DeepSight
Integrationsversion: 7.0
DeepSight-Integration in Google Security Operations konfigurieren
Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.
Aktionen
Ping
Beschreibung
Verbindung testen
Parameter
Diese Aktion wird für alle Elemente ausgeführt.
Ausführen am
Diese Aktion wird für alle Elemente ausgeführt.
Aktionsergebnisse
Entitätsanreicherung
–
Statistiken
–
Scriptergebnis
| Name des Scriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| null | Wahr/falsch | null:False |
JSON-Ergebnis
N/A
Domain scannen
Beschreibung
Domain scannen
Parameter
–
Ausführen am
Diese Aktion wird für die folgenden Einheiten ausgeführt:
- Nutzer
- Hostname
- URL
Aktionsergebnisse
Entitätsanreicherung
| Name des Anreicherungsfelds | Logik – Wann anwenden? |
|---|---|
| Domain | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| auf die Zulassungsliste gesetzt | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| schemaVersion | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| whois | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
Statistiken
–
Scriptergebnis
| Name des Scriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| null | – | – |
JSON-Ergebnis
[{
"EntityResult":
{
"domain": "example.com",
"whitelisted": true,
"schemaVersion": 2,
"whois":
{
"city": "Reno",
"updated": "2014-04-30T00: 00: 00Z",
"created": "1994-11-01T00: 00: 00Z",
"nameServers": ["NS1.P31.DYNECT.NET",
"NS2.P31.DYNECT.NET",
"NS3.P31.DYNECT.NET"],
"country": "Us",
"expires": "2022-10-31T00: 00: 00Z",
"person": "Hostmaster,AmazonLegalDept.",
"registrar": "MarkmonitorInc.",
"postalCode": "89507",
"organization": "AmazonTechnologies,Inc.",
"email":"john_doe@example.com"
}
},
"Entity": "example.com"
}]
E‑Mail scannen
Beschreibung
E‑Mail scannen
Parameter
–
Ausführen am
Diese Aktion wird für die Nutzerentität ausgeführt.
Aktionsergebnisse
Entitätsanreicherung
| Name des Anreicherungsfelds | Logik – Wann anwenden? |
|---|---|
| Datum | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Titel | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| uri | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| id | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
Statistiken
–
Scriptergebnis
| Name des Scriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| null | – | – |
JSON-Ergebnis
[{
"EntityResult":
{
"date": "2015-04-27T01:10Z",
"title": "Laziok Trojan Activity and Infrastructure\\u2014January to April 2015",
"uri": "/v1/mati/reports/300156",
"id": 300156
},
"Entity": "john_doe@example.com"
}]
Dateiname des Scans
Beschreibung
Scan des Namens des Nutzers, der an einem Ereignis beteiligt war.
Parameter
–
Ausführen am
Diese Aktion wird für die Entität „Dateiname“ ausgeführt.
Aktionsergebnisse
Entitätsanreicherung
| Name des Anreicherungsfelds | Logik – Wann anwenden? |
|---|---|
| Datum | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Titel | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| uri | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| id | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
Statistiken
–
Scriptergebnis
| Name des Scriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| null | Wahr/falsch | null:False |
JSON-Ergebnis
[{
"EntityResult":
{
"date": "2015-04-27T01:10Z",
"title": "Laziok Trojan Activity and Infrastructure\\u2014January to April 2015",
"uri": "/v1/mati/reports/300156",
"id": 300156
},
"Entity": "BadGuy1"
}]
Hash scannen
Beschreibung
Hash scannen
Parameter
–
Ausführen am
Diese Aktion wird für die Entität „Dateiname“ ausgeführt.
Aktionsergebnisse
Entitätsanreicherung
| Name des Anreicherungsfelds | Logik – Wann anwenden? |
|---|---|
| matiReports | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Intelligenz | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| detection_name | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Aktivität | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| schemaVersion | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| sha256 | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| ansehen | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| md5 | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Ruf | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
Statistiken
–
Scriptergebnis
| Name des Scriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| null | – | – |
JSON-Ergebnis
[{
"EntityResult":
{
"matiReports":
[{
"date": "2015-04-27T01:10:47Z",
"title": "Laziok Trojan Activity and Infrastructure\\u2014January to April 2015",
"uri": "/v1/mati/reports/300156",
"id": 300156
}],
"intelligence":
{
"countries": ["kor", "Gtm","are"],
"paths": ["CSIDL_PROFILE\\\\appdata\\\\local\\\\searchlike"],
"fileNames": ["SEARCHLIKE.EXE"],
"parentProcesses": ["f8403ce30c3a2a42b4604c2cf952533ed828a3d7bdb289b0cec82b8844a72a5a"],
"filesCreated": [{"path": "CSIDL_PROFILE\\\\appdata\\\\local\\\\searchlike",
"sha256": "6d873e6198f7aca685b4c697dfbf82e3450ed5277c5f3c55b1b6fb0338521e0f",
"fileName": "B_SEARCHLIKEEX.EXE"
}]
},
"detection_name": "Trojan.Mdropper",
"Activity":
{
"dns": [{"type": "A",
"target": "acroipm2.adobe.com"}],
"urls": [{"url":
"http://acroipm.adobe.com/assets/102.zip"}]
},
"schemaVersion": 3,
"sha256": "e46d5472e49793017892cb18a0aa174ff9c5b79cec0a9451f1b70e21b19855c2",
"events":
[{
"pid": 2528,
"type": "PROCESS:CURRENT",
"target": "C:\\\\Windows\\\\SysWOW64\\\\cmd.exe",
"severity": 1,
"details": "B41859D39D786D32B23A9D2E00F4011DEC7A02402AE"
}],
"md5": "a77e89bf60e931477f5858a004fb5e0a",
"reputation": "Malicious"
},
"Entity": "a77e89bf60e931477f5858a004fb5e0a"
}]
IP scannen
Beschreibung
IP-Adresse scannen
Parameter
–
Ausführen am
Diese Aktion wird für die IP-Adressen-Entität ausgeführt.
Aktionsergebnisse
Entitätsanreicherung
| Name des Anreicherungsfelds | Logik – Wann anwenden? |
|---|---|
| Standortbestimmung | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Netzwerk | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| targetIndustries | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| ip | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| auf die Zulassungsliste gesetzt | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Verhaltensweisen | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| targetCountries | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| lastSeen | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| URLs | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Domains | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Organisation | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| schemaVersion | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| firstSeen | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
Statistiken
–
Scriptergebnis
| Name des Scriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| null | – | – |
JSON-Ergebnis
[{
"EntityResult":
{
"geolocation":
{
"latitude": 39.91176055,
"city": "Beijing",
"longitude": 116.3792325,
"country": "China"
},
"Network":
{
"carrier": "ChinaUnicomBeijingProvinceNetwork",
"asn": 4808,
"lineSpeed": "High",
"ipRouting": "Fixed"
},
"targetIndustries":
[{
"name": "Utilities",
"naics": 221
},{
"name": "Telecommunications",
"naics": 517
}],
"ip": "1.1.1.1",
"whitelisted": false,
"behaviours":
[{
"behaviour": "Attacks",
"type": "WWWAttacks",
"description": "FakeBrowserUpdate"
}],
"targetCountries": ["fra", "tur", "twn"],
"lastSeen": "2019-01-20T00: 00: 00Z",
"urls":
[{
"url": "http: //iremedypro.com/assets/img/jQuery/014/LOGS/c1dabc02e7c9c23688fcdccb9c94379f",
"uri": "/v1/urls/http: //iremedypro.com/assets/img/jQuery/014/LOGS/c1dabc02e7c9c23688fcdccb9c94379f"
}],
"domains":
[{
"domain": "iremedypro.com",
"uri": "/v1/domains/iremedypro.com"
}],
"Organization":
{
"isic": "J6110",
"type": "InternetServiceProvider",
"name": "ChinaUnicomBeijingProvinceNetwork",
"naics": 517110
},
"schemaVersion": 2,
"firstSeen": "2016-01-01T00: 00: 00Z"
},
"Entity": "1.1.1.1"
}]
URL scannen
Beschreibung
URL scannen
Parameter
–
Ausführen am
Diese Aktion wird für die URL-Entität ausgeführt.
Aktionsergebnisse
Entitätsanreicherung
| Name des Anreicherungsfelds | Logik – Wann anwenden? |
|---|---|
| URL | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| Host | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| auf die Zulassungsliste gesetzt | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| schemaVersion | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
| whois | Gibt zurück, ob es im JSON-Ergebnis vorhanden ist |
Statistiken
–
Scriptergebnis
| Name des Scriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| null | – | – |
JSON-Ergebnis
[{
"EntityResult":
{
"url": "https: //www.facebook.com",
"host":
{
"domain": "facebook.com",
"uri": "/v1/domains/facebook.com"
},
"whitelisted": true,
"schemaVersion": 2,
"whois":
{
"city": "MenloPark",
"updated": "2015-08-25T00: 00: 00Z",
"created": "1997-03-29T00: 00: 00Z",
"nameServers": ["A.NS.FACEBOOK.COM", "B.NS.FACEBOOK.COM"],
"country": "Us",
"expires": "2020-03-30T00: 00: 00Z",
"person": "DomainAdministrator",
"registrar": "MarkmonitorInc.",
"postalCode": "94025",
"organization": "Facebook,Inc.",
"email": "john_doe@example.com"
}
},
"Entity": "https: //www.facebook.com"
}]
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten