APIVoid in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie APIVoid in Google Security Operations (Google SecOps) einbinden.

Hinweis

Bevor Sie die APIVoid-Integration in Google SecOps für v2 konfigurieren, prüfen Sie, ob Sie Folgendes haben:

  • APIVoid v2-Konto: Ein aktives Konto mit Zugriff auf v2 API-Dienste.

  • APIVoid v2-API-Schlüssel: Ein neuer API-Schlüssel, der speziell für v2-APIs über Ihr APIVoid-Nutzer-Dashboard generiert wurde.

  • Aktualisierte API-Endpunkte: Sie sollten mit den aktualisierten v2-API-Endpunkt-URLs für die spezifischen APIVoid-Dienste vertraut sein, die Sie verwenden möchten (z. B. IP Reputation API, Domain Reputation API).

APIVoid v2-API-Schlüssel generieren

So generieren Sie Ihren APIVoid v2-API-Schlüssel:

  1. Melden Sie sich in Ihrem APIVoid-Nutzer-Dashboard an.

  2. Gehen Sie zum Abschnitt API-Schlüssel. (Die Position kann sich je nach Dashboard-Updates ändern.)

  3. Generieren Sie einen neuen API-Schlüssel. Kopieren Sie den Schlüssel sofort und bewahren Sie ihn sicher auf. Sie darf nur einmal angezeigt werden.

Netzwerk

Funktion Standardport Richtung Protokoll
API Mehrfachwerte Ausgehend apikey

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Instanzname String – Nein Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung String – Nein Beschreibung der Instanz.
API-Stamm String https://endpoint.apivoid.com Ja Adresse der APIVoid-Instanz.
API-Schlüssel Passwort – Ja In der APIVoid-Konsole generierter API-Schlüssel.
SSL überprüfen Kästchen Deaktiviert Nein Aktivieren Sie dieses Kästchen, wenn für Ihre APIVoid-Verbindung eine SSL-Verifizierung erforderlich ist.
Remote ausführen Kästchen Deaktiviert Nein Setzen Sie ein Häkchen, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Domainreputation abrufen

Mit der Domainreputationsprüfung können Sie feststellen, ob eine Domain von einem beliebten und vertrauenswürdigen Domain-Sperrlistendienst wie URLVir, ThreatLog, OpenPhish, Spam404, PhishTank, ZeuS Tracker und anderen ausgeschlossen wurde. Die Dienste für Sperrlisten mit mehreren Domains identifizieren potenziell schädliche und betrügerische Websites, die an der Verbreitung von Malware, Phishing-Vorfällen und gefälschten Onlineshops beteiligt sind.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Grenzwert String 0 Ja Grenzwert für Domainrisiko. Der Grenzwert muss ein numerischer Wert sein. Beispiel: 3
Statistiken erstellen Kästchen Aktiviert Ja Geben Sie an, ob die Aktion Statistiken erstellen soll oder nicht.

Anwendungsfälle

Ein Anwendungsfall der Domain Reputation API ist die Prüfung, ob die Websites des Clients ausgeschlossen sind, die Prüfung von URLs, die von Nutzern in Ihrer Anwendung eingereicht wurden, oder die Identifizierung potenziell bösartiger und unsicherer Websites.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hostname
  • URL

Aktionsergebnisse

Entitätsanreicherung

Entität als verdächtig markieren, wenn die Anzahl der negativen Engines gleich oder höher als der angegebene Schwellenwert ist.

Name des Anreicherungsfelds Logik – Wann anwenden
alexa_top_100k Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
domain_length Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
alexa_top_10k Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Sperrlisten Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Server Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Host Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
most_abused_tld Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
alexa_top_250k Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Statistiken
Schweregrad Beschreibung
Warnen Es wird eine Warnstatistik erstellt, um über den schädlichen Status der angereicherten Entität zu informieren. Der wird erstellt, wenn die Anzahl der erkannten Engines den vor dem Scan festgelegten Mindestschwellenwert für verdächtige Aktivitäten erreicht oder überschreitet.
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
[
    {
        "EntityResult": {
            "alexa_top_100k": false,
            "domain_length": 17,
            "alexa_top_10k": false,
            "blacklists": {
                "scantime": "0.07",
                "detection_rate": "0%",
                "detections": 0,
                "engines_count": 29,
                "engines": [{
                    "engine": "ThreatLog",
                    "detected": false,
                    "confidence": "high",
                    "reference": "http://www.threatlog.com/"
                }, {
                    "engine": "Threat Sourcing",
                    "detected": false,
                    "confidence": "high",
                    "reference": "https://www.threatsourcing.com/"
                }, {
                    "engine": "URLVir",
                    "detected": false,
                    "confidence": "high",
                    "reference": "http://www.urlvir.com/"
                }]},
            "server": {
                "region_name": null,
                "reverse_dns": " ",
                "ip": " ",
                "isp": null,
                "continent_code": null,
                "latitude": null,
                "city_name": null,
                "longitude": null,
                "country_code": null,
                "country_name": null,
                "continent_name": null
            },
            "host": "example.com",
            "most_abused_tld": false,
            "alexa_top_250k": false
        },
        "Entity": "example.com"
    }, {
        "EntityResult": {
            "alexa_top_100k": false,
            "domain_length": 9,
            "alexa_top_10k": false,
            "blacklists": {
                "scantime": "0.03",
                "detection_rate": "0%",
                "detections": 0,
                "engines_count": 29,
                "engines": [{
                    "engine": "ThreatLog",
                    "detected": false,
                    "confidence": "high",
                    "reference": "http://www.threatlog.com/"
                }, {
                    "engine": "Threat Sourcing",
                    "detected": false,
                    "confidence": "high",
                    "reference": "https://www.threatsourcing.com/"
                }, {
                    "engine": "URLVir",
                    "detected": false,
                    "confidence": "high",
                    "reference": "http://www.urlvir.com/"
                }]},
            "server": {
                "region_name": null,
                "reverse_dns": " ",
                "ip": " ",
                "isp": null,
                "continent_code": null,
                "latitude": null,
                "city_name": null,
                "longitude": null,
                "country_code": null,
                "country_name": null,
                "continent_name": null
            },
            "host": "192.0.2.1",
            "most_abused_tld": false,
            "alexa_top_250k": false
        },
        "Entity": "192.0.2.1"
    }
]

IP-Reputation abrufen

Die IP Reputation API erkennt potenziell schädliche IP-Adressen, die häufig für Spam, Websiteangriffe oder betrügerische Aktivitäten verwendet werden.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Grenzwert String – Ja IP-Risikoschwellenwert. Der Grenzwert muss ein numerischer Wert sein. Beispiel: 3.
Statistiken erstellen Kästchen Aktiviert Ja Geben Sie an, ob die Aktion Statistiken erstellen soll oder nicht.

Ausführen am

Diese Aktion wird für die Entität „IP-Adresse“ ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Entität als verdächtig markieren, wenn die Anzahl der negativen Engines gleich oder höher als der angegebene Schwellenwert ist.

Name des Anreicherungsfelds Logik – Wann anwenden
Informationen Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Sperrlisten Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
anonymity Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ip Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Statistiken
Schweregrad Beschreibung
Warnen Es wird eine Warnung erstellt, um über den schädlichen Status des angereicherten Hashs zu informieren. Die Statistik wird erstellt, wenn die Anzahl der erkannten Engines dem vor dem Scan festgelegten Mindestschwellenwert für verdächtige Aktivitäten entspricht oder diesen überschreitet.
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
[
    {
        "EntityResult": {
            "information": {
                "is_proxy": false,
                "is_vpn": false,
                "region_name": "Zhejiang",
                "is_webproxy": false,
                "latitude": 28.680280685424805,
                "isp": "ChinaNet Zhejiang Province Network",
                "continent_code": "AS",
                "is_tor": false,
                "reverse_dns": " ",
                "detections": 18,
                "engines_count": 76,
                "longitude": 121.44277954101562,
                "city_name": "Jiaojiang",
                "country_name": "China",
                "continent_name": "Asia",
                "detection_rate": "24%",
                "country_code": "CN",
                "is_hosting": false
            },
            "blacklists": {
                "scantime": "0.57",
                "detection_rate":
                "24%",
                "detections": 18,
                "engines_count": 76,
                "engines": [{
                    "engine": "PlonkatronixBL",
                    "detected": false,
                    "reference": "http://bl.plonkatronix.com/"
                }, {
                    "engine": "Engine",
                    "detected": true,
                    "reference": "https://home.nuug.no/~engine/"
                }, {"engine": "Malc0de",
                    "detected": false,
                    "reference": "http://malc0de.com/database/index.php"
                   }]},
            "anonymity": {
                "is_tor": false,
                "is_proxy": false,
                "is_vpn": false,
                "is_webproxy": false,
                "is_hosting": false
            },
            "ip": "192.0.2.1"
        },
        "Entity": "192.0.2.1"
    }
]

URL-Reputation abrufen

Sicherheitsreputation und Risikowert einer URL abrufen.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Grenzwert Ganzzahl – Ja

URL-Risikoschwellenwert. Der Grenzwert muss ein numerischer Wert sein. Beispiel: 3

Anwendungsfälle

Ein Analyst kann die URL-Reputation abrufen, ähnlich wie die Reputation einer Domain oder IP-Adresse.

Ausführen am

Diese Aktion wird für die URL-Entität ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Mark entity as suspicious if the number of negative engines is equal or above the given threshold. if data.get("report", {}).get("risk_score", {}).get("result") > threshold

Name des Anreicherungsfelds Logik – Wann anwenden
domain_blacklist Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
html_forms Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
server_details Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
response_headers Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Weiterleitung Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
file_type Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
risk_score Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
security_checks Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
geo_location Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
url_parts Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
site_category Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
web_page Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
dns_records Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "EntityResult": {
            "domain_blacklist": {
                "detections": 0,
                "engines": [{
                    "detected": false,
                        "name": "SpamhausDBL", "reference": "https://www.spamhaus.org/lookup/"
                    }, {
                        "detected": false,
                        "name": "ThreatLog",
                        "reference": "http://www.threatlog.com/"
                    }, {
                        "detected": false,
                        "name": "OpenPhish",
                        "reference": "http://www.openphish.com/"
                    }, {
                        "detected": false,
                        "name": "PhishTank",
                        "reference": "http://www.phishtank.com/"
                    }, {
                        "detected": false,
                        "name": "Phishing.Database",
                        "reference": "https://github.com/mitchellkrogza/Phishing.Database"
                    }, {
                        "detected": false,
                        "name": "PhishStats",
                        "reference": "https://phishstats.info/"
                    }, {
                        "detected": false,
                        "name": "URLVir",
                        "reference": "http://www.urlvir.com/"
                    }, {
                        "detected": false,
                        "name": "URLhaus",
                        "reference": "https://urlhaus.abuse.ch/"
                    }, {
                        "detected": false,
                        "name": "RPiList Not Serious",
                        "reference": "https://github.com/RPiList/specials"
                    }, {
                        "detected": false,
                        "name": "precisionsec",
                        "reference": "https://precisionsec.com/"
                    }, {
                        "detected": false,
                        "name": "AntiSocial Blacklist",
                        "reference": "https://theantisocialengineer.com/"
                    }, {
                        "detected": false,
                        "name": "PhishFeed",
                        "reference": "https://phishfeed.com/"
                    }, {
                        "detected": false,
                        "name": "Spam404",
                        "reference": "https://www.spam404.com/"
                    }]},
            "html_forms": {
                "number_of_total_input_fields": 0,
                "email_field_present": false,
                "number_of_total_forms": 0,
                "password_field_present": false,
                "two_text_inputs_in_a_form": false,
                "credit_card_field_present": false
            },
            "server_details": {
                "continent_name": "Asia",
                "hostname": "example.com",
                "region_name": "Seoul-teukbyeolsi",
                "ip": "192.0.2.141",
                "isp": "Example Corporation",
                "continent_code": "AS",
                "country_name": "Korea (Republic of)",
                "city_name": "Seoul",
                "longitude": 126.97782897949219,
                "country_code": "KR",
                "latitude": 37.568260192871094
            },
            "response_headers": {
                "status": "HTTP/1.1 404 Not Found",
                "content-length": "177",
                "code": 404,
                "server": "nginx/1.4.6 (Ubuntu)",
                "connection": "keep-alive",
                "date": "Wed, 15 Jul 2020 08:21:54 GMT",
                "content-type": "text/html"
            },
            "redirection": {
                "url": null,
                "found": false,
                "external": false
            },
            "file_type": {
                "headers": "HTML",
                "extension": "HTML",
                "signature": " "
            },
            "risk_score": {
                "result": 10
            },
            "security_checks": {
                "is_suspended_page": false,
                "is_defaced_heuristic": false,
                "is_windows_exe_file": false,
                "is_credit_card_field": false,
                "is_windows_exe_file_on_free_hosting": false,
                "is_masked_linux_elf_file": false,
                "is_exe_on_directory_listing": false,
                "is_php_on_directory_listing": false,
                "is_masked_windows_exe_file": false,
                "is_sinkholed_domain": false,
                "is_robots_noindex": false,
                "is_windows_exe_file_on_free_dynamic_dns": false,
                "is_doc_on_directory_listing": false,
                "is_non_standard_port": false,
                "is_linux_elf_file_on_free_dynamic_dns": false,
                "is_suspicious_domain": false, "is_suspicious_url_pattern": false,
                "is_china_country": false,
                "is_risky_geo_location": false,
                "is_pdf_on_directory_listing": false,
                "is_valid_https": false,
                "is_external_redirect": false, "is_windows_exe_file_on_ipv4": false,
                "is_phishing_heuristic": false,
                "is_linux_elf_file_on_ipv4": false,
                "is_email_address_on_url_query": false,
                "is_uncommon_clickable_url": false,
                "is_most_abused_tld": false,
                "is_domain_blacklisted": false,
                "is_host_an_ipv4": false,
                "is_linux_elf_file_on_free_hosting": false,
                "is_zip_on_directory_listing": false,
                "is_password_field": false,
                "is_linux_elf_file": false,
                "is_empty_page_title": false,
                "is_directory_listing": false,
                "is_masked_file": false,
                "is_suspicious_file_extension": false,
                "is_suspicious_content": false
            },
            "geo_location": {
                "countries": ["KR"]
            },
            "url_parts": {
                "host_nowww": "example.com",
                "host": "www.example.com",
                "path": "/dynamic/example.html",
                "query": null,
                "scheme": "http",
                "port": 80},
            "site_category": {
                "is_vpn_provider": false,
                "is_url_shortener": false,
                "is_anonymizer": false,
                "is_torrent": false,
                "is_free_dynamic_dns": false,
                "is_free_hosting": false
            },
            "web_page": {
                "keywords": "",
                "description": "",
                "title": "404 Not Found"
            },
            "dns_records": {
                "ns": {
                    "records": [{
                        "country_name": "Korea (Republic of)",
                        "ip": "192.0.2.95",
                        "isp": "Example Corporation",
                        "target": "example.com",
                        "country_code": "KR"
                    }, {
                        "country_name": "Korea (Republic of)",
                        "ip": "192.0.2.26",
                        "isp": "LX",
                        "target": "example.com",
                        "country_code": "KR"
                    }]},
                "mx": {
                    "records": []
                }}},
        "Entity": "www.example.com:80/dynamic/example.html"
    }
]
Fall-Repository
Ergebnistyp Beschreibung Typ
Ausgabenachricht*
  1. Erfolgreiche Entitäten: „APIVoid: Reputation für die folgenden Entitäten abgerufen: <Liste der Entitätskennungen>
  2. Fehlgeschlagene Entitäten: „Bei den folgenden Entitäten ist ein Fehler aufgetreten: <Liste der Entitätskennungen>“
  3. Fehlende Entitäten (keine Daten): „Für die folgenden Entitäten wurde keine Bewertung gefunden: <entities identifer list>“
  4. Benachrichtigung ohne URL-Entitäten: „APIVoid: Keine URLs gefunden.“
 Allgemein
CSV-Fall-Repository

Wenn Daten verfügbar sind, erstellen Sie eine neue CSV-Tabelle für die Entität:

  1. Bericht zur Domain-Sperrliste: data.get("report",{}).get("domain_blacklist",{}).get("engines", [])
 Allgemein
Anreichern

Wenn Daten verfügbar sind, fügen Sie Folgendes als Entitätsanreicherung hinzu (vergessen Sie nicht, das Präfix „APIVoid“ hinzuzufügen):

  1. geo_location: data.get("report",{}).get("geo_location",{}).get("countries", [])
  2. is_suspicious_domain: data.get("report",{}).get("security_checks",{}).get("is_suspicious_domain")
  3. is_domain_blacklisted: data.get("report",{}).get("security_checks",{}).get("is_domain_blacklisted")
  4. is_risky_geo_location: data.get("report",{}).get("security_checks",{}).get("is_risky_geo_location")
  5. risk_score: data.get("report", {}).get("risk_score", {}).get("result")
  6. is_external_redirect: data.get("report",{}).get("security_checks",{}).get("is_external_redirect")
 Entität

Screenshot erstellen

Erstellen Sie einen hochwertigen Screenshot einer beliebigen Website oder URL.

Parameter

–

Anwendungsfälle

Ein Analyst kann hochwertige Screenshots von jeder Website oder URL im PNG- oder JPG-Bildformat erstellen.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Entität als verdächtig markieren, wenn die Anzahl der negativen Engines dem angegebenen Grenzwert entspricht oder darüber liegt. is_suspicious: if data.get("score") > threshold

Name des Anreicherungsfelds Logik – Wann anwenden
Domain Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
should_block Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Punktzahl Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
disposable Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
has_mx_records Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
has_spf_records Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "EntityResult": {
            "domain": "example.com",
            "valid_tld": true,
            "email": "user@example.co",
            "role_address": false,
            "should_block": false,
            "risky_tld": false,
            "dirty_words_username": false,
            "suspicious_domain": false,
            "score": 100,
            "educational_domain": false,
            "dirty_words_domain": false,
            "did_you_mean": " ",
            "username": "user",
            "valid_format": true,
            "is_spoofable ": false,
            "disposable": false,
            "government_domain": false,
            "has_spf_records": true,
            "domain_popular": false,
            "has_mx_records": true,
            "china_free_email": false,
            "free_email": false,
            "russian_free_email": false,
            "police_domain": false,
            "dmarc_enforced": false,
            "suspicious_username": false
        },
        "Entity": "USER@EXAMPLE.COM"
    }
]
Fall-Repository
Ergebnistyp Beschreibung Typ
Ausgabenachricht*
  1. Erfolgreiche Entitäten: „APIVoid: Screenshots für die folgenden Entitäten hinzugefügt: <Liste der Entitätskennungen>“
  2. Fehlgeschlagene Entitäten: „Bei den folgenden Entitäten ist ein Fehler aufgetreten: <Liste der Entitätskennungen>“
  3. Fehlende Entitäten (keine Daten): „Für die folgenden Entitäten wurden keine Screenshots gefunden: <entities identifier list>“
  4. Benachrichtigung ohne URL-Entitäten: „APIVoid: Keine URL-Entitäten zum Erstellen von Screenshots gefunden.“
  5. Bei großen Entitäten (Anhangsgröße > 3 MB): „Screenshots konnten den folgenden Entitäten nicht als Anhänge hinzugefügt werden: <<entities identifier list>>“
 Allgemein
Anhänge

Wenn Daten verfügbar sind, erstellen Sie ein neues Dateiobjekt:

  1. attachment title: 'Screenshot - {0}'.format(entity.identifier)
  2. Der Dateiname sollte die URL ohne das Suffix (https/http) + „_capture.<Dateiformat>“ sein.
  3. Screenshot wird als base64-codierter String zurückgegeben --> Dateiinhalt sollte b64decode(data.get('base64_file')) sein
  4. Vergessen Sie nicht, „try“ und „except“ hinzuzufügen. Die Plattform hat ein Limit von 3 MB. Im Falle eines Fehlers wird dem Logger eine entsprechende Meldung hinzugefügt.
 Allgemein

Ping

Verbindung testen

Parameter

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False

E-Mail-Adresse bestätigen

Prüfen, ob eine E-Mail-Adresse eine Wegwerfadresse ist, ob sie MX-Einträge hat und mehr.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Grenzwert Ganzzahl – Ja

Schwellenwert für E‑Mail-Risiko. Der Grenzwert muss ein numerischer Wert sein.

Beispiel: 3

Anwendungsfälle

Ein Analyst kann prüfen, ob eine E-Mail-Adresse eine Wegwerfadresse ist, MX-Einträge abrufen und mehr.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

Entität als verdächtig markieren, wenn die Anzahl der negativen Engines dem angegebenen Grenzwert entspricht oder darüber liegt. is_suspicious: if data.get("score") > threshold

Name des Anreicherungsfelds Logik – Wann anwenden
Domain Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
should_block Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Punktzahl Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
disposable Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
has_mx_records Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
has_spf_records Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "EntityResult": {
            "domain": "example.com",
            "valid_tld": true,
            "email": "user@example.com",
            "role_address": false,
            "should_block": false,
            "risky_tld": false,
            "dirty_words_username": false,
            "suspicious_domain": false,
            "score": 100,
            "educational_domain": false,
            "dirty_words_domain": false,
            "did_you_mean": " ",
            "username": "user",
            "valid_format": true,
            "is_spoofable ": false,
            "disposable": false,
            "government_domain": false,
            "has_spf_records": true,
            "domain_popular": false,
            "has_mx_records": true,
            "china_free_email": false,
            "free_email": false,
            "russian_free_email": false,
            "police_domain": false,
            "dmarc_enforced": false,
            "suspicious_username": false
        },
        "Entity": "USER@EXAMPLE.COm"
    }
]
Fall-Repository
Ergebnistyp Beschreibung Typ
Ausgabenachricht*
  1. Erfolgreiche Entitäten: „APIVoid: Informationen für die folgenden Entitäten abgerufen: <Liste der Entitätskennungen>
  2. Fehlgeschlagene Entitäten: „Bei den folgenden Entitäten ist ein Fehler aufgetreten: <Liste der Entitätskennungen>“
  3. Fehlende Entitäten (keine Daten): „Für die folgenden Entitäten wurden keine Informationen gefunden: <Liste der Entitätskennungen>“
  4. Benachrichtigung ohne URL-Entitäten: „APIVoid: Keine E-Mails gefunden.“
 Allgemein
CSV-Fall-Repository CSV-Inhalt: Entitätsdaten(Beispiel unten) Allgemein
Anreichern

Wenn Daten verfügbar sind, fügen Sie Folgendes als Entitätsanreicherung hinzu (vergessen Sie nicht, das Präfix „APIVoid“ hinzuzufügen):

  1. suspicious_domain: data.get("suspicious_domain")
  2. should_block: data.get("should_block")
  3. score: data.get("score")
  4. disposable: data.get("disposable")
  5. has_mx_records: data.get("has_mx_records")
  6. has_spf_records: data.get("has_spf_records")
 Entität

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten