Cofense Triage

במאמר הזה מוסבר איך לשלב את Cofense Triage עם Google Security Operations.

תרחישים לדוגמה

  1. להטמיע דוחות של Cofense Triage ולהשתמש בהם כדי ליצור התראות ב-Google Security Operations. בשלב הבא, אפשר להשתמש בהתראות ב-Google SecOps כדי לבצע תזמורים באמצעות פלייבוקים או ניתוח ידני.
  2. העשרת הישויות הקשורות ופרטים על הדוח.
  3. מיון הדוח.

הגדרת השילוב של Cofense Triage ב-Google SecOps

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
הרמה הבסיסית (root) של ה-API String https://tap.phishmecloud.com לא רלוונטי שורש ה-API של המכונה של Cofense Triage.
מזהה לקוח String לא רלוונטי כן מזהה הלקוח של חשבון Cofense Triage.
סוד לקוח סיסמה לא רלוונטי כן סוד הלקוח של חשבון Cofense Triage.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם ההגדרה מופעלת, המערכת מאמתת שאישור ה-SSL של החיבור לשרת Cofense Triage תקף.

פעולות

הוספת תגים לדוח

תיאור

הוספת תגים לדוח ב-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מזהה הדוח String לא רלוונטי כן מציינים את המזהה של הדוח שרוצים להוסיף לו תגים.
תגים CSV לא רלוונטי כן מציינים רשימה מופרדת בפסיקים של תגים שצריך להחיל על הדוח.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "id": "13507",
        "type": "reports",
        "links": {
            "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507"
        },
        "attributes": {
            "location": "Inbox",
            "risk_score": 96,
            "from_address": null,
            "subject": "Test Phishing domain",
            "received_at": "2020-10-12T21:30:54.000Z",
            "reported_at": "2020-10-12T21:30:53.000Z",
            "raw_headers": "X-Triage-Noise-Reduction: state=0\r\nX-Triage-Noise-Reduction: score=79\r\nX-Triage-Noise-Reduction: vacb1561f9d032089\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
            "text_body": "Testing<http://dsrihsddk.net/>\r\n\r\nThis is a poor reputation domain\r\n\r\n",
            "html_body": "<html xmlns:v=\"urn:schemas-microsoft-com:vml\" xml>\r\n</div>\r\n</body>\r\n</html>\r\n",
            "md5": "81fe86fc9c244be978ab8b8392d3c986",
            "sha256": "146b857b2a147eeb9091571327452006438294aeb21069e38c6f25a811aa6c03",
            "match_priority": 1,
            "tags": [
                "dsa",
                "asd"
            ],
            "categorization_tags": [],
            "processed_at": null,
            "created_at": "2020-10-12T21:31:36.495Z",
            "updated_at": "2020-11-17T15:33:27.567Z"
        },
        "relationships": {
            "assignee": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/assignee",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/assignee"
                },
                "data": null
            },
            "category": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/category",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/category"
                },
                "data": null
            },
            "cluster": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/cluster",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/cluster"
                },
                "data": {
                    "type": "clusters",
                    "id": "3915"
                }
            },
            "reporter": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/reporter",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/reporter"
                },
                "data": {
                    "type": "reporters",
                    "id": "5331"
                }
            },
            "attachment_payloads": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachment_payloads",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachment_payloads"
                }
            },
            "attachments": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachments",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachments"
                }
            },
            "headers": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/headers",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers"
                }
            },
            "hostnames": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/hostnames",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/hostnames"
                }
            },
            "urls": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/urls",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/urls"
                }
            },
            "rules": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/rules",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/rules"
                }
            },
            "threat_indicators": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/threat_indicators",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/threat_indicators"
                }
            }
        },
        "meta": {
            "risk_score_summary": {
                "integrations": 75,
                "vip": 5,
                "reporter": 15,
                "rules": 1
            }
        }
    }
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

if successful(is_success = true): print "Successfully added tags to the the report with ID {0} in Cofense Triage.".format(report_id)

if unsuccessful aka status code 404(is_success = false):
print "Action wasn't able to add tags to the report with ID {0} in Cofense Triage. Reason: \n {1}".format(report_id, errors/detail)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: מדפיסים את ההודעה "Error executing action "Add Tags To Report". הסיבה: {0}''.format(error.Stacktrace)

 כללי

סיווג הדוח

תיאור

סיווג דוח ב-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מזהה הדוח String לא רלוונטי כן מציינים את המזהה של הדוח שרוצים להוסיף לו תגים.
שם הקטגוריה String לא רלוונטי כן צריך לציין את שם הקטגוריה שרוצים להחיל על הדוח. אפשר למצוא את הקטגוריות הזמינות בפעולה "רשימת קטגוריות".

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "id": "13507",
        "type": "reports",
        "links": {
            "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507"
        },
        "attributes": {
            "location": "Inbox",
            "risk_score": 96,
            "from_address": null,
            "subject": "Test Phishing domain",
            "received_at": "2020-10-12T21:30:54.000Z",
            "reported_at": "2020-10-12T21:30:53.000Z",
            "raw_headers": "X-Triage-Noise-Reduction: state=0\r\nX-Triage-Noise-Reduction: score=79\r\nX-Triage-Noise-Reduction: vacb1561f9d032089\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
            "text_body": "Testing<http://dsrihsddk.net/>\r\n\r\nThis is a poor reputation domain\r\n\r\n",
            "html_body": "<html xmlns:v=\"urn:schemas-microsoft-com:vml\" xml>\r\n</div>\r\n</body>\r\n</html>\r\n",
            "md5": "81fe86fc9c244be978ab8b8392d3c986",
            "sha256": "146b857b2a147eeb9091571327452006438294aeb21069e38c6f25a811aa6c03",
            "match_priority": 1,
            "tags": [
                "dsa",
                "asd"
            ],
            "categorization_tags": [],
            "processed_at": null,
            "created_at": "2020-10-12T21:31:36.495Z",
            "updated_at": "2020-11-17T15:33:27.567Z"
        },
        "relationships": {
            "assignee": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/assignee",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/assignee"
                },
                "data": null
            },
            "category": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/category",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/category"
                },
                "data": null
            },
            "cluster": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/cluster",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/cluster"
                },
                "data": {
                    "type": "clusters",
                    "id": "3915"
                }
            },
            "reporter": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/reporter",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/reporter"
                },
                "data": {
                    "type": "reporters",
                    "id": "5331"
                }
            },
            "attachment_payloads": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachment_payloads",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachment_payloads"
                }
            },
            "attachments": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/attachments",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/attachments"
                }
            },
            "headers": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/headers",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers"
                }
            },
            "hostnames": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/hostnames",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/hostnames"
                }
            },
            "urls": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/urls",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/urls"
                }
            },
            "rules": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/rules",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/rules"
                }
            },
            "threat_indicators": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reports/13507/relationships/threat_indicators",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reports/13507/threat_indicators"
                }
            }
        },
        "meta": {
            "risk_score_summary": {
                "integrations": 75,
                "vip": 5,
                "reporter": 15,
                "rules": 1
            }
        }
    }
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

if successful(is_success = true): print "Successfully updated category on the the report with ID {0} to {1} in Cofense Triage.".format(report_id, category_name)

אם הפעולה נכשלה, כלומר קוד הסטטוס הוא 404 ‏(is_success = false): מדפיסים את ההודעה "הפעולה לא הצליחה לעדכן את הקטגוריה בדוח עם המזהה {0} ל-{1} ב-Cofense Triage. ‫Reason: \n {2}".format(report_id, category_name, errors/detail)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או בעיה אחרת: מדפיסים את ההודעה "שגיאה בביצוע הפעולה 'סיווג הדוח'". הסיבה: {0}''.format(error.Stacktrace)

 כללי

אימייל להורדת הדוח

תיאור

מורידים את האימייל הגולמי שקשור לדוח מ-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מזהה הדוח String לא רלוונטי כן ציינו את מזהה הדוח שמכיל את האימייל הגולמי שצריך להוריד.
הורדת התיקייה String לא רלוונטי כן צריך לציין את הנתיב המוחלט לתיקיית ההורדות. הערה: השם יורכב באופן הבא: {report id}.eml.
החלפה תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחליף את הקובץ עם אותו שם ונתיב קובץ.
יצירת תובנה תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הפעולה תיצור תובנה שמכילה את האימייל הגולמי של הדוח.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "absolute_file_path": "{filepath}"
}
תובנה
שם גוף
דיווח {ID}. אימייל גולמי {תוכן התשובה. \n should be replaced with \
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

if successful(is_success = true): print "Successfully downloaded raw email related to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה נכשלה, כלומר קוד סטטוס 400 ‏(is_success = false): מדפיסים את ההודעה "Action wasn't able to download raw email related to the report with ID {0} in Cofense Triage. Reason: \n {1}".format(report_id, errors/detail)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: מדפיסים את ההודעה "שגיאה בביצוע הפעולה "הורדת אימייל עם דוח". הסיבה: {0}''.format(error.Stacktrace)

אם קיים קובץ עם שם הקובץ וההחלפה היא False: "שגיאה בביצוע הפעולה "הורדת דוח אימייל". הסיבה: כבר קיים קובץ עם נתיב הקובץ הזה. צריך להסיר אותו או להגדיר את האפשרות "החלפה" כ-"true"."

 כללי

הורדת תצוגה מקדימה של הדוח

תיאור

מורידים את התצוגה המקדימה של התמונה מהאימייל שקשור לדוח מ-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מזהה הדוח String לא רלוונטי כן ציינו את מזהה הדוח שמכיל את האימייל הגולמי שצריך להוריד.
הורדת התיקייה String לא רלוונטי כן צריך לציין את הנתיב המוחלט לתיקיית ההורדות. הערה: השם יורכב באופן הבא: {report id}.eml.
החלפה תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחליף את הקובץ עם אותו שם ונתיב קובץ.
פורמט תמונה DDL PNG

ערכים אפשריים:

  • PNG
  • JPG
 כן מציינים את הפורמט של התמונה.
יצירת תובנה תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הפעולה תיצור תובנה שמכילה את האימייל הגולמי של הדוח.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "absolute_file_path": "{filepath}"
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה בוצעה בהצלחה (is_success=true):"Successfully downloaded preview related to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה נכשלה, קוד הסטטוס 400 (is_success=false): "הפעולה לא הצליחה להוריד תצוגה מקדימה שקשורה לדוח עם המזהה {0} ב-Cofense Triage. הסיבה: \n {1}".format(report_id, errors/detail)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת:"שגיאה בביצוע הפעולה 'הורדת תצוגה מקדימה של הדוח'. הסיבה: {0}''.format(error.Stacktrace)

אם קיים קובץ עם שם הקובץ וההחלפה היא False: "שגיאה בביצוע הפעולה "הורדת דוח אימייל". הסיבה: כבר קיים קובץ עם נתיב הקובץ הזה. צריך להסיר אותו או להגדיר את האפשרות "החלפה" כ-"true"."

 כללי

העשרת כתובת ה-URL

תיאור

החזרת מידע על כתובת ה-URL מ-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
סף ציון הסיכון מספר שלם 50 כן מציינים מה צריך להיות סף חישוב של ציון סיכונים כדי ש-Google SecOps יתייג את כתובת ה-URL הזו כחשודה. המספר המקסימלי הוא 100.

ריצה

הפעולה הזו פועלת על ישות כתובת ה-URL.

תוצאות הפעולה

העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
COFENSE_TRG_id אם זמין בתוצאת JSON.
COFENSE_TRG_risk_score אם זמין בתוצאת JSON.
COFENSE_TRG_created_at אם זמין בתוצאת JSON.
COFENSE_TRG_updated_at אם זמין בתוצאת JSON.
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "urls",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/urls/1"
            },
            "attributes": {
                "url": "https://www.paypal.com/us",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:20.008Z",
                "updated_at": "2019-04-12T02:58:20.008Z"
            },
            "relationships": {
                "hostname": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/1/relationships/hostname",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/1/hostname"
                    },
                    "data": {
                        "type": "hostnames",
                        "id": "2"
                    }
                },
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/1/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/1/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/1/reports"
                    }
                }
            }
        },
        {
            "id": "2",
            "type": "urls",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/urls/2"
            },
            "attributes": {
                "url": "http://cie.org.mx/leather.php?amount=1qw2f60krdrf8c",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:20.011Z",
                "updated_at": "2019-04-12T02:58:20.011Z"
            },
            "relationships": {
                "hostname": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/2/relationships/hostname",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/2/hostname"
                    },
                    "data": {
                        "type": "hostnames",
                        "id": "1"
                    }
                },
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/2/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/2/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/urls/2/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/urls/2/reports"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/urls?filter%5Burl%5D=https%3A%2F%2Fwww.paypal.com%2Fus%2Chttp%3A%2F%2Fcie.org.mx%2Fleather.php%3Famount%3D1qw2f60krdrf8c&page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/urls?filter%5Burl%5D=https%3A%2F%2Fwww.paypal.com%2Fus%2Chttp%3A%2F%2Fcie.org.mx%2Fleather.php%3Famount%3D1qw2f60krdrf8c&page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה בכתובת URL אחת לפחות(is_success = true): print "Successfully enriched the following URLs using Cofense Triage: \n {0}".format(entity.identifier list)

אם הפעולה הצליחה לפחות בכתובת URL אחת(is_success = true): print "Action wasn't able to enrich the following URLs using Cofense Triage: \n {0}".format(entity.identifier list)

אם ההעשרה נכשלה בכל הישויות (is_success = false): מדפיסים: "No URLs were enriched."‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: print "Error executing action "Enrich URL". הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV שדות שנמצאים בקטע Enrichment table, אבל בלי הקידומת "COFENSE_TRG_‎" ישות

הפעלת הפלייבוק

תיאור

הפעלת playbook ב-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מזהה הדוח String לא רלוונטי כן ציינו את מזהה הדוח שאתם רוצים להריץ עליו את הפלייבוק.
שם הפלייבוק String לא רלוונטי כן צריך לציין את שם הפלייבוק שרוצים להפעיל.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם מדווח קוד הסטטוס 204 ‏ (is_success=true): "הפלייבוק {playbook name} הופעל בהצלחה בדוח {report id} ב-Cofense Triage".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מזינים ערך לא חוקי בפרמטר "מספר הרשומות המקסימלי להחזרה": "שגיאה בביצוע הפעולה "הפעלת פלייבוק". הסיבה: {0}''.format(error.Stacktrace)"

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "List Playbooks".‎ הסיבה: {0}''.format(error.Stacktrace)

אם מדווח על שגיאות בתגובה: "Error executing action "Execute Playbook".‎ Reason: {0}''.format(detail)"

אם הפלייבוק לא נמצא: "שגיאה בביצוע הפעולה 'הפעלת פלייבוק'. סיבה: הפלייבוק {name} לא נמצא."

 כללי

קבלת פרטי הדומיין

תיאור

החזרת מידע על הדומיין מ-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר
לא רלוונטי

ריצה

הפעולה הזו פועלת על ישות כתובת ה-URL.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "hostnames",
            "attributes": {
                "hostname": "cie.org.mx",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:19.893Z",
                "updated_at": "2019-04-12T02:58:19.974Z"
            },
            "relationships": {
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/reports"
                    }
                },
                "urls": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/relationships/urls",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/1/urls"
                    }
                }
            }
        },
        {
            "id": "2",
            "type": "hostnames",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2"
            },
            "attributes": {
                "hostname": "www.paypal.com",
                "risk_score": null,
                "created_at": "2019-04-12T02:58:19.898Z",
                "updated_at": "2019-04-12T02:58:19.965Z"
            },
            "relationships": {
                "clusters": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/relationships/clusters",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/clusters"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/reports"
                    }
                },
                "urls": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/relationships/urls",
                        "related": "https://tap.phishmecloud.com/api/public/v2/hostnames/2/urls"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/hostnames?filter%5Bhostname%5D=www.paypal.com%2Ccie.org.mx&page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/hostnames?filter%5Bhostname%5D=www.paypal.com%2Ccie.org.mx&page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה בכתובת URL אחת לפחות(is_success = true): print "Successfully returned details about the following domains using Cofense Triage: \n {0}".format(entity.identifier list)

if successful for at least one URL(is_success = true): print "Action wasn't able to get details about the following domains using Cofense Triage: \n {0}".format(entity.identifier list)

אם העשרת הנתונים נכשלה בכל הישויות (is_success = false): מדפיסים: "לא נמצא מידע על הדומיינים".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: מדפיסים "שגיאה בביצוע הפעולה "קבלת פרטי דומיין". הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV

שם הטבלה: פרטי הדומיין

עמודות בטבלה:

שם – שם המארח

ציון סיכון – risk_score

 כללי

קבלת כותרות של דוחות

תיאור

החזרת מידע על הכותרת שקשורה לדוח מ-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מזהה הדוח String לא רלוונטי כן ציינו את מזהה הדוח שאתם רוצים לאחזר את הכותרות שלו.
מספר הכותרות המקסימלי להחזרה מספר שלם 50 לא מציינים כמה כותרות להחזיר.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "4",
            "type": "headers",
            "attributes": {
                "key": "Mime-Version",
                "value": "1.0",
                "created_at": "2020-11-03T16:43:33.767Z",
                "updated_at": "2020-11-03T16:43:33.767Z"
            },
            "relationships": {
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/headers/4/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/headers/4/reports"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers?page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/reports/13507/headers?page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

if successful(is_success = true): print "Successfully returned related headers to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה נכשלה, כלומר קוד סטטוס 404 ‏(is_success = false): מדפיסים את ההודעה "הפעולה לא הצליחה להחזיר כותרות קשורות לדוח עם המזהה {0} ב-Cofense Triage. Reason: \n {1}".format(report_id, errors/detail)

אם לא נמצאו כללים (is_success = false): הדפסה: "No related headers were found to the report with ID {0} in Cofense Triage.".format(report_id)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: מדפיסים "שגיאה בביצוע הפעולה "קבלת כותרות של דוחות". הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV

שם הטבלה: כותרות של דוח {0}

עמודות בטבלה:

שם – מפתח

ערך – ערך

 כללי

קבלת דיווחים על מדווחים

תיאור

החזרת מידע על המדווח שקשור לדוח מ-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מזהה הדוח String לא רלוונטי כן ציינו את מזהה הדוח שאתם רוצים לאחזר את המדווחים שלו.
מספר המדווחים המקסימלי שיוחזר מספר שלם 50 לא מציינים כמה מדווחים להחזיר.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
 "data": {
        "id": "5331",
        "type": "reporters",
        "attributes": {
            "email": "user@example.com",
            "reports_count": 277,
            "last_reported_at": "2020-11-06T18:32:47.000Z",
            "reputation_score": 561,
            "vip": true,
            "created_at": "2019-10-24T01:05:28.649Z",
            "updated_at": "2020-11-06T18:33:59.004Z"
        },
        "relationships": {
            "clusters": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/relationships/clusters",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/clusters"
                }
            },
            "reports": {
                "links": {
                    "self": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/relationships/reports",
                    "related": "https://tap.phishmecloud.com/api/public/v2/reporters/5331/reports"
                }
            }
        }
    }
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

if successful(is_success = true): print "Successfully returned related reporters to the report with ID {0} in Cofense Triage.".format(report_id)

אם הפעולה נכשלה, כלומר קוד סטטוס 404(is_success = false): מדפיסים את ההודעה "הפעולה לא הצליחה להחזיר את המדווחים שקשורים לדוח עם המזהה {0} ב-Cofense Triage. Reason: \n {1}".format(report_id, errors/detail)

אם לא נמצאו כללים (is_success = false): הדפסה: "No related reporters were found to the report with ID {0} in Cofense Triage.".format(report_id)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: print "Error executing action "Get Report Reporters".‎ הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV

שם הטבלה: Report {0} Reporters

עמודות בטבלה:

אימייל – אימייל

מספר הדוחות – reports_count

ציון מוניטין – reputation_score

‫VIP –‏ vip

 כללי

קבלת פרטים על אינדיקטורים לאיומים

תיאור

החזרת מידע על הישויות על סמך פרטי אינדיקטור האיום מ-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר
לא רלוונטי

ריצה

הפעולה הזו פועלת על כל הישויות.

תוצאות הפעולה

העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
COFENSE_TRG_ti_id אם זמין בתוצאת JSON.
COFENSE_TRG_ti_type אם זמין בתוצאת JSON.
COFENSE_TRG_ti_threat_level אם זמין בתוצאת JSON.
COFENSE_TRG_ti_threat_source אם זמין בתוצאת JSON.
COFENSE_TRG_ti_created_at אם זמין בתוצאת JSON.
COFENSE_TRG_id_updated_at אם זמין בתוצאת JSON.
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "threat_indicators",
            "attributes": {
                "threat_level": "Malicious",
                "threat_type": "MD5",
                "threat_value": "f1364ab115332cb44b5d7bb734d2cbf6",
                "threat_source": "Triage-UI",
                "created_at": "2019-06-06T18:55:38.107Z",
                "updated_at": "2020-11-03T16:41:19.972Z"
            },
            "relationships": {
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/threat_indicators/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/threat_indicators/1/reports"
                    }
                }
            }
        }
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה לגבי ישות אחת לפחות(is_success = true): print "Successfully returned threat indicator details about the following entities using Cofense Triage: \n {0}".format(entity.identifier list)

אם הפעולה הצליחה לפחות בישות אחת(is_success = true): print "Action wasn't able to return threat indicator details about the following entities using Cofense Triage: \n {0}".format(entity.identifier list)

אם העשרת הנתונים נכשלה בכל הישויות (is_success = false): מדפיסים: "לא נמצא מידע על אינדיקטורים לאיומים לגבי הישויות".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: print "Error executing action "Get Threat Indicator Details".‎ הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV שדות שנמצאים בקטע Enrichment table, אבל בלי הקידומת "COFENSE_TRG_‎" ישות

רשימת הקטגוריות

תיאור

רשימת הקטגוריות הזמינות ב-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
שמות CSV לא רלוונטי לא צריך לציין רשימה של שמות קטגוריות, מופרדים בפסיקים. הפרמטר הזה שימושי כדי לבדוק אם קיימת קטגוריה עם השם שצוין.
הציון הנמוך ביותר לאחזור מספר שלם לא רלוונטי לא מציינים את הציון הנמוך ביותר שאפשר לקבל בקטגוריה. הפרמטר הזה יכול לעבוד עם ערכים שליליים.
רק זדוני תיבת סימון התיבה לא מסומנת לא אם היא מופעלת, הפעולה מחזירה רק קטגוריות זדוניות.
רק פריטים שהועברו לארכיון תיבת סימון התיבה לא מסומנת לא אם האפשרות מופעלת, הפעולה מחזירה רק קטגוריות שהועברו לארכיון.
רק פריטים שלא הועברו לארכיון תיבת סימון התיבה לא מסומנת לא אם האפשרות מופעלת, הפעולה מחזירה רק קטגוריות שלא הועברו לארכיון.
רק לא זדוני תיבת סימון התיבה לא מסומנת לא אם היא מופעלת, הפעולה מחזירה רק קטגוריות לא זדוניות.
מספר הקטגוריות המקסימלי להחזרה מספר שלם לא רלוונטי לא מציינים את מספר הקטגוריות שרוצים לקבל.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": [
        {
            "id": "1",
            "type": "categories",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/categories/1"
            },
            "attributes": {
                "name": "Non-Malicious",
                "score": -5,
                "malicious": false,
                "color": "#739d75",
                "archived": false,
                "created_at": "2019-04-11T08:24:49.787Z",
                "updated_at": "2019-11-12T19:15:37.849Z"
            },
            "relationships": {
                "one_clicks": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/categories/1/relationships/one_clicks",
                        "related": "https://tap.phishmecloud.com/api/public/v2/categories/1/one_clicks"
                    }
                },
                "reports": {
                    "links": {
                        "self": "https://tap.phishmecloud.com/api/public/v2/categories/1/relationships/reports",
                        "related": "https://tap.phishmecloud.com/api/public/v2/categories/1/reports"
                    }
                }
            }
        }
    ],
    "links": {
        "first": "https://tap.phishmecloud.com/api/public/v2/categories?filter%5Barchived%5D=false&filter%5Bmalicious%5D=false&filter%5Bname%5D=Non-Malicious&filter%5Bscore_gteq%5D=-5&page%5Bnumber%5D=1&page%5Bsize%5D=20",
        "last": "https://tap.phishmecloud.com/api/public/v2/categories?filter%5Barchived%5D=false&filter%5Bmalicious%5D=false&filter%5Bname%5D=Non-Malicious&filter%5Bscore_gteq%5D=-5&page%5Bnumber%5D=1&page%5Bsize%5D=20"
    }
}
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה (is_success=true): "Successfully returned available categories from Cofense Triage."‎

אם לא נמצאו קטגוריות (is_success=false) "לא נמצאו קטגוריות שתואמות לקריטריונים".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'רשימת קטגוריות'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
שולחן קיר עם ארונית

שם הטבלה: קטגוריות זמינות

עמודה בטבלה:

  • שם – שם
  • תוצאה - תוצאה
  • אינדונזית – id
  • זדוני – זדוני
  • הועבר לארכיון – הועבר לארכיון
 כללי

הצגת רשימת המדריכים

תיאור

הצגת רשימה של פלייבוקים זמינים ב-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
מפתח סינון DDL

יש לבחור טווח

ערכים אפשריים:

  • שם
  • תיאור
 לא מציינים את המפתח שצריך להשתמש בו כדי לסנן פלייבוקים.
לוגיקת הסינון DDL

לא צוינה

ערכים אפשריים:

  • לא צוינה
  • שווה
  • מכיל
 לא

מציינים את סוג הלוגיקה של המסנן שרוצים להחיל. לוגיקת הסינון פועלת על סמך הערך שצוין בפרמטר Filter Key (מפתח סינון).

הערה: הלוגיקה "שווה ל-" תלוית אותיות רישיות, והלוגיקה "מכיל" לא תלוית אותיות רישיות.
ערך המסנן String לא רלוונטי לא

מציינים את הערך שבו רוצים להשתמש במסנן.

אם בוחרים באפשרות "שווה", הפעולה מנסה למצוא את ההתאמה המדויקת בין התוצאות.

אם בוחרים באפשרות "מכיל", הפעולה מנסה למצוא תוצאות שמכילות את מחרוזת המשנה הזו.

אם לא מציינים ערך בפרמטר הזה, המסנן לא מופעל.

לוגיקת הסינון פועלת על סמך הערך שצוין בפרמטר Filter Key (מפתח סינון).
מספר הרשומות המקסימלי להחזרה מספר שלם 50 לא

מציינים את מספר הרשומות שרוצים להחזיר. אם לא מציינים ערך, הפעולה מחזירה 50 רשומות.

מקסימום: 200

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
        {
            "id": "1",
            "type": "playbooks",
            "links": {
                "self": "https://reltest6.phishmecloud.com/api/public/v2/playbooks/1"
            },
            "attributes": {
                "name": "SN_Test",
                "description": "",
                "active": true,
                "button_color": "#204d74",
                "add_rule_tags_to_report_tags": true,
                "remove_existing_report_tags": false,
                "remove_existing_cluster_tags": false,
                "report_tags": [
                    "SN_Test"
                ],
                "cluster_tags": [
                    "SN_Cluster_Test",
                    "test1"
                ],
                "delete_report": false,
                "guid": "b443a844-ffc2-49d2-8903-1a5f7fde7526",
                "created_at": "2021-05-28T01:29:22.080Z",
                "updated_at": "2022-04-08T06:04:17.016Z"
            }
        }
]
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם יש נתונים (is_success=true): "Successfully found playbooks for the provided criteria in Cofense Triage."‎

אם הנתונים לא זמינים (is_success=false): "לא נמצאו פלייבוקים שתואמים לקריטריונים שצוינו ב-Cofense Triage".

אם הפרמטר "ערך המסנן" ריק (is_success=true): "המסנן לא הוחל כי הפרמטר "ערך המסנן" ריק".

אם הפרמטר "לוגיקת סינון" מוגדר כ "לא צוין" (is_success=true): "המסנן לא הוחל כי הפרמטר "לוגיקת סינון" לא צוין".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם הפרמטר Filter Key מוגדר כ-Select One והפרמטר Filter Logic מוגדר כ-Equal או Contains: "Error executing action "{action name}".‎ הסיבה: צריך לבחור שדה מהפרמטר "מפתח סינון".

אם צוין ערך לא חוקי בפרמטר "מספר הרשומות המקסימלי להחזרה": "שגיאה בביצוע הפעולה "{action name}". סיבה: "צוין ערך לא חוקי בשדה "מספר הרשומות המקסימלי להחזרה": PROVIDED_VALUE. צריך להזין מספר חיובי"."

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "List Playbooks".‎ הסיבה: {0}''.format(error.Stacktrace)

 כללי
שולחן קיר עם ארונית

שם הטבלה: פלייבוקים זמינים

עמודה בטבלה:

  • שם – שם
  • פעיל – פעיל
  • אינדונזית – id
  • תיאור – תיאור
  • תגים – קובץ CSV של report_tags + cluster_tags
  • תאריך ושעת יצירה – created_at
 כללי

תיאור

הצגת רשימה של דוחות שקשורים לאינדיקטורים של איומים ב-Cofense Triage.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל Is Mandatory תיאור
יצירת טבלת קיר של בקשות תמיכה תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הפעולה תיצור טבלה של Case Wall עם מידע על דוחות.
מספר הדוחות המקסימלי להחזרה מספר שלם 100 לא מציינים כמה דוחות רוצים לקבל.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
 {
    "reports": [
        {
            "id": "13219",
            "type": "reports",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/reports/13219"
            },
            "attributes": {
                "location": "Inbox",
                "risk_score": null,
                "from_address": null,
                "subject": "Delivery reports about your e-mail",
                "received_at": "2019-05-17T01:25:07.642Z",
                "reported_at": "2019-05-16T23:01:50.000Z",
                "raw_headers": "Date: Fri, 17 May 2019 01:25:07 +0000\r\nMessage-ID: <5cde0d73994b2_10902aea1885332418512@ip-10-132-9-226.ec2.internal.mail>\r\nSubject: Delivery reports about your e-mail\r\nMime-Version: 1.0\r\nContent-Type: multipart/mixed;\r\n boundary=\"--==_mimepart_5cde0d7399130_10902aea18853324184a7\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
                "md5": "3e4c2e6e85695569ae7a11aac8a774c6",
                "sha256": "1434d565d7735a841f39cb953cfdbbba1d0793324900d42c25b212b454a77993",
                "match_priority": 4,
                "tags": [],
                "categorization_tags": [],
                "processed_at": null,
                "created_at": "2019-05-17T01:25:07.652Z",
                "updated_at": "2019-05-17T01:25:10.032Z"
            },
            "meta": {
                "risk_score_summary": null
            }
        },
        {
            "id": "13227",
            "type": "reports",
            "links": {
                "self": "https://tap.phishmecloud.com/api/public/v2/reports/13227"
            },
            "attributes": {
                "location": "Inbox",
                "risk_score": null,
                "from_address": null,
                "subject": "Delivery reports about your e-mail",
                "received_at": "2019-05-17T14:53:54.318Z",
                "reported_at": "2019-05-16T23:01:50.000Z",
                "raw_headers": "Date: Fri, 17 May 2019 14:53:54 +0000\r\nMessage-ID: <5cdecb024a663_107f2b040f2cd3306399@ip-10-132-9-226.ec2.internal.mail>\r\nSubject: Delivery reports about your e-mail\r\nMime-Version: 1.0\r\nContent-Type: multipart/mixed;\r\n boundary=\"--==_mimepart_5cdecb024a2fd_107f2b040f2cd3306387b\";\r\n charset=UTF-8\r\nContent-Transfer-Encoding: 7bit",
                "md5": "92bb365c3fe712216610e884621c771a",
                "sha256": "da37a508cd47987e9989fc8a2af12352c6652fa5c421f4556ef6a198bf73821e",
                "match_priority": 4,
                "tags": [],
                "categorization_tags": [],
                "processed_at": null,
                "created_at": "2019-05-17T14:53:54.327Z",
                "updated_at": "2019-05-17T14:53:56.453Z"
            },
            "meta": {
                "risk_score_summary": null
            }
        }
    ],
}
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה: "Successfully returned reports related to provided entities from Cofense Triage."
אם לא נמצאו דוחות: "No related reports were found for the provided entities".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה "הצגת רשימת דוחות שקשורים לאינדיקטורים של איומים". הסיבה: (error.Stacktrace)

 כללי
שולחן קיר עם ארונית

שם הטבלה: דוחות קשורים

עמודה בטבלה:

מזהה

נושא

נוצר בתאריך

מיקום

כללי

פינג

תיאור

בודקים את הקישוריות ל-Cofense Triage באמצעות הפרמטרים שצוינו בדף הגדרת השילוב ב-Google SecOps Content Hub.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא פועלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:


אם הפעולה הצליחה: "Successfully connected to the Cofense Triage server with the provided connection parameters!"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:


אם התגובה נכשלה: "Failed to connect to the Cofense Triage server!‎ השגיאה היא {0}".format(exception.stacktrace)

 כללי

מחבר

‫Cofense Triage – מחבר דוחות

שליפת דוחות מ-Cofense Triage.

הגדרת Cofense Triage – מחבר דוחות ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע String location כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי של סביבה String .* לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".

ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String https://tap.phishmecloud.com כן שורש ה-API של המכונה של Cofense Triage.
מזהה לקוח String לא רלוונטי כן מזהה הלקוח של חשבון Cofense Triage.
דיווח על מיקום CSV תיבת דואר נכנס,שלב איסוף המידע לא רשימה מופרדת בפסיקים של מיקומי דוחות שמהם המחבר צריך להטמיע נתונים.

המערכת תטמיע רק דוחות מהמיקומים שצוינו.

הערכים האפשריים הם:

  • תיבת דואר נכנס
  • שלב איסוף המידע
  • בוצע עיבוד של ההזמנה

אם לא מציינים ערך, המחבר מטמיע דוחות מכל המיקומים.
סוד לקוח סיסמה לא רלוונטי כן סוד הלקוח של חשבון Cofense Triage.
ציון הסיכון הנמוך ביותר לאחזור מספר שלם 0 כן ציון הסיכון הנמוך ביותר שישמש לאחזור אימיילים. המספר המקסימלי הוא 100.
קטגוריה CSV לא רלוונטי לא רשימה מופרדת בפסיקים של קטגוריות שמשמשות לסינון הדוחות הנכנסים.

המחבר מטמיע דוח רק אם הוא תואם לפחות לקטגוריה אחת ברשימה.
אחזור שעות מקסימליות אחורה מספר שלם 1 לא מספר השעות שמהן צריך לאחזר אימיילים.
מספר הדוחות המקסימלי לאחזור מספר שלם 10 לא כמה דוחות לעבד בכל איטרציה של המחבר.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון התיבה לא מסומנת כן אם המדיניות מופעלת, רשימת ההיתרים תשמש כרשימת חסימה.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Cofense Triage תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא רלוונטי לא הסיסמה לאימות מול שרת ה-proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.