שילוב של ANY.RUN עם Google SecOps

במסמך הזה מוסבר איך לשלב את ANY.RUN עם Google Security Operations ‏ (Google SecOps).

הרשאת מוצר

השילוב פועל על אימות של מפתח API. אפשר ליצור מפתח API חדש בדף של ANY.RUN.

פרמטרים של שילוב

איך מגדירים שילובים ב-Google SecOps?

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר לה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
מפתח API סיסמה לא רלוונטי כן מפתח API לשימוש עם השילוב.
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את השדה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

ניתוח הקובץ

יצירת משימה לניתוח קובץ ANY.RUN.

הפעולה הזו לא פועלת על ישויות של Google SecOps. צריך לציין את הנתיב המלא לקובץ לניתוח כפרמטר קלט של פעולה.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
נתיב הקובץ String לא רלוונטי לא צריך לציין את הנתיב המלא לקובץ שרוצים לנתח.
לחכות לדוח? תיבת סימון סימן אישור לא צריך לציין אם הפעולה צריכה להמתין ליצירת הדוח. אפשר גם לקבל את הדוח מאוחר יותר באמצעות הפעולה "קבלת דוח" אחרי שהסריקה מסתיימת.
סף מספר שלם 0 כן אם תיבת הסימון "המתנה לדוח" מסומנת, הישות תסומן כחשודה אם ערך הסיכון בדוח של הישות גבוה מהסף שצוין.
ניסיון ליצור הגשה במשך x פעמים מספר שלם 30 כן כמה ניסיונות הפעולה צריכה לבצע כדי לבדוק אם לא חרגתם ממגבלת הקריאות בו-זמנית ל-API, ולנסות ליצור בקשה חדשה. הבדיקה מתבצעת כל 2 שניות.
גרסת OS DDL

7

ערכים אפשריים:

  • 7
  • 8.1
  • 10
 לא גרסת מערכת ההפעלה שעליה רוצים להריץ את הניתוח.
מספר הסיביות של מערכת ההפעלה DDL

32

ערכים אפשריים:

  • 32
  • 64
 לא מספר הסיביות של מערכת ההפעלה
סוג סביבת מערכת ההפעלה DDL

בוצע

ערכים אפשריים:

  • בוצע
  • משרד
  • ניקוי
 לא סוג הסביבה שבה הניתוח יתבצע.
סטטוס החיבור לרשת DDL מופעל

ערכים אפשריים:

    מופעלת
  • מושבת
 לא מצב החיבור לרשת לצורך ניתוח.
סטטוס התכונה FakeNet DDL

FALSE

ערכים אפשריים:

  • TRUE
  • FALSE
 לא מצב התכונה FakeNet לניתוח.
שימוש ב-TOR DDL

FALSE

ערכים אפשריים:

  • TRUE
  • FALSE
 לא האם להשתמש ב-TOR בזמן הניתוח.
opt_network_mitm DDL

FALSE

ערכים אפשריים:

  • TRUE
  • FALSE
 לא אפשרות לשרת proxy מסוג HTTPS MITM.
opt_network_geo DDL

המהיר ביותר

ערכים אפשריים:

  • המהיר ביותר
  • AU
  • BR
  • גרמנית
  • CH
  • צרפתית
  • KR
  • ארה"ב
  • RU
  • GB
  • איטלקית
 לא אפשרות המיקום הגיאוגרפי.
opt_network_heavyevasion DDL

FALSE

ערכים אפשריים:

  • TRUE
  • FALSE
 לא אפשרות להתחמקות כבדה.
opt_privacy_type DDL

לפי קישור

ערכים אפשריים:

  • לפי קישור
  • גלוי לכולם
  • בעלים
  • לפי קבוצה
 לא הגדרות הפרטיות לניתוח נתונים.
opt_timeout String 60 לא תקופת הזמן הקצוב לתפוגה של הניתוח היא בין 10 ל-600 שניות.
obj_ext_startfolder DDL

טמפ'

ערכים אפשריים:

  • טמפ'
  • מחשב
  • בית
  • הורדות
  • appdata
  • חלונות
  • יחידה ארגונית שעברה תהליך רוט (root)
 לא מיקום התחלה לניתוח.

תרחישים לדוגמה

ניתוח קובץ שנכלל בהתראה שנבדקה כדי לראות אם הוא זדוני.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

העשרת ישויות

סימון ישות כחשודה אם מספר המנועים השליליים שווה לסף שצוין או גבוה ממנו. if data.get("report", {}).get("risk_score", {}).get("result") > threshold

שם שדה ההעשרה לוגיקה – מתי להחיל
domain_blacklist מוחזר אם הוא קיים בתוצאת ה-JSON
html_forms מוחזר אם הוא קיים בתוצאת ה-JSON
server_details מוחזר אם הוא קיים בתוצאת ה-JSON
response_headers מוחזר אם הוא קיים בתוצאת ה-JSON
הפניה לכתובת אחרת מוחזר אם הוא קיים בתוצאת ה-JSON
file_type מוחזר אם הוא קיים בתוצאת ה-JSON
risk_score מוחזר אם הוא קיים בתוצאת ה-JSON
security_checks מוחזר אם הוא קיים בתוצאת ה-JSON
geo_location מוחזר אם הוא קיים בתוצאת ה-JSON
url_parts מוחזר אם הוא קיים בתוצאת ה-JSON
site_category מוחזר אם הוא קיים בתוצאת ה-JSON
web_page מוחזר אם הוא קיים בתוצאת ה-JSON
dns_records מוחזר אם הוא קיים בתוצאת ה-JSON
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON

אפשרות 1: אם תיבת הסימון "המתנה לדוח" לא מסומנת, אנחנו מחזירים את המידע על משימת הניתוח שנוצרה (תגובה לבקשה 1)

{
    "error": false,
    "data": {
        "taskid": "TASK_ID"
    }
}

אפשרות 2. אם תיבת הסימון "המתנה לדוח" לא מסומנת, אנחנו מחזירים את המידע על משימת הניתוח שנוצרה (תגובה לבקשה 1)

{
    "error": false,
    "data": {
        "analysis": {
            "uuid": "UUID",
            "permanentUrl": "https://app.any.run/tasks/UUID",
            "reports": {
                "IOC": "https://api.any.run/report/UUID/ioc/json",
                "MISP": "https://api.any.run/report/UUID/summary/misp",
                "HTML": "https://api.any.run/report/UUID/summary/html",
                "graph": "https://content.any.run/tasks/UUID/graph"
            },
            "sandbox": {
                "name": "ANY.RUN - Interactive Sandbox",
                "plan": {
                    "name": "Tester"
                }
            },
            "duration": 60,
            "creation": 1602483368256,
            "creationText": "2020-10-12T06:16:08.256Z",
            "tags": [],
            "options": {
            }
        }
    }
}
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

אם משימת הניתוח נוצרה בהצלחה עבור הקובץ שסופק: "Successfully created analysis task for file: {0}".format(file_path).

אם לא הצלחתם ליצור משימת ניתוח לקובץ שסופק: "Failed to create ANY.RUN analysis task for file: {0}".format(file_path).

אם תיבת הסימון "המתנה לדוח" מסומנת, ואנחנו מסיימים את הפעולה כי הזמן הקצוב לתהליך Python קרוב: מדפיסים את ההודעה "Action reached timeout waiting for report for file: {0}".format(file_path).

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות ANY.RUN נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 כללי

ניתוח כתובת ה-URL של הקובץ

יצירת משימה לניתוח קובץ ANY.RUN.

הפעולה לא עובדת עם ישויות של Google SecOps. צריך לספק את כתובת ה-URL של הקובץ לניתוח כפרמטר קלט של הפעולה.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובת URL לקובץ String לא רלוונטי לא ציינו את כתובת ה-URL של הקובץ שאתם רוצים להוריד ולנתח.
להסתיר את כתובת ה-URL של המקור? תיבת סימון התיבה לא מסומנת לא ההגדרה קובעת אם להסתיר את כתובת ה-URL של המקור של הקובץ שהורדתם.
לחכות לדוח? תיבת סימון סימן אישור לא צריך לציין אם הפעולה צריכה להמתין ליצירת הדוח. אפשר גם לקבל את הדוח מאוחר יותר באמצעות הפעולה "קבלת דוח" אחרי שהסריקה מסתיימת.
סף מספר שלם 0 כן אם תיבת הסימון "המתנה לדוח" מסומנת, הישות תסומן כחשודה אם ערך הסיכון בדוח של הישות גבוה מהסף שצוין.
ניסיון ליצור הגשה במשך x פעמים Int 30 כן כמה ניסיונות הפעולה צריכה לבצע כדי לבדוק אם לא חרגתם ממגבלת הקריאות בו-זמנית ל-API, ולנסות ליצור בקשה חדשה. הבדיקה מתבצעת כל 2 שניות.
גרסת OS DDL 7 לא גרסת מערכת ההפעלה שעליה רוצים להריץ את הניתוח.
מספר הסיביות של מערכת ההפעלה DDL 32 לא מספר הסיביות של מערכת ההפעלה
סוג סביבת מערכת ההפעלה DDL בוצע לא סוג הסביבה שבה הניתוח יתבצע.
סטטוס החיבור לרשת DDL מופעל לא מצב החיבור לרשת לצורך ניתוח.
סטטוס התכונה FakeNet DDL לא נכון לא מצב התכונה FakeNet לניתוח.

שימוש ב-TOR

 DDL לא נכון לא האם להשתמש ב-TOR בזמן הניתוח.

opt_network_mitm

 DDL לא נכון לא אפשרות לשרת proxy מסוג HTTPS MITM.
opt_network_geo DDL המהיר ביותר לא אפשרות המיקום הגיאוגרפי.
opt_network_heavyevasion DDL לא נכון לא אפשרות להתחמקות כבדה.
opt_privacy_type DDL

לפי קישור

ערכים אפשריים:

  • לפי קישור
  • גלוי לכולם
  • בעלים
  • לפי קבוצה
 לא הגדרות הפרטיות לניתוח נתונים.

opt_timeout

 String 60 לא תקופת הזמן הקצוב לתפוגה של הניתוח היא בין 10 ל-600 שניות.

obj_ext_startfolder

 DDL טמפ' לא מיקום התחלה לניתוח.

תרחישים לדוגמה

ניתוח קובץ שנכלל בהתראה שנבדקה כדי לראות אם הוא זדוני.

הפעלה ב-

אי אפשר לבצע את הפעולה הזו על ישויות.

תוצאות הפעולה

העשרת ישויות

מסמנים ישות כחשודה אם מספר המנועים השליליים שווה לסף שצוין או גבוה ממנו. is_suspicious: if data.get("score") > threshold

שם שדה ההעשרה לוגיקה – מתי להחיל
דומיין מוחזר אם הוא קיים בתוצאת ה-JSON
should_block מוחזר אם הוא קיים בתוצאת ה-JSON
ציון מוחזר אם הוא קיים בתוצאת ה-JSON
חד-פעמי מוחזר אם הוא קיים בתוצאת ה-JSON
has_mx_records מוחזר אם הוא קיים בתוצאת ה-JSON
has_spf_records מוחזר אם הוא קיים בתוצאת ה-JSON
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON

אפשרות 1: אם תיבת הסימון "המתנה לדוח" לא מסומנת, אנחנו מחזירים את המידע על משימת הניתוח שנוצרה (תגובה לבקשה 1)

{
    "error": false,
    "data": {
        "taskid": "TASK_ID"
    }
}

אפשרות 2: אם התיבה "המתנה לדוח" לא מסומנת, אנחנו מחזירים את המידע על משימת הניתוח שנוצרה (תגובה לבקשה 1)

{
    "error": false,
    "data": {
        "analysis": {
            "uuid": "UUID",
            "permanentUrl": "https://app.any.run/tasks/UUID",
            "reports": {
                "IOC": "https://api.any.run/report/UUID/ioc/json",
                "MISP": "https://api.any.run/report/UUID/summary/misp",
                "HTML": "https://api.any.run/report/UUID/summary/html",
                "graph": "https://content.any.run/tasks/UUID/graph"
            },
            "sandbox": {
                "name": "ANY.RUN - Interactive Sandbox",
                "plan": {
                    "name": "Tester"
                }
            },
            "duration": 60,
            "creation": 1602483368256,
            "creationText": "2020-10-12T06:16:08.256Z",
            "tags": [],
            "options": {
            }
        }
    }
}
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

אם משימת הניתוח נוצרה בהצלחה עבור הקובץ שסופק: "Successfully created analysis task for file: {0}".format(file_path).

אם לא הצלחתם ליצור משימת ניתוח לקובץ שצוין: Failed to create ANY.RUN analysis task for file: {0}".format(file_path).

אם תיבת הסימון "המתנה לדוח" מסומנת, ואנחנו מסיימים את הפעולה כי הזמן הקצוב לתפוגה של תהליך Python קרוב: "Action reached timeout waiting for report for file: {0}".format(file_path).

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות ANY.RUN נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 כללי

ניתוח כתובת URL

יצירת משימת ניתוח ב-ANY.RUN לכתובת ה-URL שצוינה.

הפעולה לא תומכת בישויות של Google SecOps. צריך לספק כתובת URL לניתוח כפרמטר קלט.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובת ה-URL לניתוח String לא רלוונטי לא צריך לציין את כתובת ה-URL לניתוח.
לחכות לדוח? תיבת סימון סימן אישור לא צריך לציין אם הפעולה צריכה להמתין ליצירת הדוח. אפשר גם לקבל את הדוח מאוחר יותר באמצעות הפעולה "קבלת דוח" אחרי שהסריקה מסתיימת.
ניסיון ליצור הגשה במשך x פעמים מספר שלם 30 כן כמה ניסיונות הפעולה צריכה לבצע כדי לבדוק אם לא חרגתם ממגבלת הקריאות בו-זמנית ל-API, ולנסות ליצור בקשה חדשה. הבדיקה מתבצעת כל 2 שניות
גרסת OS DDL 7 לא גרסת מערכת ההפעלה שעליה רוצים להריץ את הניתוח.
מספר הסיביות של מערכת ההפעלה DDL 32 לא מספר הסיביות של מערכת ההפעלה
סוג סביבת מערכת ההפעלה DDL בוצע לא סוג הסביבה שבה הניתוח יתבצע.
סטטוס החיבור לרשת DDL מופעל לא מצב החיבור לרשת לצורך ניתוח.
סטטוס התכונה FakeNet DDL לא נכון לא מצב התכונה FakeNet לניתוח.
שימוש ב-TOR DDL לא נכון לא האם להשתמש ב-TOR בזמן הניתוח.

opt_network_mitm

DDL

 לא נכון לא אפשרות לשרת proxy מסוג HTTPS MITM.
opt_network_geo DDL המהיר ביותר לא אפשרות המיקום הגיאוגרפי.
opt_network_heavyevasion DDL לא נכון לא אפשרות להתחמקות כבדה.
opt_privacy_type DDL

לפי קישור

ערכים אפשריים:

  • לפי קישור
  • גלוי לכולם
  • בעלים
  • לפי קבוצה
 לא הגדרות הפרטיות לניתוח נתונים.
opt_timeout String 60 לא תקופת הזמן הקצוב לתפוגה של הניתוח היא בין 10 ל-600 שניות.
obj_ext_startfolder DDL טמפ' לא מיקום התחלה לניתוח.

תרחישים לדוגמה

מנתחים את כתובת ה-URL שמופיעה בהתראה שנבדקה כדי לבדוק אם היא זדונית.

הפעלה ב-

הפעולה הזו פועלת על ישות כתובת ה-URL.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON

אפשרות 1: אם תיבת הסימון "המתנה לדוח" לא מסומנת, אנחנו מחזירים את המידע על משימת הניתוח שנוצרה (תגובה לבקשה 1)

{
    "error": false,
    "data": {
        "taskid": "TASK_ID"
    }
}

אפשרות 2: אם התיבה "המתנה לדוח" לא מסומנת, אנחנו מחזירים את המידע על משימת הניתוח שנוצרה (תגובה לבקשה 1)

{
    "error": false,
    "data": {
        "analysis": {
            "uuid": "UUID",
            "permanentUrl": "https://app.any.run/tasks/UUID",
            "reports": {
                "IOC": "https://api.any.run/report/UUID/ioc/json",
                "MISP": "https://api.any.run/report/UUID/summary/misp",
                "HTML": "https://api.any.run/report/UUID/summary/html",
                "graph": "https://content.any.run/tasks/UUID/graph"
            },
            "sandbox": {
                "name": "ANY.RUN - Interactive Sandbox",
                "plan": {
                    "name": "Tester"
                }
            },
            "duration": 60,
            "creation": 1602483368256,
            "creationText": "2020-10-12T06:16:08.256Z",
            "tags": [],
            "options": {
            }
        }
    }
}
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל ולא אמורה להפסיק את ההפעלה של הפלייבוק:

אם נוצרה בהצלחה משימת ניתוח לפחות לאחת מהישויות שצוינו: "Created analysis tasks for the following entities: {0}".format([entity.Identifier]).

אם לא נוצרה משימת ניתוח לאף אחת מהישויות שצוינו: "לא נוצרו משימות ניתוח ב-ANY.RUN".

אם לא הצלחתם ליצור משימות ניתוח לישויות מסוימות: "Failed to create analysis tasks for the following entities: {0}".format([entity.identifier])‎

אם תיבת הסימון "המתנה לדוח" מסומנת, ואנחנו מסיימים את הפעולה כי הזמן הקצוב לתפוגה של תהליך Python קרוב: "הפעולה הגיעה לזמן הקצוב לתפוגה בזמן ההמתנה לדוח עבור הישויות הבאות: {0}".format([entity.identifier])

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות ANY.RUN נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 כללי

לצפייה בדוח

קבלת דוח ANY.RUN מניתוח קודם על סמך הישות שצוינה ב-Google SecOps: קובץ, FileHash או כתובת URL.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף מספר שלם 0 כן הישות תסומן כחשודה אם ערך הניקוד שלה גבוה מהסף שצוין.
חיפוש ב-X הסריקות האחרונות מספר שלם 25 כן חיפוש דוח של גיבוב קובץ שצוין בניתוח ה-x האחרון שבוצע ב-ANY.RUN.
ליצור תובנה? תיבת סימון התיבה לא מסומנת לא מציינים אם ליצור תובנה על סמך נתוני הדוח.
לאחזר את הדוח האחרון? תיבת סימון סימן אישור לא צריך לציין אם להחזיר את דוח הניתוח האחרון או את כל הדוחות שנמצאו לגבי הישות שצוינה.

תרחישים לדוגמה

חיפוש ב-ANY.RUN hash שנתקלנו בו בניתוח ההתראה בפלייבוק.

הפעלה ב-

הפעולה הזו פועלת על הישויות הבאות:

  • שם קובץ
  • Filehash
  • כתובת URL

תוצאות הפעולה

העשרת ישויות

הפעולה צריכה להגדיר את הערך הזה כ-True אם ערך הסיכון של הישות גבוה מהסף שצוין כפרמטר קלט של הפעולה.

תובנות
הלוגיקה של התובנה סוג כותרת ישות החלטה רמת האיום Score
אם תיבת הסימון הרלוונטית סומנה, צריך ליצור את הפריט. ישות כל דוח/הרצת דוח מזהה הישות שעבורה נוצרה התובנה ערך מתגובה מה-API ערך מתגובה מה-API ערך מתגובה מה-API
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON
{
  "error":false,
  "data":{
    "analysis":{
      "uuid":"UUID",
      "permanentUrl":"https://app.any.run/tasks/UUID",
      "reports":{
        "IOC":"https://api.any.run/report/UUID/ioc/json",
        "MISP":"https://api.any.run/report/UUID/summary/misp",
        "HTML":"https://api.any.run/report/UUID/summary/html",
        "graph":"https://content.any.run/tasks/UUID/graph"
      },
      "sandbox":{
        "name":"ANY.RUN - Interactive Sandbox",
        "plan":{
          "name":"Tester"
        }
      },
      "duration":60,
      "creation":1602483368256,
      "creationText":"2020-10-12T06:16:08.256Z",
      "tags":[
      ],
      "options":{
        "timeout":60,
        "additionalTime":0,
        "fakeNet":false,
        "heavyEvasion":false,
        "mitm":false,
        "tor":{
          "used":false,
          "geo":"fastest"
        },
        "presentation":false,
        "video":true,
        "hideSource":false,
        "network":true,
        "privacy":"bylink",
        "privateSample":false,
        "automatization":{
          "uac":false
        }
      },
      "scores":{
        "verdict":{
          "score":100,
          "threatLevel":2,
          "threatLevelText":"Malicious activity"
        },
        "specs":{
          "injects":false,
          "autostart":false,
          "cpuOverrun":false,
          "crashedApps":false,
          "crashedTask":false,
          "debugOutput":false,
          "executableDropped":false,
          "exploitable":false,
          "lowAccess":false,
          "memOverrun":false,
          "multiprocessing":true,
        }
      }
    }
  }
}
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל ולא אמורה להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה והתקבל דוח לגבי לפחות אחת מהישויות שצוינו: "Found ANY.RUN reports for the following entities: {0}".format([entity.Identifier]).

אם לא נמצאו דוחות לאף אחת מהישויות שצוינו: "לא נמצאו דוחות ANY.RUN".

אם לא נמצאו דוחות לגבי ישויות מסוימות: "Failed to find ANY.RUN reports for the following entities: {0}".format([entity.identifier])

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות ANY.RUN נכשלה. השגיאה היא {0}".format(exception.stacktrace)

 כללי
טבלה

שם: הדוח האחרון של ANY.RUN

עמודות: פרמטר, ערך:

  • החלטה
  • "רמת האיום"
  • "Score"
  • כתובת ה-URL של הדוח
  • דיווח על IOC
  • דיווח על MISP
  • HTML של הדוח
  • תרשים הדוח
 כללי

פינג

בודקים את הקישוריות ל-ANY.RUN.

פרמטרים

לא רלוונטי

הפעלה ב-

הפעולה לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם החיבור הצליח: החיבור לשירות ANY.RUN בוצע בהצלחה עם פרמטרי החיבור שסופקו.

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "החיבור לשירות ANY.RUN נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

היסטוריית דוחות החיפוש

חיפוש בהיסטוריית הסריקות של ANY.RUN.

הפעולה לא עובדת עם ישויות של Google SecOps, אלא רק עם פרמטרים של קלט פעולה.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם הבקשה String לא רלוונטי לא שם ספציפי של בקשה להסרת תוכן שרוצים לחפש.
חיפוש ב-X הסריקות האחרונות מספר שלם 100 כן חיפוש דוח ב-X הניתוחים האחרונים שבוצעו ב-ANY.RUN.
דילוג על x הסריקות הראשונות מספר שלם 0 לא דילוג על x הסריקות הראשונות שהוחזרו על ידי ANY.RUN API.
רוצה לקבל את היסטוריית הצוות? תיבת סימון התיבה לא מסומנת לא מציינים אם לקבל את היסטוריית הצוות או לא.

תרחישים לדוגמה

אפשר לחפש קבצים שנשלחו בעבר כדי לראות מה נסרק בארגז החול של ANY.RUN.

הפעלה ב-

הפעולה לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON
{
  "error":false,
  "data":{
    "tasks":[
      {
        "verdict":"No threats detected",
        "name":"http://users.tpg.com.au/locthuy/employment/qs/unix/Hardening%20your%20AIX%20Security.pdf",
        "related":"https://app.any.run/tasks/ID",
        "pcap":"https://content.any.run/tasks/ID/download/pcap",
        "file":"https://content.any.run/tasks/ID/download/files/FILE_NAME",
        "json":"https://api.any.run/report/ID/summary/json",
        "misp":"https://api.any.run/report/ID/summary/misp",
        "tags":[
        ],
        "date":"2020-10-12T08:05:57.587Z",
        "hashes":{
          "ssdeep":"768:iSDksqjqvXbB/6rtilCec397sUiZc9Yky:TDegY539gUiCXy",
          "head_hash":"3c90557306fa01f30693541b28db5785",
          "sha256":"8ebc1257f9155134bb00315bdd2380990cdc413ba298d0cf473579ccfe03d6e5",
          "sha1":"c125ba414416668b84ac737ec6db1b7f94bf32af",
          "md5":"5e19377a19ef7657707872377bea14b7"
        }
      }
    ]
  }
}
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל ולא אמורה להפסיק את ההפעלה של הפלייבוק:

אם החיפוש הצליח ונמצאו דוחות: "נמצאו דוחות ANY.RUN לפרמטרים של החיפוש שצוינו".

אם לא נמצאו דוחות: "לא נמצאו דוחות של ANY.RUN".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות ANY.RUN נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 כללי
טבלה

שם הטבלה: תוצאות החיפוש

עמודות בטבלה:

  • שם השליחה (שם)
  • החלטה
  • >כתובת ה-URL של הדוח (קשור)
  • תאריך הסריקה
  • md5
  • sha1
  • sha256
 כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.