitäten abgerufen wurde: "Found ANY.RUN reports for the following entities: {0}".format([entity.Identifier]).

Wenn für keine der angegebenen Entitäten Berichte gefunden werden: „Es wurden keine ANY.RUN-Berichte gefunden.“

Wenn für einige Entitäten keine Berichte gefunden werden: "Failed to find ANY.RUN reports for the following entities: {0}".format([entity.identifier])

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei einem kritischen Fehler, z. B. falschen Anmeldedaten oder Verbindungsverlust: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)

Allgemein

Tabelle

Name: Latest ANY.RUN Report

Spalten: Parameter, Wert:

Einstufung
„Bedrohungsstufe“
„Score“
URL des Berichts
IOC melden
MISP melden
HTML-Bericht
Diagramm melden

Allgemein

Ping

Testen Sie die Verbindung zu ANY.RUN.

Parameter

–

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	True oder False	is_success:False

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Bei Erfolg: Successfully connected to the ANY.RUN service with the provided connection parameters!" Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein kritischer Fehler wie falsche Anmeldedaten oder ein Verbindungsverlust gemeldet wird: „Verbindung zum ANY.RUN-Dienst fehlgeschlagen! Error is {0}".format(exception.stacktrace)	Allgemein

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg: Successfully connected to the ANY.RUN service with the provided connection parameters!"

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein kritischer Fehler wie falsche Anmeldedaten oder ein Verbindungsverlust gemeldet wird: „Verbindung zum ANY.RUN-Dienst fehlgeschlagen! Error is {0}".format(exception.stacktrace)

Allgemein

Berichtsverlauf durchsuchen

ANY.RUN-Scanverlauf durchsuchen.

Die Aktion funktioniert nicht mit Google SecOps-Entitäten. Es werden nur Aktionseingabeparameter verwendet.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Name der Einreichung	String	–	Nein	Name der Einreichung, nach der gesucht werden soll.
In den letzten x Scans suchen	Ganzzahl	100	Ja	In den letzten x Analysen, die in ANY.RUN ausgeführt wurden, nach einem Bericht suchen.
Erste x Scans überspringen	Ganzzahl	0	Nein	Überspringen Sie die ersten x Scans, die von der ANY.RUN API zurückgegeben werden.
Teamverlauf abrufen?	Kästchen	Deaktiviert	Nein	Gibt an, ob der Teamverlauf abgerufen werden soll oder nicht.

Anwendungsfälle

Suchen Sie nach früheren Einreichungen, um zu sehen, was zuvor in der ANY.RUN-Sandbox gescannt wurde.

Ausführen am

Die Aktion funktioniert nicht für Entitäten.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	True oder False	is_success:False

JSON-Ergebnis

{
  "error":false,
  "data":{
    "tasks":[
      {
        "verdict":"No threats detected",
        "name":"http://users.tpg.com.au/locthuy/employment/qs/unix/Hardening%20your%20AIX%20Security.pdf",
        "related":"https://app.any.run/tasks/ID",
        "pcap":"https://content.any.run/tasks/ID/download/pcap",
        "file":"https://content.any.run/tasks/ID/download/files/FILE_NAME",
        "json":"https://api.any.run/report/ID/summary/json",
        "misp":"https://api.any.run/report/ID/summary/misp",
        "tags":[
        ],
        "date":"2020-10-12T08:05:57.587Z",
        "hashes":{
          "ssdeep":"768:iSDksqjqvXbB/6rtilCec397sUiZc9Yky:TDegY539gUiCXy",
          "head_hash":"3c90557306fa01f30693541b28db5785",
          "sha256":"8ebc1257f9155134bb00315bdd2380990cdc413ba298d0cf473579ccfe03d6e5",
          "sha1":"c125ba414416668b84ac737ec6db1b7f94bf32af",
          "md5":"5e19377a19ef7657707872377bea14b7"
        }
      }
    ]
  }
}

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden: Wenn erfolgreich und Berichte gefunden wurden: „ANY.RUN-Berichte für die angegebenen Suchparameter gefunden“. Wenn keine Berichte gefunden werden: „Es wurden keine ANY.RUN-Berichte gefunden.“ Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)	Allgemein
Tabelle	Tabellenname: Suchergebnisse Tabellenspalten: Name der Einreichung (Name) Einstufung >URL melden (ähnlich) Datum des Scans md5 sha1 sha256	Allgemein

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:

Wenn erfolgreich und Berichte gefunden wurden: „ANY.RUN-Berichte für die angegebenen Suchparameter gefunden“.

Wenn keine Berichte gefunden werden: „Es wurden keine ANY.RUN-Berichte gefunden.“

Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Wenn ein kritischer Fehler wie falsche Anmeldedaten oder eine unterbrochene Verbindung gemeldet wird: „Failed to connect to the ANY.RUN service! Error is {0}".format(exception.stacktrace)

Allgemein

Tabelle

Tabellenname: Suchergebnisse

Tabellenspalten:

Name der Einreichung (Name)
Einstufung
>URL melden (ähnlich)
Datum des Scans
md5
sha1
sha256

Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten