צללים דיגיטליים

במאמר הזה מוסבר איך לשלב את Digital Shadows עם Google Security Operations.

תרחישים לדוגמה

השילוב של Digital Shadows משמש כמקור להתראות ולהעשרת ישויות.

דרישות מוקדמות

כדי להשתמש ב-Digital Shadows API, צריך מפתח API.

כדי לשלוח בקשות לכל נקודות הקצה של הפעולות, צריך להשתמש באימות בסיסי של HTTP ובפרטי כניסה ייעודיים ל-API (עם אנטרופיה גבוהה), שבדרך כלל כוללים מפתח באורך 6 תווים וסוד באורך 32 תווים.

שילוב של Digital Shadows עם Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

נתוני קלט של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

פרמטרים
Instance Name אופציונלי

שם המופע שרוצים להגדיר עבורו שילוב.
Description אופציונלי

תיאור המופע.
API Key חובה

מפתח Digital Shadow API.
API Secret אופציונלי

‫API Secret של Digital Shadow.
Run Remotely אופציונלי

מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הסוכן).

האפשרות הזו לא מסומנת כברירת מחדל.

פעולות

העשרת CVE

העשרה של CVE באמצעות מידע מ-Digital Shadows.

אנליסטים יכולים להשתמש בפעולה הזו כדי לקבל מידע נוסף על ה-CVE הספציפי, וזה שימושי לחקירה.

ישויות

הפעולה הזו מופעלת בישות CVE.

הוספת נתונים לפעולה

לא רלוונטי

פלט של פעולות

סוג הפלט של הפעולה
קיר המארז לא רלוונטי
קישור לקיר של הפנייה יש גישה
טבלת קיר עם תושבת לא רלוונטי
טבלת העשרה יש גישה
תוצאה בפורמט JSON יש גישה
תוצאת סקריפט יש גישה
העשרה של ישויות
שדה העשרה מקור (מפתח JSON) לוגיקה
DigitalShadows_Exploit_title entity/title אם זמין בתוצאת ה-JSON.
DigitalShadows_Exploit_type entity/type אם זמין בתוצאת ה-JSON.
DigitalShadows_Exploit_platform entity/platform אם זמין בתוצאת ה-JSON.
DigitalShadows_Exploit_source entity/sourceUri אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_sourceURL entity/sourceUri אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_description entity/description אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_score entity/cvss2Score/baseScore אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_authentication entity/cvss2Score/authentication אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_accessVector entity/cvss2Score/accessVector אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_accessComplexity entity/cvss2Score/accessComplexity אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_confidentialityImpact entity/cvss2Score/confidentialityImpact אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_integrityImpact entity/cvss2Score/integrityImpact אם זמין בתוצאת ה-JSON.
DigitalShadows_Vulnerability_availabilityImpact entity/cvss2Score/availabilityImpact אם זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם התוצאה של הסקריפט ערך
is_success נכון/לא נכון
תוצאה בפורמט JSON
{
    "content": [
        {
            "entity": {
                "cveIdentifier": "CVE-2011-0489",
                "created": "2011-01-18T18:03:00.000Z",
                "updated": "2017-08-17T01:33:00.000Z",
                "sourceUri": "https://nvd.nist.gov/vuln/detail/CVE-2011-0489",
                "description": "The server components in Example_DB 10.0 do not require authentication for administrative commands, which allows remote attackers to modify data, obtain sensitive information, or cause a denial of service by sending requests over TCP to (1) the Lock Server or (2) the Advanced Multithreaded Server, as demonstrated by commands that are ordinarily sent by the (a) ookillls and (b) oostopams applications.  NOTE: some of these details are obtained from third party information.",
                "relatedCPEs": [
                    "cpe:/a:example:example%2fdb:10.0"
                ],
                "cvss2Score": {
                    "baseScore": 7.5,
                    "authentication": "NONE",
                    "accessVector": "NETWORK",
                    "accessComplexity": "LOW",
                    "confidentialityImpact": "PARTIAL",
                    "integrityImpact": "PARTIAL",
                    "availabilityImpact": "PARTIAL"
                }
            },
            "type": "VULNERABILITY",
            "snippet": "CVE ID: CVE-2011-0489</em><br><br>",
            "sortDate": "2017-08-17T01:33:00.000Z"
        },
        {
            "entity": {
                "id": "f75754b5-65a3-46ee-bea7-e0f015a5283d",
                "uri": "http://example.com",
                "pasted": "2018-01-05T09:10:02.000Z",
                "observableCounts": {
                    "ipV4": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "email": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "md5": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha1": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha256": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "host": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "cve": {
                        "count": 100,
                        "exceededMaximum": true
                    }
                },
                "screenshot": {
                    "id": "3ab6b3cb-349d-4ed7-b150-773454a11908",
                    "link": "https://example.com"
                },
                "screenshotThumbnail": {
                    "id": "7529cf75-5ddb-4e2d-8fc9-f3531e33704e",
                    "link": "https://example.com"
                }
            },
            "type": "PASTE",
            "snippet": "&quot;\n  ], \n  &quot;CVE-2002-1656&quot;: [\n    &quot;3043&quot;\n  ], \n  &quot;CVE-2003-0347&quot;: [\n    &quot;23094&quot;\n  ], \n  &quot;<em>CVE</em>-<em>2011</em>-<em>0489</em>&quot;: [\n    &quot;15988",
            "sortDate": "2018-01-05T09:10:02.000Z"
        },
            "type": "PASTE",
            "snippet": ") sequences in a crafted request.\n| [<em>CVE</em>-<em>2011</em>-<em>0489</em>] The server components in Example_DB 10.0 do ...  in a crafted request.\n| [<em>CVE</em>-<em>2011</em>-<em>0489</em>] The server components in Example_DB 10.0 do not require ...  request.\n| [<em>CVE</em>-<em>2011</em>-<em>0489</em>] The server components in Example_DB 10.0 do not require ...  files via &quot;../\\&quot; (dot dot forward-slash backslash) sequences in a crafted request.\n| [<em>CVE</em>-<em>2011</em>-<em>0489</em>",
            "sortDate": "2019-07-23T21:35:39.000Z"
        }
    ],
    "currentPage": {
        "offset": 0,
        "size": 50
    },
    "total": 4,
    "facets": {}
}
Case wall

הפעולה מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully enriched CVE.

No CVEs were enriched.

 הפעולה הסתיימה בהצלחה.
Error executing action "Enrich CVE". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

  • אם TYPE=Exploit זמין בתגובת ה-JSON:

    כותרת: כתובת URL של מקור ניצול לרעה

    קישור: entity/sourceUri

  • אם TYPE=Vulnerability זמין בתגובת ה-JSON:

    כותרת: כתובת ה-URL של מקור הפגיעות:

    קישור: entity/sourceUri

  • לכל הישויות שהוחזרו לגביהן נתונים:

    כותרת: תוצאת חיפוש מלאה של טביעת רגל דיגיטלית

    קישור: https://portal-digitalshadows.com/search?q=ENTITY

גיבוב (Hash) של העשרה – הוצא משימוש

העשרה של גיבוב באמצעות מידע מ-Digital Shadows.

תרחישים לדוגמה

אנליסטים יכולים להשתמש בפעולה הזו כדי לאסוף פרטים נוספים, למשל אם מדובר בגיבוב בטוח שיכול להועיל לחקירה.

ריצה

הפעולה הזו מופעלת בישות Filehash.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה מקור (מפתח JSON) לוגיקה – מתי להחיל
DigitalShadows_CylanceFileHash_generalScore entity/fileHashInfo/generalScore אם הוא זמין בתוצאת ה-JSON.
DigitalShadows_CylanceFileHash_classifier_ml entity/fileHashInfo/classifiers/ml אם זמין בתוצאת ה-JSON.
DigitalShadows_CylanceFileHash_classifier_industry entity/fileHashInfo/classifiers/industry אם זמין בתוצאת ה-JSON.
DigitalShadows_CylanceFileHash_classifier_human entity/fileHashInfo/classifiers/human

אם הוא זמין בתוצאת ה-JSON.
DigitalShadows_WebrootFileHash_category ישות/קטגוריה אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootFileHash_malwareCategory entity/malwareCategory אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootFileHash_fileSizeBytes entity/fileSizeBytes אם הוא זמין בתוצאת ה-JSON.
DigitalShadows_WebrootFileHash_fileLastSeen entity/fileLastSeen אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootFileHash_sourceUrls entity/sourceUrls אם הנתונים זמינים בתוצאת JSON. צריך להתעלם מרשימות ריקות.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
 {
    "content": [
        {
            "entity": {
                "requestedHash": "617f7301fd67e8b5d8ad42d4e94e02cb313fe5ad51770ef93323c6115e52fe98",
                "status": 0,
                "fileHashInfo": {
                    "status": "COMPLETE",
                    "statusCode": 1,
                    "generalScore": -1.0,
                    "classifiers": {
                        "ml": 1.0,
                        "industry": -1.0,
                        "human": -1.0
                    },
                    "hashes": {
                        "sha256": "617F7301FD67E8B5D8AD42D4E94E02CB313FE5AD51770EF93323C6115E52FE98",
                        "sha1": "CF0743ED381ADE69BBA3D1DD3D357A8300BCD4AE",
                        "md5": "8FE94843A3E655209C57AF587849AC3A"
                    }
                }
            },
            "type": "CYLANCE_FILE_HASH"
        },
              {
            "entity": {
                "id": "7ab729ab-2176-4072-8fcc-483410e7949d",
                "uri": "http://example.com",
                "title": "Malware hashes",
                "pasted": "2019-12-07T04:01:21.000Z",
                "observableCounts": {
                    "ipV4": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "email": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "md5": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha1": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha256": {
                        "count": 45,
                        "exceededMaximum": false
                    },
                    "host": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "cve": {
                        "count": 0,
                        "exceededMaximum": false
                    }
                },
                "screenshot": {
                    "id": "a358a7fd-ce76-4ac0-a338-7a17c5affcca",
                    "link": "https://example.com"
                },
                "screenshotThumbnail": {
                    "id": "2a98b417-1846-47ca-835f-b4be580cfdc2",
                    "link": "https://example.com"
                }
            },
            "type": "PASTE",
            "snippet": "617f7301fd67e8b5d8ad42d4e94e02cb313fe5ad51770ef93323c6115e52fe98\n137e17ed0c693f5ba23c3f3bf252f7edc29548d97f426625a4e0c5fea0558e45",
            "sortDate": "2019-12-07T04:01:21.000Z"
        },
        {
            "entity": {
                "id": "e05f1f61-5996-4ff9-b656-5d7fe856e459",
                "uri": "http://example.com",
                "pasted": "2017-12-27T08:53:14.000Z",
                "observableCounts": {
                    "ipV4": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "email": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "md5": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha1": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha256": {
                        "count": 100,
                        "exceededMaximum": true
                    },
                    "host": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "cve": {
                        "count": 0,
                        "exceededMaximum": false
                    }
                },
                "screenshot": {
                    "id": "d41fd1d9-aa0c-411d-87f5-824d036e9843",
                    "link": "https://example.com"
                },
                "screenshotThumbnail": {
                    "id": "ab91eba6-f8fd-4a7e-a3b4-6b100ee50789",
                    "link": "https://example.com"
                }
            },
            "type": "PASTE",
            "snippet": "617F7301FD67E8B5D8AD42D4E94E02CB313FE5AD51770EF93323C6115E52FE98",
            "sortDate": "2017-12-27T08:53:14.000Z"
        }
    ],
    "currentPage": {
        "offset": 0,
        "size": 25
    },
    "total": 4,
    "facets": {}
 }
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:

אם לא היו שגיאות והוחזרו נתונים לגבי ישויות:
Print "Successfully connected to the Digital Shadows with the provided connection parameters!

אם לא היו שגיאות ולא הוחזרו נתונים עבור ישויות:
הדפסה של 'לא בוצעו פעולות העשרה של גיבובים'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם יש שגיאה:

הודעת השגיאה 'הייתה שגיאה בביצוע הפעולה Enrich Hash'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
קישורים

לכל הישויות שהוחזרו לגביהן נתונים:

Title: Full Digital Shadows Search Result

קישור: https://portal-digitalshadows.com/search?q=ENTITY

 ישות

העשרת כתובת IP – הוצא משימוש

העשרה של כתובת IP באמצעות מידע מ-Digital Shadows.

תרחישים לדוגמה

אנליסטים יכולים להשתמש בפעולה הזו כדי לקבל מידע נוסף על כתובת ה-IP, שמועיל לחקירה.

ריצה

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה מקור (מפתח JSON) לוגיקה – מתי להחיל
DigitalShadows_WebrootIP_reputationScore entity/reputationScore אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_asn entity/asn אם הוא זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_currentlyClassifiedAsThreat entity/currentlyClassifiedAsThreat אם הוא זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_ipThreatHistory entity/ipThreatHistory אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_country entity/ipGeoInfo/country אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_region entity/ipGeoInfo/region אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_state entity/ipGeoInfo/state אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_city entity/ipGeoInfo/city אם זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
 {
    "content": [
        {
            "entity": {
                "ipAddress": "192.0.2.1",
                "updatedDateTime": "2020-02-21T01:10:01.000Z",
                "reputationScore": 18,
                "asn": 13335,
                "currentlyClassifiedAsThreat": false,
                "threatCategories": [],
                "ipThreatHistory": [],
                "ipReputationHistory": [
                    {
                        "timestamp": "2020-02-21T01:10:01.000Z",
                        "reputation": 18
                    },
                    {
                        "timestamp": "2020-02-07T01:10:02.000Z",
                        "reputation": 29
                    }
                ],
                "ipIncidentHistory": [
                    {
                        "classifiedAsThreat": false,
                        "startDateTime": "2019-07-15T00:37:12.000Z",
                        "durationSeconds": 0,
                        "numberOfAttempts": 0,
                        "eventType": "Phishing IPs",
                        "threatType": "Phishing",
                        "eventDescription": "IP hosts phishing sites",
                        "applications": [],
                        "hostingPhishUrls": [
                            "example.net"
                        ],
                        "scanDetails": [],
                        "attackDetails": []
                    },
                    {
                        "classifiedAsThreat": false,
                        "startDateTime": "2018-07-21T00:23:27.000Z",
                        "durationSeconds": 0,
                        "numberOfAttempts": 0,
                        "eventType": "Phishing IPs",
                        "threatType": "Phishing",
                        "eventDescription": "IP hosts phishing sites",
                        "applications": [],
                        "hostingPhishUrls": [
                            "example.net"
                        ],
                        "scanDetails": [],
                        "attackDetails": []
                    }
                ],
                "ipGeoInfo": {
                    "country": "united states",
                    "region": "mid atlantic",
                    "state": "new jersey",
                    "city": "newark",
                    "latitude": "40.73873",
                    "longitude": "-74.19453",
                    "organization": "example  inc.",
                    "carrier": "example",
                    "tld": "",
                    "sld": "",
                    "asn": "example_isn"
                }
            },
            "type": "WEBROOT_IP"
        },
        {
            "entity": {
                "id": "0007b64b-ef21-4b5f-a0c2-1e469ceb6896",
                "uri": "http://example.com",
                "pasted": "2019-10-23T13:32:46.000Z",
                "observableCounts": {
                    "ipV4": {
                        "count": 100,
                        "exceededMaximum": true
                    },
                    "email": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "md5": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha1": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "sha256": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "host": {
                        "count": 0,
                        "exceededMaximum": false
                    },
                    "cve": {
                        "count": 0,
                        "exceededMaximum": false
                    }
                },
                "screenshot": {
                    "id": "b019cfcf-2d36-4bcd-9bf3-69fa67b5ec6d",
                    "link": "https://example.com"
                },
                "screenshotThumbnail": {
                    "id": "57af6550-6690-478f-8ba5-640a5560311a",
                    "link": "https://example.com"
                }
            },
            "type": "PASTE",
            "snippet": "192.0.2.1\n192.0.2.2\n192.0.2.3\n192.0.2.4\n192.0.2.5\n192.0.2.6\n192.0.2.7",
            "sortDate": "2019-10-23T13:32:46.000Z"
        }
    ],
    "currentPage": {
        "offset": 0,
        "size": 50
    },
    "total": 10,
    "facets": {}
 }
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם אין שגיאות והנתונים של הישויות הוחזרו:
‫Print "Successfully enriched IP addresses {0}".format(entity)

אם לא היו שגיאות ולא הוחזרו נתונים לגבי ישויות:
הדפסה של 'לא נמצאו כתובות IP להעשרה'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם יש שגיאה:

‫Print "Error executing action "Enrich IP". Reason: {0}''. format(error.Stacktrace)

 כללי
קישורים

לכל הישויות שהוחזרו לגביהן נתונים:

Title: Full Digital Shadows Search Result

קישור: https://portal-digitalshadows.com/search?q= ENTUTY

 ישות

כתובת URL להעשרה

העשרה של כתובת URL באמצעות מידע מ-Digital Shadows.

אנליסטים יכולים להשתמש בפעולה הזו כדי לקבל מידע נוסף על כתובת ה-URL הספציפית, וזה שימושי לצורך החקירה.

ישויות

הפעולה הזו מופעלת בישות של כתובת ה-URL.

הוספת נתונים לפעולה

לא רלוונטי

פלט של פעולות

סוג הפלט של הפעולה
קיר המארז לא רלוונטי
קישור לקיר של הפנייה יש גישה
טבלת קיר עם תושבת לא רלוונטי
טבלת העשרה יש גישה
תוצאה בפורמט JSON יש גישה
תוצאת סקריפט יש גישה
העשרה של ישויות
שדה העשרה מקור (מפתח JSON) לוגיקה
DigitalShadows_WebrootDomain_timesLabeledAsThreat entity/threatHistory אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootDomain_age entity/age אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_popularity entity/popularity אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_reputation entity/reputation אם זמין בתוצאת ה-JSON.
DigitalShadows_WebrootIP_threatCategories entity/threatCategories אם זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם התוצאה של הסקריפט ערך
is_success נכון/לא נכון
תוצאה בפורמט JSON
{
    "content": [
        {
            "entity": {
                "domainOrUrl": "www.example.com",
                "lastUpdated": "2020-02-25T12:08:20.944Z",
                "threatCategories": [
                    {
                        "confidence": 93,
                        "group": "Security",
                        "name": "Malware Sites"
                    }
                ],
                "reputation": 10,
                "popularity": "UNRANKED",
                "age": 82,
                "threatHistory": 1,
                "webrootCrawlHistory": [],
                "domainHostedHashes": []
            },
            "type": "WEBROOT_DOMAIN"
        }
    ],
    "currentPage": {
        "offset": 0,
        "size": 50
    },
    "total": 66,
    "facets": {}
}
Case wall

הפעולה מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully enriched URLs: URLS

No URLs were enriched.

 הפעולה הסתיימה בהצלחה.
Error executing action "Enrich URL". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

לכל הישויות שהוחזרו לגביהן נתונים:

כותרת: תוצאת חיפוש מלאה של טביעת רגל דיגיטלית
קישור: https://portal-digitalshadows.com/search?q=ENTITY

פינג

בודקים את הקישוריות ל-Digital Shadows באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Google Security Operations Marketplace.

אפשר לבצע את הפעולה הזו באופן ידני, והיא לא משמשת ב-Playbooks.

ישויות

הפעולה הזו לא מופעלת על ישויות.

הוספת נתונים לפעולה

לא רלוונטי

פלט של פעולות

סוג הפלט של הפעולה
קיר המארז לא רלוונטי
קישור לקיר של הפנייה יש גישה
טבלת קיר עם תושבת לא רלוונטי
טבלת העשרה לא רלוונטי
תוצאה בפורמט JSON לא רלוונטי
תוצאת סקריפט יש גישה
תוצאת סקריפט
שם התוצאה של הסקריפט ערך
is_success נכון/לא נכון
Case wall

הפעולה מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully connected to the Digital Shadows with the provided connection parameters! הפעולה הסתיימה בהצלחה.
Error executing action "Ping". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

לכל הישויות שהוחזרו לגביהן נתונים:

כותרת: תוצאת חיפוש מלאה של טביעת רגל דיגיטלית
קישור: https://portal-digitalshadows.com/search?q=ENTITY

מחברים

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

Digital Shadows - Incident Connector

הטמעה של אירועים מ-Digital Shadows ב-Google SecOps.

כניסות קלט של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

פרמטרים
Product Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את Product Field השם.

ערך ברירת המחדל הוא Product Name.
Event Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את השם Event Field.

ערך ברירת המחדל הוא type.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.

אם השדה environment לא נמצא, המערכת משתמשת בסביבת ברירת המחדל.

ערך ברירת המחדל הוא "".
Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name.

ערך ברירת המחדל .* תופס את כל הערכים ומחזיר את הערך ללא שינוי.

הפרמטר מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטויים רגולריים.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, המערכת משתמשת בסביבת ברירת המחדל.
Script Timeout (Seconds) חובה

מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 180 שניות.
API Key חובה

מפתח Digital Shadow API.
API secret חובה

‫API Secret של Digital Shadow.
Client Secret חובה

סוד הלקוח בחשבון CrowdStrike.
Fetch Max Hours Backwards אופציונלי

מספר השעות שחלפו מהרגע הנוכחי שמהן יאוחזרו האירועים.

ערך ברירת המחדל הוא שעה אחת.
Lowest Severity To Fetch חובה

ציון החומרה הנמוך ביותר של האירועים שיאוחזרו.

הערכים שאפשר לבחור הם:

  • VERY_HIGH
  • HIGH
  • MEDIUM
  • LOW
  • VERY_LOW
  • NONE

ערך ברירת המחדל הוא NONE.
Incident Type Filter אופציונלי

רשימה מופרדת בפסיקים של סוגי אירועים שצריך להעביר ל-Google SecOps.

כברירת מחדל, המחבר מאחזר את כל סוגי התקריות.

הערכים שאפשר לבחור הם:

  • DATA_LEAKAGE
  • CYBER_THREAT
  • PHYSICAL_SECURITY
  • SOCIAL_MEDIA_COMPLIANCE
  • BRAND_PROTECTION
  • INFRASTRUCTURE
Max Incidents To Fetch אופציונלי

מספר האירועים לעיבוד בכל איטרציה של מחבר.

ערך ברירת המחדל הוא 50.
Use whitelist as a blacklist חובה

אם התיבה הזו מסומנת, הרשימה הדינמית משמשת כרשימת חסימה.

האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL חובה

אם מסומנת, המערכת בודקת שאישור ה-SSL של החיבור לשרת CrowdStrike תקף.

האפשרות הזו לא מסומנת כברירת מחדל.
Proxy Server Address אופציונלי

הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם המשתמש של ה-proxy לאימות.
Proxy Password אופציונלי

סיסמת ה-proxy לאימות.

כללים של Connectors

המחבר תומך ב-proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.