Cuculo

Versione integrazione: 10.0

Configura l'integrazione di Cuckoo in Google Security Operations

Configurare l'integrazione di Cuckoo con un certificato CA

Se necessario, puoi verificare la connessione con un file del certificato CA.

Prima di iniziare, assicurati di avere quanto segue:

  • Il file del certificato CA
  • L'ultima versione dell'integrazione Cuckoo

Per configurare l'integrazione con un certificato CA, completa i seguenti passaggi:

  1. Analizza il file del certificato CA in una stringa Base64.
  2. Apri la pagina dei parametri di configurazione dell'integrazione.
  3. Inserisci la stringa nel campo File certificato CA.
  4. Per verificare che l'integrazione sia configurata correttamente, seleziona la casella di controllo Verifica SSL e fai clic su Test.

Configura l'integrazione di Cuckoo in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, vedi Configurare le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome istanza Stringa N/D No Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione Stringa N/D No Descrizione dell'istanza.
Radice API Stringa http://x.x.x.x:8090 Sì L'indirizzo dell'istanza di Cuckoo.
Indirizzo dell'interfaccia web Stringa http://x.x.x.x:8000 Sì Indirizzo dell'istanza della UI web di Cuckoo.
Soglia di avviso Numero intero 5,0 Sì N/D
File del certificato CA Stringa N/D No N/D
Verifica SSL Casella di controllo Deselezionata No Utilizza questa casella di controllo se la connessione Cuckoo richiede una verifica SSL.
Esegui da remoto Casella di controllo Deselezionata No

Seleziona il campo per eseguire l'integrazione configurata da remoto.

Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).
Token API Password N/D No Token API dell'integrazione.

Azioni

Detonate File

Descrizione

Invia un file per l'analisi e ricevi un report, noto anche come asincrono.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Percorsi file Stringa N/D Sì Il percorso del file da inviare.

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
max_score N/D N/D
Risultato JSON
{
    "powershell8693919272434274241.ps1": {
        "info": {
            "category": "file",
            "added": 1547640117.991152,
            "monitor": "22c39cbb35f4d916477b47453673bc50bcd0df09",
            "package": "ps1",
            "started": 1547640190.471362,
            "route": "internet",
            "custom": null,
            "machine": {
                "status": "stopped",
                "shutdown_on": "2019-01-16 12:28:55",
                "started_on": "2019-01-16 12:03:16",
                "manager": "VirtualBox",
                "label": "win7x6427",
                "name": "win7x6427"
            },
            "ended": 1547641736.394026,
            "score": 6.6,
            "platform": "windows",
            "version": "2.0.6",
            "owner": null,
            "git": {
                "head": "03731c4c136532389e93239ac6c3ad38441f81a7",
                "fetch_head": "03731c4c136532389e93239ac6c3ad38441f81a7"
            },
            "options": "procmemdump=yes,route=internet",
            "id": 889621,
            "duration": 1545
        },
        "signatures":
        [{
            "families": [],
            "description": "HTTP traffic contains suspicious features which may be indicative of malware related traffic",
            "name": "network_cnc_http",
            "markcount": 1,
            "references": [],
            "marks":
            [{
                "suspicious_features": "Connection to IP address",
                "type": "generic",
                "suspicious_request": "GET http://1.1.1.1:8080/"
            }],
            "severity": 2
        }, {
            "families": [],
            "description": "Connects to smtp.live.com, possibly for spamming or data exfiltration",
            "name": "smtp_live",
            "markcount": 1,
            "references": [],
            "marks":
            [{
                "category": "domain",
                "type": "ioc",
                "ioc": "smtp.live.com",
                "description": null
            }],
            "severity": 2
        }, {
            "families": [],
            "description": "Connects to smtp.mail.yahoo.com, possibly for spamming or data exfiltration",
            "name": "smtp_yahoo",
            "markcount": 1,
            "references": [],
            "marks":
            [{
                "category": "domain",
                "type": "ioc",
                "ioc": "smtp.mail.yahoo.com",
                "description": null
            }],
            "severity": 2
        }]
    }
}

Detonate URL

Descrizione

Invia un URL per l'analisi e ricevi un report, noto anche come asincrono.

Parametri

N/D

Run On

Questa azione viene eseguita sull'entità URL.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "EntityResult": {
            "info": {
                "category": "url",
                "git": {
                    "head": "03731c4c136532389e93239ac6c3ad38441f81a7",
                    "fetch_head": "03731c4c136532389e93239ac6c3ad38441f81a7"
                },
                "monitor": "22c39cbb35f4d916477b47453673bc50bcd0df09",
                "package": "ie",
                "started": null,
                "route": "internet",
                "custom": null,
                "machine": {
                    "status": "stopped",
                    "shutdown_on": "2019-01-16 13:14:26",
                    "label": "win7x6412",
                    "manager": "VirtualBox",
                    "started_on": "2019-01-16 12:48:54",
                    "name": "win7x6412"
                },
                "ended": 1547644467.207864,
                "added": null,
                "id": 889669,
                "platform": null,
                "version": "2.0.6",
                "owner": null,
                "score": 4.4,
                "options": "procmemdump=yes,route=internet",
                "duration": null
            },
            "signatures": [{
                "families": [],
                "description": "HTTP traffic contains suspicious features which may be indicative of malware related traffic",
                "name": "network_cnc_http",
                "markcount": 1,
                "references": [],
                "marks": [{
                    "suspicious_features": "Connection to IP address",
                    "type": "generic",
                    "suspicious_request": "GET http://1.1.1.1:8080/"
                }],
                "severity": 2
            }, {
                "families": [],
                "description": "Performs some HTTP requests",
                "name": "network_http",
                "markcount": 9,
                "references": [],
                "marks": [{
                    "category": "request",
                    "ioc": "GET http://crl.microsoft.com/pki/crl/products/WinPCA.crl",
                    "type": "ioc",
                    "description": null
                }, {
                    "category": "request",
                    "ioc": "GET http://www.microsoft.com/pki/crl/products/WinPCA.crl",
                    "type": "ioc",
                    "description": null
                }, {
                    "category": "request",
                    "ioc": "GET http://crl.microsoft.com/pki/crl/products/MicrosoftTimeStampPCA.crl",
                    "type": "ioc",
                    "description": null
                }],
                "severity": 2
            }, {
                "families": [],
                "description": "Communicates with host for which no DNS query was performed",
                "name": "nolookup_communication",
                "markcount": 11,
                "references": [],
                "marks": [{
                    "host": "1.1.1.1",
                    "type": "generic"
                }, {
                    "host": "1.1.1.1",
                    "type": "generic"
                }, {
                    "host": "1.1.1.1",
                    "type": "generic"
                }],
                "severity": 3
            }]},
        "Entity": "http://digi.ba/eng/#pgc-56-0-0"
    }
]
Arricchimento delle entità

L'entità è contrassegnata come sospetta (True) se il punteggio supera la soglia. Altrimenti: False.

Nome del campo di arricchimento Logica: quando applicare
Cuckoo_Score N/D
task_id N/D

Scarica report

Descrizione

Ottieni un report di una determinata attività in base all'ID, noto anche come asincrono.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID attività Stringa N/D Sì

L'ID dell'attività.

Esempio: 10

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
punteggio N/D N/D
Risultato JSON
{
    "info": {
        "category": "file",
        "added": 1547640117.991152,
        "monitor": "22c39cbb35f4d916477b47453673bc50bcd0df09",
        "package": "ps1",
        "started": 1547640190.471362,
        "route": "internet",
        "custom": null,
        "machine": {
            "status": "stopped",
            "shutdown_on": "2019-01-16 12:28:55",
            "started_on": "2019-01-16 12:03:16",
            "manager": "VirtualBox",
            "label": "win7x6427",
            "name": "win7x6427"
        },
        "ended": 1547641736.394026,
        "score": 6.6,
        "platform": "windows",
        "version": "2.0.6",
        "owner": null,
        "git": {
            "head": "03731c4c136532389e93239ac6c3ad38441f81a7",
            "fetch_head": "03731c4c136532389e93239ac6c3ad38441f81a7"
        },
        "options": "procmemdump=yes,route=internet",
        "id": 889621,
        "duration": 1545
    },
    "signatures": [{
        "families": [],
        "description": "HTTP traffic contains suspicious features which may be indicative of malware related traffic",
        "name": "network_cnc_http",
        "markcount": 1,
        "references": [],
        "marks": [{
            "suspicious_features": "Connection to IP address",
            "type": "generic",
            "suspicious_request": "GET http://1.1.1.1:8080/"
        }],
        "severity": 2
    }, {
        "families": [],
        "description": "Connects to smtp.live.com, possibly for spamming or data exfiltration",
        "name": "smtp_live",
        "markcount": 1,
        "references": [],
        "marks": [{
            "category": "domain",
            "type": "ioc",
            "ioc": "smtp.live.com",
            "description": null
        }],
        "severity": 2
    }, {
        "families": [],
        "description": "Connects to smtp.mail.yahoo.com, possibly for spamming or data exfiltration",
        "name": "smtp_yahoo",
        "markcount": 1,
        "references": [],
        "marks": [{
            "category": "domain",
            "type": "ioc",
            "ioc": "smtp.mail.yahoo.com",
            "description": null
        }],
        "severity": 2
    }]
}

Dindin

Descrizione

Testa la connettività.

Parametri

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.