Cofense Triage

במאמר הזה מוסבר איך לשלב את Cofense Triage עם Google Security Operations.

תרחישים לדוגמה

  1. הטמעה של דוחות Cofense Triage ושימוש בהם ליצירת התראות ב-Google Security Operations. בשלב הבא, ב-Google SecOps, אפשר להשתמש בהתראות כדי לבצע תזמור באמצעות ספרי הדרכה או ניתוח ידני.
  2. העשרה של הישויות הקשורות ופרטים על הדוח.
  3. מיון הדוח.

הגדרת שילוב של Cofense Triage ב-Google SecOps

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
ספריית הבסיס של ה-API String https://tap.phishmecloud.com לא רלוונטי ‫API Root של מופע Cofense Triage.
מזהה לקוח String לא רלוונטי כן מזהה הלקוח של חשבון Cofense Triage.
סוד לקוח סיסמה לא רלוונטי כן סוד הלקוח של חשבון Cofense Triage.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם ההגדרה מופעלת, המערכת בודקת שאישור ה-SSL של החיבור לשרת Cofense Triage תקף.

פעולות

הוספת תגים לדוח

תיאור

מוסיפים תגים לדוח ב-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הדוח String לא רלוונטי כן מציינים את מזהה הדוח שאליו רוצים להוסיף תגים.
תגים CSV לא רלוונטי כן מציינים רשימה מופרדת בפסיקים של תגים שצריך להחיל על הדוח.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "id": "13507",
        "type": "reports",
        "links": {
            "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507"
        },
        "attributes": {
            "location": "Inbox",
            "risk_score": 96,
            "from_address": null,
            "subject": "Test Phishing domain",
            "received_at": "2020-10-12T21:30:54.000Z",
            "reported_at": "2020-10-12T21:30:53.000Z",
            "raw_headers": "X-Triage-Noise-Reduction: state=0\r\nX-Triage-Noise-Reduction: score=79\r\nX-Triage-Noise-Reduction: vacb1561f9d032089\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
            "text_body": "Testing<http://dsrihsddk.net/>\r\n\r\nThis is a poor reputation domain\r\n\r\n",
            "html_body": "<html xmlns:v=\"urn:schemas-microsoft-com:vml\" xml>\r\n</div>\r\n</body>\r\n</html>\r\n",
            "md5": "81fe86fc9c244be978ab8b8392d3c986",
            "sha256": "146b857b2a147eeb9091571327452006438294aeb21069e38c6f25a811aa6c03",
            "match_priority": 1,
            "tags": [
                "dsa",
                "asd"
            ],
            "categorization_tags": [],
            "processed_at": null,
            "created_at": "2020-10-12T21:31:36.495Z",
            "updated_at": "2020-11-17T15:33:27.567Z"
        },
        "relationships": {
            "assignee": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/assignee",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/assignee"
                },
                "data": null
            },
            "category": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/category",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/category"
                },
                "data": null
            },
            "cluster": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/cluster",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/cluster"
                },
                "data": {
                    "type": "clusters",
                    "id": "3915"
                }
            },
            "reporter": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/reporter",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/reporter"
                },
                "data": {
                    "type": "reporters",
                    "id": "5331"
                }
            },
            "attachment_payloads": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachment_payloads",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachment_payloads"
                }
            },
            "attachments": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachments",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachments"
                }
            },
            "headers": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/headers",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers"
                }
            },
            "hostnames": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/hostnames",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/hostnames"
                }
            },
            "urls": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/urls",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/urls"
                }
            },
            "rules": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/rules",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/rules"
                }
            },
            "threat_indicators": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/threat_indicators",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/threat_indicators"
                }
            }
        },
        "meta": {
            "risk_score_summary": {
                "integrations": 75,
                "vip": 5,
                "reporter": 15,
                "rules": 1
            }
        }
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful(is_success = true): print "Successfully added tags to the the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה לא הצליחה, כלומר קוד הסטטוס הוא 404(is_success = false):
ההודעה 'לא הייתה אפשרות להוסיף תגים לדוח עם המזהה {0} ב-Cofense Triage' תוצג. Reason: \n {1}".format(report_id, errors/detail)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: מודפס 'Error executing action "Add Tags To Report". Reason: {0}''.format(error.Stacktrace)

 כללי

דוח סיווג

תיאור

סיווג דוח ב-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הדוח String לא רלוונטי כן מציינים את מזהה הדוח שאליו רוצים להוסיף תגים.
שם הקטגוריה String לא רלוונטי כן מציינים את שם הקטגוריה שרוצים להחיל על הדוח. אפשר למצוא את הקטגוריות הזמינות בפעולה 'רשימת קטגוריות'.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "id": "13507",
        "type": "reports",
        "links": {
            "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507"
        },
        "attributes": {
            "location": "Inbox",
            "risk_score": 96,
            "from_address": null,
            "subject": "Test Phishing domain",
            "received_at": "2020-10-12T21:30:54.000Z",
            "reported_at": "2020-10-12T21:30:53.000Z",
            "raw_headers": "X-Triage-Noise-Reduction: state=0\r\nX-Triage-Noise-Reduction: score=79\r\nX-Triage-Noise-Reduction: vacb1561f9d032089\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
            "text_body": "Testing<http://dsrihsddk.net/>\r\n\r\nThis is a poor reputation domain\r\n\r\n",
            "html_body": "<html xmlns:v=\"urn:schemas-microsoft-com:vml\" xml>\r\n</div>\r\n</body>\r\n</html>\r\n",
            "md5": "81fe86fc9c244be978ab8b8392d3c986",
            "sha256": "146b857b2a147eeb9091571327452006438294aeb21069e38c6f25a811aa6c03",
            "match_priority": 1,
            "tags": [
                "dsa",
                "asd"
            ],
            "categorization_tags": [],
            "processed_at": null,
            "created_at": "2020-10-12T21:31:36.495Z",
            "updated_at": "2020-11-17T15:33:27.567Z"
        },
        "relationships": {
            "assignee": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/assignee",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/assignee"
                },
                "data": null
            },
            "category": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/category",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/category"
                },
                "data": null
            },
            "cluster": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/cluster",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/cluster"
                },
                "data": {
                    "type": "clusters",
                    "id": "3915"
                }
            },
            "reporter": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/reporter",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/reporter"
                },
                "data": {
                    "type": "reporters",
                    "id": "5331"
                }
            },
            "attachment_payloads": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachment_payloads",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachment_payloads"
                }
            },
            "attachments": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachments",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachments"
                }
            },
            "headers": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/headers",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers"
                }
            },
            "hostnames": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/hostnames",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/hostnames"
                }
            },
            "urls": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/urls",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/urls"
                }
            },
            "rules": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/rules",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/rules"
                }
            },
            "threat_indicators": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/threat_indicators",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/threat_indicators"
                }
            }
        },
        "meta": {
            "risk_score_summary": {
                "integrations": 75,
                "vip": 5,
                "reporter": 15,
                "rules": 1
            }
        }
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful(is_success = true): print "Successfully updated category on the the report with ID {0} to {1} in Cofense Triage.".format(report_id, category_name)

אם הפעולה לא הצליחה, כלומר קוד הסטטוס הוא 404(is_success = false): הפלט הוא "לא הייתה אפשרות לעדכן את הקטגוריה בדוח עם המזהה {0} לערך {1} ב-Cofense Triage. סיבה: \n {2}".format(report_id, category_name, errors/detail)

הפעולה אמורה להיכשל ולהפסיק את הביצוע של תוכנית הפעולה:

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: מודפס 'שגיאה בהפעלת הפעולה 'סיווג הדוח'. הסיבה: {0}''.format(error.Stacktrace)

 כללי

הורדת דוח האימייל

תיאור

מורידים אימייל גולמי שקשור לדוח מ-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הדוח String לא רלוונטי כן מציינים את מזהה הדוח שמכיל את האימייל הגולמי שצריך להוריד.
הורדת תיקייה String לא רלוונטי כן מציינים את הנתיב המוחלט לתיקיית ההורדות. הערה: השם ייבנה באופן הבא: {report id}.eml.
החלפה תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תשכתב את הקובץ עם אותו שם ונתיב.
יצירת תובנה תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, הפעולה תיצור תובנה שתכיל את האימייל הגולמי של הדוח.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "absolute_file_path": "{filepath}"
}
תובנה
שם גוף
דיווח {ID}. אימייל גולמי {content of the response. ‫\n צריך להיות מוחלף ב- \
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful(is_success = true): print "Successfully downloaded raw email related to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה לא הצליחה, כלומר קוד הסטטוס הוא 400(is_success = false): הפעולה תדפיס את ההודעה 'לא הייתה אפשרות להוריד את האימייל הגולמי שקשור לדוח עם המזהה {0} ב-Cofense Triage. הסיבה: \n {1}".format(report_id, errors/detail)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מופיעה שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: מודפסת ההודעה 'שגיאה בהפעלת הפעולה Download Report Email'. הסיבה: {0}''.format(error.Stacktrace)

אם קיים קובץ עם שם הקובץ וההגדרה overwrite היא false: "Error executing action "Download Report Email". Reason: File with that file path already exists. Please remove it or set 'Overwrite' to true." (שגיאה בהפעלת הפעולה 'הורדת דוח באימייל'. הסיבה: כבר קיים קובץ עם נתיב הקובץ הזה. צריך להסיר אותו או להגדיר את האפשרות 'החלפה' כ-true).

 כללי

הורדת תצוגה מקדימה של הדוח

תיאור

מורידים את התצוגה המקדימה של התמונה מהאימייל שקשור לדוח מ-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הדוח String לא רלוונטי כן מציינים את מזהה הדוח שמכיל את האימייל הגולמי שצריך להוריד.
הורדת תיקייה String לא רלוונטי כן מציינים את הנתיב המוחלט לתיקיית ההורדות. הערה: השם ייבנה באופן הבא: {report id}.eml.
החלפה תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תשכתב את הקובץ עם אותו שם ונתיב.
פורמט תמונה DDL PNG

ערכים אפשריים:

  • PNG
  • JPG
 כן מציינים את פורמט התמונה.
יצירת תובנה תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, הפעולה תיצור תובנה שתכיל את האימייל הגולמי של הדוח.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "absolute_file_path": "{filepath}"
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה בוצעה בהצלחה (is_success=true):"Successfully downloaded preview related to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה לא הצליחה, זה קורה כשמופיע קוד הסטטוס 400 (is_success=false): ‎ "Action wasn't able to download a preview related to the report with ID {0} in Cofense Triage. Reason: \n {1}".format(report_id, errors/detail)‎

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת:"שגיאה בהפעלת הפעולה 'הורדת תצוגה מקדימה של הדוח'. הסיבה: {0}''.format(error.Stacktrace)

אם קיים קובץ עם שם הקובץ וההגדרה overwrite היא false: "Error executing action "Download Report Email". Reason: File with that file path already exists. Please remove it or set 'Overwrite' to true." (שגיאה בהפעלת הפעולה 'הורדת דוח באימייל'. הסיבה: כבר קיים קובץ עם נתיב הקובץ הזה. צריך להסיר אותו או להגדיר את האפשרות 'החלפה' כ-true).

 כללי

כתובת URL להעשרה

תיאור

החזרת מידע על כתובת ה-URL מ-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף דירוג הסיכונים מספר שלם 50 כן מציינים מה צריך להיות סף ניקוד הסיכון כדי ש-Google SecOps תסווג את כתובת ה-URL הזו כחשודה. הערך המקסימלי הוא 100.

ריצה

הפעולה הזו מופעלת בישות של כתובת ה-URL.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
COFENSE_TRG_id אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_risk_score אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_created_at אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_updated_at אם הוא זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "urls",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/urls/1"
            },
            "attributes": {
                "url": "https://www.paypal.com/us",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:20.008Z",
                "updated_at": "2019-04-12T02:58:20.008Z"
            },
            "relationships": {
                "hostname": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/1/relationships/hostname",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/1/hostname"
                    },
                    "data": {
                        "type": "hostnames",
                        "id": "2"
                    }
                },
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/1/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/1/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/1/reports"
                    }
                }
            }
        },
        {
            "id": "2",
            "type": "urls",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/urls/2"
            },
            "attributes": {
                "url": "http://cie.org.mx/leather.php?amount=1qw2f60krdrf8c",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:20.011Z",
                "updated_at": "2019-04-12T02:58:20.011Z"
            },
            "relationships": {
                "hostname": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/2/relationships/hostname",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/2/hostname"
                    },
                    "data": {
                        "type": "hostnames",
                        "id": "1"
                    }
                },
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/2/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/2/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/2/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/2/reports"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/urls?filter%5Burl%5D=https%3A%2F%2Fwww.paypal.com%2Fus%2Chttp%3A%2F%2Fcie.org.mx%2Fleather.php%3Famount%3D1qw2f60krdrf8c&page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/urls?filter%5Burl%5D=https%3A%2F%2Fwww.paypal.com%2Fus%2Chttp%3A%2F%2Fcie.org.mx%2Fleather.php%3Famount%3D1qw2f60krdrf8c&page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful for at least one URL(is_success = true): print "Successfully enriched the following URLs using Cofense Triage: \n {0}".format(entity.identifier list)

אם הפעולה הצליחה לפחות עבור כתובת URL אחת(is_success = true): הדפסה של "לא הייתה אפשרות להעשיר את כתובות ה-URL הבאות באמצעות Cofense Triage: \n {0}".format(entity.identifier list)

אם ההעשרה של כל הישויות נכשלה (is_success = false): הדפסה: "לא בוצעה העשרה של כתובות URL".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: print "Error executing action "Enrich URL". Reason: {0}''.format(error.Stacktrace)

 כללי
CSV שדות שנמצאים בקטע של טבלת ההעשרה, אבל ללא הקידומת COFENSE_TRG_ ישות

ביצוע של מדריך

תיאור

מתחילים הפעלה של playbook ב-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הדוח String לא רלוונטי כן מציינים את מזהה הדוח שרוצים להפעיל עליו את ספר ההוראות.
שם הפלייבוק String לא רלוונטי כן מציינים את השם של ספר ההפעלה שרוצים להריץ.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם קוד הסטטוס 204 מדווח (is_success=true): "Successfully executed playbook {playbook name} on report {report id} in Cofense Triage." (הפעלת playbook {playbook name} בדוח {report id} ב-Cofense Triage בוצעה בהצלחה).

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם צוין ערך לא תקין לפרמטר 'מספר הרשומות המקסימלי להחזרה': 'שגיאה בהרצת הפעולה 'הפעלת ספר ההפעלה'. הסיבה: {0}''.format(error.Stacktrace)'

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'רשימת ספרי ההפעלה'. הסיבה: {0}''.format(error.Stacktrace)

אם השגיאות מדווחות בתגובה: "שגיאה בהפעלת הפעולה Execute Playbook". הסיבה: {0}''.format(detail)"

אם ספר ההפעלה לא נמצא: "שגיאה בהפעלת הפעולה 'הפעלת ספר הפעלה'. הסיבה: ספר הפעלה בשם {name} לא נמצא".

 כללי

קבלת פרטי דומיין

תיאור

החזרת מידע על הדומיין מ-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר
N/A

ריצה

הפעולה הזו מופעלת בישות של כתובת ה-URL.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "hostnames",
            "attributes": {
                "hostname": "cie.org.mx",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:19.893Z",
                "updated_at": "2019-04-12T02:58:19.974Z"
            },
            "relationships": {
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/reports"
                    }
                },
                "urls": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/relationships/urls",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/urls"
                    }
                }
            }
        },
        {
            "id": "2",
            "type": "hostnames",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2"
            },
            "attributes": {
                "hostname": "www.paypal.com",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:19.898Z",
                "updated_at": "2019-04-12T02:58:19.965Z"
            },
            "relationships": {
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/reports"
                    }
                },
                "urls": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/relationships/urls",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/urls"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/hostnames?filter%5Bhostname%5D=www.paypal.com%2Ccie.org.mx&page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/hostnames?filter%5Bhostname%5D=www.paypal.com%2Ccie.org.mx&page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful for at least one URL(is_success = true): print "Successfully returned details about the following domains using Cofense Triage: \n {0}".format(entity.identifier list)

if successful for at least one URL(is_success = true): print "Action wasn't able to get details about the following domains using Cofense Triage: \n {0}".format(entity.identifier list)

אם ההעשרה נכשלת עבור כל הישויות (is_success = false): הדפסה: 'לא נמצא מידע על הדומיינים'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: הפלט הוא "שגיאה בהפעלת הפעולה 'קבלת פרטי הדומיין'". הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV

שם הטבלה: פרטי הדומיין

עמודות בטבלה:

שם – שם המארח

דירוג סיכונים – risk_score

 כללי

קבלת כותרות של דוחות

תיאור

החזרת מידע על הכותרת שקשורה לדוח מ-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הדוח String לא רלוונטי כן מציינים את המזהה של הדוח שרוצים לאחזר את הכותרות שלו.
המספר המקסימלי של כותרות להחזרה מספר שלם 50 לא מציינים כמה כותרות להחזיר.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "4",
            "type": "headers",
            "attributes": {
                "key": "Mime-Version",
                "value": "1.0",
                "created_at": "2020-11-03T16:43:33.767Z",
                "updated_at": "2020-11-03T16:43:33.767Z"
            },
            "relationships": {
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/headers/4/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/headers/4/reports"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers?page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers?page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful(is_success = true): print "Successfully returned related headers to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה לא הצליחה, כלומר קוד הסטטוס הוא 404(is_success = false): המערכת תדפיס את ההודעה 'לא הייתה אפשרות להחזיר כותרות שקשורות לדוח עם המזהה {0} ב-Cofense Triage'. הסיבה: \n {1}".format(report_id, errors/detail)

אם לא נמצאו כללים (is_success = false): הדפסה: 'No related headers were found to the report with ID {0} in Cofense Triage.'.format(report_id)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: מדפיסים את ההודעה "שגיאה בהפעלת הפעולה 'קבלת כותרות הדוח'". הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV

שם הטבלה: כותרות של דוח {0}

עמודות הטבלה:

מפתח Name -

ערך - value

 כללי

קבלת דוח על מדווחים

תיאור

החזרת מידע על המדווח שקשור לדוח מ-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הדוח String לא רלוונטי כן מציינים את המזהה של הדוח שרוצים לאחזר את המדווחים שלו.
מספר מקסימלי של כתבים להחזרה מספר שלם 50 לא מציינים כמה דוחות רוצים לקבל.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
 "data": {
        "id": "5331",
        "type": "reporters",
        "attributes": {
            "email": "user@example.com",
            "reports_count": 277,
            "last_reported_at": "2020-11-06T18:32:47.000Z",
            "reputation_score": 561,
            "vip": true,
            "created_at": "2019-10-24T01:05:28.649Z",
            "updated_at": "2020-11-06T18:33:59.004Z"
        },
        "relationships": {
            "clusters": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/relationships/clusters",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/clusters"
                }
            },
            "reports": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/relationships/reports",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/reports"
                }
            }
        }
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful(is_success = true): print "Successfully returned related reporters to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה נכשלה, כלומר קוד הסטטוס הוא 404(is_success = false): המערכת תדפיס את ההודעה "לא הייתה אפשרות להחזיר דוחות קשורים לדוח עם המזהה {0} ב-Cofense Triage. הסיבה: \n {1}".format(report_id, errors/detail)

אם לא נמצאו כללים (is_success = false): הדפסה: "No related reporters were found to the report with ID {0} in Cofense Triage.".format(report_id)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: print "Error executing action "Get Report Reporters". Reason: {0}''.format(error.Stacktrace)

 כללי
CSV

שם הטבלה: דוח {0} מדווחים

עמודות הטבלה:

אימייל – אימייל

מספר הדוחות – reports_count

ציון המוניטין – reputation_score

VIP - vip

 כללי

קבלת פרטים על אינדיקטורים של איומים

תיאור

החזרת מידע על הישויות על סמך פרטי אינדיקטור האיום מ-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר
N/A

ריצה

הפעולה הזו מופעלת על כל הישות.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
COFENSE_TRG_ti_id אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_ti_type אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_ti_threat_level אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_ti_threat_source אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_ti_created_at אם הוא זמין בתוצאת ה-JSON.
COFENSE_TRG_id_updated_at אם הוא זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "threat_indicators",
            "attributes": {
                "threat_level": "Malicious",
                "threat_type": "MD5",
                "threat_value": "f1364ab115332cb44b5d7bb734d2cbf6",
                "threat_source": "Triage-UI",
                "created_at": "2019-06-06T18:55:38.107Z",
                "updated_at": "2020-11-03T16:41:19.972Z"
            },
            "relationships": {
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/threat_indicators/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/threat_indicators/1/reports"
                    }
                }
            }
        }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful for at least one entity(is_success = true): print "Successfully returned threat indicator details about the following entities using Cofense Triage: \n {0}".format(entity.identifier list)

if successful for at least one entity(is_success = true): print "Action wasn't able to return threat indicator details about the following entities using Cofense Triage: \n {0}".format(entity.identifier list)

אם ההעשרה של כל הישויות נכשלת (is_success = false): המערכת מדפיסה: "לא נמצא מידע על אינדיקטורים של איומים לגבי הישויות".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: הפלט יהיה 'Error executing action "Get Threat Indicator Details"'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV שדות שנמצאים בקטע של טבלת ההעשרה, אבל ללא הקידומת COFENSE_TRG_ ישות

הצגת רשימת קטגוריות

תיאור

רשימת הקטגוריות שזמינות ב-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שמות CSV לא רלוונטי לא מציינים רשימה של שמות קטגוריות שמופרדים באמצעות פסיקים. הפרמטר הזה שימושי כדי לבדוק אם קיימת קטגוריה עם השם שצוין.
הציון הנמוך ביותר לאחזור מספר שלם לא רלוונטי לא מציינים את הניקוד הנמוך ביותר שמתקבל לקטגוריה. הפרמטר הזה יכול לפעול עם ערכים שליליים.
רק תוכן זדוני תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, הפעולה מחזירה רק קטגוריות זדוניות.
רק בארכיון תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, הפעולה מחזירה רק קטגוריות שנארכו.
רק לא בארכיון תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, הפעולה מחזירה רק קטגוריות שלא הועברו לארכיון.
רק תוכן לא זדוני תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, הפעולה מחזירה רק קטגוריות לא זדוניות.
המספר המקסימלי של קטגוריות להחזרה מספר שלם לא רלוונטי לא מציינים את מספר הקטגוריות שיוחזרו.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "categories",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/categories/1"
            },
            "attributes": {
                "name": "Non-Malicious",
                "score": -5,
                "malicious": false,
                "color": "#739d75",
                "archived": false,
                "created_at": "2019-04-11T08:24:49.787Z",
                "updated_at": "2019-11-12T19:15:37.849Z"
            },
            "relationships": {
                "one_clicks": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/categories/1/relationships/one_clicks",
                        "related": "https://tap.phishmecloud.com/api/public/v2/categories/1/one_clicks"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/categories/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/categories/1/reports"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/categories?filter%5Barchived%5D=false&filter%5Bmalicious%5D=false&filter%5Bname%5D=Non-Malicious&filter%5Bscore_gteq%5D=-5&page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/categories?filter%5Barchived%5D=false&filter%5Bmalicious%5D=false&filter%5Bname%5D=Non-Malicious&filter%5Bscore_gteq%5D=-5&page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה בוצעה ללא שגיאות (is_success=true): 'Successfully returned available categories from Cofense Triage.'

אם לא נמצאו קטגוריות (is_success=false) 'לא נמצאו קטגוריות לפי הקריטריונים'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'רשימת קטגוריות'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
Case Wall Table

שם הטבלה: קטגוריות זמינות

עמודה בטבלה:

  • שם – שם
  • תוצאה – תוצאה
  • מזהה – id
  • זדוני – זדוני
  • הועבר לארכיון – הועבר לארכיון
 כללי

הצגת רשימה של מדריכים

תיאור

רשימה של מדריכים זמינים ב-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מפתח המסנן DDL

יש לבחור טווח

ערכים אפשריים:

  • שם
  • תיאור
 לא מציינים את המפתח שבו צריך להשתמש כדי לסנן את תוכניות הפעולה.
לוגיקת הסינון DDL

לא צוינה

ערכים אפשריים:

  • לא צוינה
  • שווה
  • מכיל
 לא

מציינים את סוג לוגיקת הסינון שרוצים להחיל. לוגיקת הסינון פועלת על סמך הערך שמופיע בפרמטר Filter Key (מפתח סינון).

הערה: הלוגיקה של 'שווה ל' היא תלוית רישיות, ואילו הלוגיקה של 'מכיל' היא לא תלוית רישיות.
ערך המסנן String לא רלוונטי לא

מציינים את הערך שבו רוצים להשתמש במסנן.

אם בוחרים באפשרות 'שווה ל', המערכת מנסה למצוא את ההתאמה המדויקת בין התוצאות.

אם האפשרות 'מכיל' נבחרה, הפעולה מנסה למצוא תוצאות שמכילות את מחרוזת המשנה הזו.

אם לא מציינים ערך בפרמטר הזה, המסנן לא מופעל.

לוגיקת הסינון פועלת על סמך הערך שמוגדר בפרמטר Filter Key (מפתח סינון).
מספר הרשומות המקסימלי שיוחזר מספר שלם 50 לא

מציינים את מספר הרשומות שיוחזרו. אם לא מספקים כלום, הפעולה מחזירה 50 רשומות.

מקסימום: 200

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
        {
            "id": "1",
            "type": "playbooks",
            "links": {
                "self": "https://reltest6.phishmecloud.com/api/public/v2/playbooks/1"
            },
            "attributes": {
                "name": "SN_Test",
                "description": "",
                "active": true,
                "button_color": "#204d74",
                "add_rule_tags_to_report_tags": true,
                "remove_existing_report_tags": false,
                "remove_existing_cluster_tags": false,
                "report_tags": [
                    "SN_Test"
                ],
                "cluster_tags": [
                    "SN_Cluster_Test",
                    "test1"
                ],
                "delete_report": false,
                "guid": "b443a844-ffc2-49d2-8903-1a5f7fde7526",
                "created_at": "2021-05-28T01:29:22.080Z",
                "updated_at": "2022-04-08T06:04:17.016Z"
            }
        }
]
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הנתונים זמינים (is_success=true): 'Successfully found playbooks for the provided criteria in Cofense Triage.' (נמצאו בהצלחה תוכניות פעולה לפי הקריטריונים שצוינו ב-Cofense Triage).

אם הנתונים לא זמינים (is_success=false): "No playbooks were found for the provided criteria in Cofense Triage."

אם הפרמטר Filter Value (ערך המסנן) ריק (is_success=true): 'המסנן לא הוחל כי הפרמטר Filter Value (ערך המסנן) ריק'.

אם הפרמטר Filter Logic (לוגיקת סינון) מוגדר כ-Not Specified (לא צוין) (is_success=true): 'המסנן לא הוחל כי הפרמטר Filter Logic לא צוין'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם הפרמטר Filter Key (מפתח מסנן) מוגדר ל-Select One (בחירת אחת) והפרמטר Filter Logic (לוגיקת סינון) מוגדר ל-Equal (שווה) או ל-Contains (מכיל): 'Error executing action "{action name}". Reason: you need to select a field from the "Filter Key" parameter.' (שגיאה בהפעלת הפעולה '{שם הפעולה}'. סיבה: צריך לבחור שדה מהפרמטר Filter Key (מפתח מסנן)).

אם צוין ערך לא תקין לפרמטר 'מספר הרשומות המקסימלי להחזרה': 'שגיאה בהפעלת הפעולה '{שם הפעולה}'. הסיבה: 'צוין ערך לא תקין לפרמטר 'מספר הרשומות המקסימלי להחזרה': PROVIDED_VALUE. צריך לציין מספר חיובי'.'

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'רשימת ספרי ההפעלה'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
Case Wall Table

שם הטבלה: מדריכים זמינים

עמודה בטבלה:

  • שם – שם
  • פעיל-פעיל
  • מזהה – id
  • תיאור – description
  • תגים – קובץ CSV של report_tags + cluster_tags
  • נוצר בשעה – created_at
 כללי

תיאור

רשימת דוחות שקשורים לאינדיקטורים של איומים ב-Cofense Triage.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
יצירת טבלה של בקשות תמיכה תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, הפעולה תיצור טבלה של קיר תיק עם מידע על דוחות.
המספר המקסימלי של דוחות להחזרה מספר שלם 100 לא מציינים כמה דוחות להחזיר.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
 {
    "reports": [
        {
            "id": "13219",
            "type": "reports",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/reports/13219"
            },
            "attributes": {
                "location": "Inbox",
                "risk_score": null,
                "from_address": null,
                "subject": "Delivery reports about your e-mail",
                "received_at": "2019-05-17T01:25:07.642Z",
                "reported_at": "2019-05-16T23:01:50.000Z",
                "raw_headers": "Date: Fri, 17 May 2019 01:25:07 +0000\r\nMessage-ID: <5cde0d73994b2_10902aea1885332418512@ip-10-132-9-226.ec2.internal.mail>\r\nSubject: Delivery reports about your e-mail\r\nMime-Version: 1.0\r\nContent-Type: multipart/mixed;\r\n boundary=\"--==_mimepart_5cde0d7399130_10902aea18853324184a7\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
                "md5": "3e4c2e6e85695569ae7a11aac8a774c6",
                "sha256": "1434d565d7735a841f39cb953cfdbbba1d0793324900d42c25b212b454a77993",
                "match_priority": 4,
                "tags": [],
                "categorization_tags": [],
                "processed_at": null,
                "created_at": "2019-05-17T01:25:07.652Z",
                "updated_at": "2019-05-17T01:25:10.032Z"
            },
            "meta": {
                "risk_score_summary": null
            }
        },
        {
            "id": "13227",
            "type": "reports",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/reports/13227"
            },
            "attributes": {
                "location": "Inbox",
                "risk_score": null,
                "from_address": null,
                "subject": "Delivery reports about your e-mail",
                "received_at": "2019-05-17T14:53:54.318Z",
                "reported_at": "2019-05-16T23:01:50.000Z",
                "raw_headers": "Date: Fri, 17 May 2019 14:53:54 +0000\r\nMessage-ID: <5cdecb024a663_107f2b040f2cd3306399@ip-10-132-9-226.ec2.internal.mail>\r\nSubject: Delivery reports about your e-mail\r\nMime-Version: 1.0\r\nContent-Type: multipart/mixed;\r\n boundary=\"--==_mimepart_5cdecb024a2fd_107f2b040f2cd3306387b\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
                "md5": "92bb365c3fe712216610e884621c771a",
                "sha256": "da37a508cd47987e9989fc8a2af12352c6652fa5c421f4556ef6a198bf73821e",
                "match_priority": 4,
                "tags": [],
                "categorization_tags": [],
                "processed_at": null,
                "created_at": "2019-05-17T14:53:54.327Z",
                "updated_at": "2019-05-17T14:53:56.453Z"
            },
            "meta": {
                "risk_score_summary": null
            }
        }
    ],
}
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה מצליחה: "Successfully returned reports related to provided entities from Cofense Triage."
אם לא נמצאו דוחות: "No related reports were found for the provided entities".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "Error executing action "List Reports Related To Threat Indicators". Reason: (error.Stacktrace)

 כללי
Case Wall Table

שם הטבלה: דוחות קשורים

עמודה בטבלה:

מזהה

נושא

תאריך יצירה

מיקום

כללי

פינג

תיאור

בודקים את הקישוריות ל-Cofense Triage באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:


אם הפעולה הצליחה: "Successfully connected to the Cofense Triage server with the provided connection parameters!"

הפעולה אמורה להיכשל ולהפסיק את ההרצה של ה-Playbook:


אם התגובה נכשלה: "החיבור לשרת Cofense Triage נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

מחבר

Cofense Triage - Reports Connector

שליפת דוחות מ-Cofense Triage.

הגדרה של Cofense Triage – Reports Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String location כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
ספריית הבסיס של ה-API String https://tap.phishmecloud.com כן ‫API Root של מופע Cofense Triage.
מזהה לקוח String לא רלוונטי כן מזהה הלקוח של חשבון Cofense Triage.
דיווח על מיקום CSV תיבת דואר נכנס,מודיעין לא רשימה של מיקומי דוחות מופרדים בפסיקים, שמתוכם המחבר צריך לאסוף נתונים.

רק דוחות מהמיקומים שצוינו ייכללו.

הערכים האפשריים הם:

  • תיבת דואר נכנס
  • סיור מקדים
  • בוצע עיבוד של ההזמנה

אם לא מציינים ערך, המחבר מעביר דוחות מכל המיקומים.
סוד לקוח סיסמה לא רלוונטי כן סוד הלקוח של חשבון Cofense Triage.
דירוג הסיכון הנמוך ביותר לאחזור מספר שלם 0 כן ציון הסיכון הכי נמוך שישמש לאחזור אימיילים. המספר המקסימלי הוא 100.
קטגוריה CSV לא רלוונטי לא רשימה של קטגוריות שמופרדות בפסיקים, שמשמשת לסינון הדוחות הנכנסים.

המחבר מעביר דוח רק אם הוא תואם לפחות לקטגוריה אחת ברשימה.
מספר השעות המקסימלי לאחזור נתונים אחורה מספר שלם 1 לא מספר השעות שממנו יאוחזרו הודעות אימייל.
מספר הדוחות המקסימלי לאחזור מספר שלם 10 לא מספר הדוחות לעיבוד בכל איטרציה של המחבר.
שימוש ברשימת ההיתרים כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, רשימת ההיתרים תשמש כרשימת חסימות.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם ההגדרה מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Cofense Triage תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.