DeepSight

集成版本：7.0

在 Google Security Operations 中配置 DeepSight 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

操作

Ping

说明

测试连接。

参数

此操作会在所有实体上运行。

运行于

此操作会在所有实体上运行。

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	True/False	null:False

JSON 结果

N/A

扫描网域

说明

扫描网域。

参数

不适用

运行于

此操作适用于以下实体：

• 用户
• 主机名
• 网址

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 应用场景
域名	返回 JSON 结果中是否存在相应值
已列入白名单	返回 JSON 结果中是否存在相应值
schemaVersion	返回 JSON 结果中是否存在相应值
whois	返回 JSON 结果中是否存在相应值

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	不适用	不适用

JSON 结果

[{
   "EntityResult":
     {
      "domain": "example.com",
      "whitelisted": true,
      "schemaVersion": 2,
      "whois":
        {
          "city": "Reno",
          "updated": "2014-04-30T00: 00: 00Z",
          "created": "1994-11-01T00: 00: 00Z",
          "nameServers": ["NS1.P31.DYNECT.NET",
                          "NS2.P31.DYNECT.NET",
                          "NS3.P31.DYNECT.NET"],
          "country": "Us",
          "expires": "2022-10-31T00: 00: 00Z",
          "person": "Hostmaster,AmazonLegalDept.",
          "registrar": "MarkmonitorInc.",
          "postalCode": "89507",
        "organization": "AmazonTechnologies,Inc.",
          "email":"[e-mail]"
         }
      },
  "Entity": "example.com"
}]

扫描电子邮件

说明

扫描电子邮件。

参数

不适用

运行于

此操作在 User 实体上运行。

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 应用场景
日期	返回 JSON 结果中是否存在相应值
title	返回 JSON 结果中是否存在相应值
uri	返回 JSON 结果中是否存在相应值
id	返回 JSON 结果中是否存在相应值

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	不适用	不适用

JSON 结果

[{
   "EntityResult":
      {
       "date": "2015-04-27T01:10Z",
       "title": "Laziok Trojan Activity and Infrastructure\\u2014January to April 2015",
       "uri": "/v1/mati/reports/300156",
       "id": 300156
      },
   "Entity": "[e-mail]"
}]

扫描文件名

说明

扫描涉及事件的名称。

参数

不适用

运行于

此操作在“文件名”实体上运行。

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 应用场景
日期	返回 JSON 结果中是否存在相应值
title	返回 JSON 结果中是否存在相应值
uri	返回 JSON 结果中是否存在相应值
id	返回 JSON 结果中是否存在相应值

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	True/False	null:False

JSON 结果

[{
   "EntityResult":
     {
       "date": "2015-04-27T01:10Z",
       "title": "Laziok Trojan Activity and Infrastructure\\u2014January to April 2015",
       "uri": "/v1/mati/reports/300156",
       "id": 300156
     },
   "Entity": "BadGuy1"
}]

扫描哈希

说明

扫描哈希。

参数

不适用

运行于

此操作在“文件名”实体上运行。

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 适用情形
matiReports	返回 JSON 结果中是否存在相应值
人工智能，	返回 JSON 结果中是否存在相应值
detection_name	返回 JSON 结果中是否存在相应值
活动	返回 JSON 结果中是否存在相应值
schemaVersion	返回 JSON 结果中是否存在相应值
sha256	返回 JSON 结果中是否存在相应值
活动	返回 JSON 结果中是否存在相应值
md5	返回 JSON 结果中是否存在相应值
声誉	返回 JSON 结果中是否存在相应值

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	不适用	不适用

JSON 结果

[{
   "EntityResult":
      {
        "matiReports":
           [{
              "date": "2015-04-27T01:10:47Z",
              "title": "Laziok Trojan Activity and Infrastructure\\u2014January to April 2015",
              "uri": "/v1/mati/reports/300156",
              "id": 300156
            }],
        "intelligence":
      {
        "countries": ["kor", "Gtm","are"],
        "paths": ["CSIDL_PROFILE\\\\appdata\\\\local\\\\searchlike"],
        "fileNames": ["SEARCHLIKE.EXE"],
        "parentProcesses": ["f8403ce30c3a2a42b4604c2cf952533ed828a3d7bdb289b0cec82b8844a72a5a"],
        "filesCreated": [{"path": "CSIDL_PROFILE\\\\appdata\\\\local\\\\searchlike",
                          "sha256": "6d873e6198f7aca685b4c697dfbf82e3450ed5277c5f3c55b1b6fb0338521e0f",
                          "fileName": "B_SEARCHLIKEEX.EXE"
                         }]
        },
   "detection_name": "Trojan.Mdropper",
   "Activity":
       {
         "dns": [{"type": "A",
                  "target": "acroipm2.adobe.com"}],
         "urls": [{"url":
"http://acroipm.adobe.com/assets/102.zip"}]
        },
   "schemaVersion": 3,
   "sha256": "e46d5472e49793017892cb18a0aa174ff9c5b79cec0a9451f1b70e21b19855c2",
   "events":
       [{
          "pid": 2528,
          "type": "PROCESS:CURRENT",
          "target": "C:\\\\Windows\\\\SysWOW64\\\\cmd.exe",
          "severity": 1,
          "details": "B41859D39D786D32B23A9D2E00F4011DEC7A02402AE"
        }],
    "md5": "a77e89bf60e931477f5858a004fb5e0a",
    "reputation": "Malicious"
     },
  "Entity": "a77e89bf60e931477f5858a004fb5e0a"
}]

扫描 IP

说明

扫描 IP 地址。

参数

不适用

运行于

此操作在 IP 地址实体上运行。

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 应用场景
地理定位	返回 JSON 结果中是否存在相应值
网络	返回 JSON 结果中是否存在相应值
targetIndustries	返回 JSON 结果中是否存在相应值
ip	返回 JSON 结果中是否存在相应值
已列入白名单	返回 JSON 结果中是否存在相应值
行为	返回 JSON 结果中是否存在相应值
targetCountries	返回 JSON 结果中是否存在相应值
lastSeen	返回 JSON 结果中是否存在相应值
urls	返回 JSON 结果中是否存在相应值
网域	返回 JSON 结果中是否存在相应值
组织	返回 JSON 结果中是否存在相应值
schemaVersion	返回 JSON 结果中是否存在相应值
firstSeen	返回 JSON 结果中是否存在相应值

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	不适用	不适用

JSON 结果

[{
    "EntityResult":
      {
        "geolocation":
            {
              "latitude": 39.91176055,
              "city": "Beijing",
              "longitude": 116.3792325,
              "country": "China"
             },
        "Network":
            {
              "carrier": "ChinaUnicomBeijingProvinceNetwork",
              "asn": 4808,
              "lineSpeed": "High",
              "ipRouting": "Fixed"
            },
        "targetIndustries":
            [{
              "name": "Utilities",
              "naics": 221
             },{
              "name": "Telecommunications",
              "naics": 517
            }],
        "ip": "1.1.1.1",
        "whitelisted": false,
        "behaviours":
            [{
               "behaviour": "Attacks",
               "type": "WWWAttacks",
               "description": "FakeBrowserUpdate"
            }],
        "targetCountries": ["fra", "tur", "twn"],
        "lastSeen": "2019-01-20T00: 00: 00Z",
        "urls":
            [{
              "url": "http: //iremedypro.com/assets/img/jQuery/014/LOGS/c1dabc02e7c9c23688fcdccb9c94379f",
              "uri": "/v1/urls/http: //iremedypro.com/assets/img/jQuery/014/LOGS/c1dabc02e7c9c23688fcdccb9c94379f"
            }],
        "domains":
            [{
              "domain": "iremedypro.com",
              "uri": "/v1/domains/iremedypro.com"
            }],
        "Organization":
             {
              "isic": "J6110",
              "type": "InternetServiceProvider",
              "name": "ChinaUnicomBeijingProvinceNetwork",
               "naics": 517110
               },
       "schemaVersion": 2,
       "firstSeen": "2016-01-01T00: 00: 00Z"
      },
   "Entity": "1.1.1.1"
 }]

扫描网址

说明

扫描网址。

参数

不适用

运行于

此操作在网址实体上运行。

操作执行结果

实体扩充

扩充项字段名称	逻辑 - 适用情形
网址	返回 JSON 结果中是否存在相应值
主机	返回 JSON 结果中是否存在相应值
已列入白名单	返回 JSON 结果中是否存在相应值
schemaVersion	返回 JSON 结果中是否存在相应值
whois	返回 JSON 结果中是否存在相应值

数据分析

不适用

脚本结果

脚本结果名称	值选项	示例
null	不适用	不适用

JSON 结果

[{
    "EntityResult":
       {
         "url": "https: //www.facebook.com",
         "host":
            {
              "domain": "facebook.com",
              "uri": "/v1/domains/facebook.com"
            },
         "whitelisted": true,
         "schemaVersion": 2,
         "whois":
             {
               "city": "MenloPark",
               "updated": "2015-08-25T00: 00: 00Z",
               "created": "1997-03-29T00: 00: 00Z",
               "nameServers": ["A.NS.FACEBOOK.COM", "B.NS.FACEBOOK.COM"],
               "country": "Us",
               "expires": "2020-03-30T00: 00: 00Z",
               "person": "DomainAdministrator",
               "registrar": "MarkmonitorInc.",
               "postalCode": "94025",
               "organization": "Facebook,Inc.",
               "email": "[e-mail]"
              }
        },
   "Entity": "https: //www.facebook.com"
 }]

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。