‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

Falcon Sandbox

הגדרה של Falcon Sandbox לעבודה עם Google Security Operations

פרטי כניסה

כדי למצוא את מפתח ה-API, עוברים לכרטיסייה API Key בדף הפרופיל ולוחצים על הלחצן Create API key.

רשת

תפקיד	יציאת ברירת מחדל	כיוון	פרוטוקול
API	ערכים מרובים	להעברת נתונים	apikey

הגדרת שילוב של Falcon Sandbox ב-Google SecOps

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שם המכונה	String	לא רלוונטי	לא	שם המופע שרוצים להגדיר עבורו שילוב.
תיאור	String	לא רלוונטי	לא	תיאור המופע.
ספריית הבסיס של ה-API	String	`https://www.hybrid-analysis.com/docs/api/v2`	כן	הכתובת של מופע CrowdStrike Falcon Sandbox.
מפתח API	String	לא רלוונטי	כן	מפתח API שנוצר במופע של CrowdStrike Falcon Sandbox.
סף	מספר שלם	50.0	כן	לא רלוונטי
הרצה מרחוק	תיבת סימון	התיבה לא מסומנת	לא	מסמנים את התיבה כדי להריץ את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש (הסוכן) מרחוק.

פעולות

ניתוח קובץ

שליחת קובץ לניתוח ואחזור הדוח.

פרמטרים

פרמטרים	סוג	ערך ברירת המחדל	חובה	תיאור
נתיב הקובץ	String	לא רלוונטי	כן	הנתיב המלא של הקובץ לניתוח.
סביבה	String	לא רלוונטי	כן	מזהה הסביבה. מזהה הסביבות הזמינות: 300: ‎'Linux (Ubuntu 16.04, 64 bit)'‎, 200: ‎'Android Static Analysis'‎, 120: ‎'Windows 7 64 bit'‎, 110: ‎'Windows 7 32 bit (HWP Support)'‎, 100: ‎'Windows 7 32 bit'‎
הוספת דוח	תיבת סימון	התיבה לא מסומנת	לא	אם ההגדרה הזו מופעלת, הפעולה תאחזר דוח שקשור לקובץ המצורף. הערה: כדי להשתמש בתכונה הזו צריך מפתח פרימיום.

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
max_threat_score	לא רלוונטי	לא רלוונטי

תוצאת JSON

[
    {
        "target_url": null,
        "threat_score": null,
        "environment_id": 100,
        "total_processes": 0,
        "threat_level": null,
        "size": 31261,
        "job_id": "5c4435ef7ca3e109e640b709",
        "vx_family": null,
        "interesting": false,
        "error_origin": null,
        "state": "IN_QUEUE","mitre_attcks": [],
        "certificates": [],
        "hosts": [],
        "sha256": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac",
        "type": "PNG image data, 1200 x 413, 8-bit/color RGBA, non-interlaced",
        "compromised_hosts": [],
        "extracted_files": [],
        "analysis_start_time": "2019-01-20T02:50:01-06:00",
        "tags": [],
        "imphash": null,
        "total_network_connections": 0,
        "av_detect": null,
        "total_signatures": 0,
        "submit_name": "Proofpoint_R_Logo (1).png",
        "ssdeep": null,
        "classification_tags": [],
        "md5": "48703c5d4ea8dc2099c37ea871b640ef",
        "processes": [],
        "sha1": "5b30e297b54ef27ffcda06aa212b5aa6c5424e1c",
        "url_analysis": false,
        "sha512": "01f48fa1671cdc9e4d6866b9b237430f1b9b7093cbbed57fb010dc3db84a754a7a0457c5fd968d4e693ca74bdc1c7f15efb55f2af2ea236354944cffc8d4efd8",
        "file_metadata": null,
        "environment_description": "Windows 7 32 bit",
        "verdict": null, "domains": [],
        "error_type": null,
        "type_short": ["img"]
    }
]

ניתוח כתובת URL של קובץ

שליחת קובץ באמצעות כתובת URL לניתוח ואחזור דוח.

פרמטרים

פרמטרים	סוג	ערך ברירת המחדל	חובה	תיאור
כתובת ה-URL של הקובץ	String	לא רלוונטי	כן	כתובת ה-URL של הקובץ לניתוח. דוגמה: http://example.com/example/Example-Document.zip
סביבה	String	לא רלוונטי	כן	מזהה הסביבה. מזהה הסביבות הזמינות: 300: ‎'Linux (Ubuntu 16.04, 64 bit)'‎, 200: ‎'Android Static Analysis'‎, 120: ‎'Windows 7 64 bit'‎, 110: ‎'Windows 7 32 bit (HWP Support)'‎, 100: ‎'Windows 7 32 bit'‎

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
max_threat_score	לא רלוונטי	לא רלוונטי

תוצאת JSON

[
    {
        "target_url": null,
        "threat_score": null,
        "environment_id": 100,
        "total_processes": 0,
        "threat_level": null,
        "size": 31261,
        "job_id": "5c4435ef7ca3e109e640b709",
        "vx_family": null,
        "interesting": false,
        "error_origin": null,
        "state": "IN_QUEUE",
        "mitre_attcks": [],
        "certificates": [],
        "hosts": [],
        "sha256": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac",
        "type": "PNG image data, 1200 x 413, 8-bit/color RGBA, non-interlaced",
        "compromised_hosts": [],
        "extracted_files": [],
        "analysis_start_time": "2019-01-20T02:50:01-06:00",
        "tags": [],
        "imphash": null,
        "total_network_connections": 0,
        "av_detect": null,
        "total_signatures": 0,
        "submit_name": "Proofpoint_R_Logo (1).png",
        "ssdeep": null, "classification_tags": [],
        "md5": "48703c5d4ea8dc2099c37ea871b640ef",
        "processes": [],
        "sha1": "5b30e297b54ef27ffcda06aa212b5aa6c5424e1c",
        "url_analysis": false,
        "sha512": "01f48fa1671cdc9e4d6866b9b237430f1b9b7093cbbed57fb010dc3db84a754a7a0457c5fd968d4e693ca74bdc1c7f15efb55f2af2ea236354944cffc8d4efd8",
        "file_metadata": null,
        "environment_description": "Windows 7 32 bit",
        "verdict": null,
        "domains": [],
        "error_type": null,
        "type_short": ["img"]
    }
]

קבלת דוח סריקת הגיבוב

אחזור דוחות ניתוח היברידי והוספת מידע לישויות של גיבוב הקובץ.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו מופעלת בישות Filehash.

תוצאות הפעולה

העשרה של ישויות

שם שדה ההעשרה	לוגיקה – מתי להחיל
environment_id	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
total_processes	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
threat_level	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
size	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
job_id	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
target_url	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
מעניין	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
error_type	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
הסמוי הסופי	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
environment_description	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
mitre_attacks	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
אישורים	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
מארחים	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
sha256	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
sha512	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
compromised_hosts	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
extracted_files	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
analysis_start_time	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תגים	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
imphash	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
total_network_connections	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
av_detect	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
total_signatures	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
submit_name	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
ssdeep	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
md5	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
error_origin	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תהליכים	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
shal	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
url_analysis	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
סוג	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
file_metadata	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
vx_family	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
threat_score	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
פסק דין	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
דומיינים	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
type_short	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON

תובנות

לא רלוונטי

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
max_threat_score	לא רלוונטי	לא רלוונטי

תוצאת JSON

[
    {
        "EntityResult":
        [{
            "classification_tags": [],
            "environment_id": 100,
            "total_processes": 0,
            "threat_level": null,
            "size": 31261,
            "job_id": "5c4435ef7ca3e109e640b709",
            "target_url": null,
            "interesting": false,
            "error_type": null,
            "state": "IN_QUEUE",
            "environment_description": "Windows 7 32 bit",
            "mitre_attcks": [],
            "certificates": [],
            "hosts": [],
            "sha256": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac",
            "sha512": "01f48fa1671cdc9e4d6866b9b237430f1b9b7093cbbed57fb010dc3db84a754a7a0457c5fd968d4e693ca74bdc1c7f15efb55f2af2ea236354944cffc8d4efd8",
            "compromised_hosts": [],
            "extracted_files": [],
            "analysis_start_time": "2019-01-20T02:50:01-06:00",
            "tags": [],
            "imphash": null,
            "total_network_connections": 0,
            "av_detect": null,
            "total_signatures": 0,
            "submit_name": "Proofpoint_R_Logo (1).png",
            "ssdeep": null,
            "md5": "48703c5d4ea8dc2099c37ea871b640ef",
            "error_origin": null,
            "processes": [],
            "sha1": "5b30e297b54ef27ffcda06aa212b5aa6c5424e1c",
            "url_analysis": false,
            "type": "PNG image data, 1200 x 413, 8-bit/color RGBA, non-interlaced",
            "file_metadata": null,
            "vx_family": null,
            "threat_score": null,
            "verdict": null,
            "domains": [],
            "type_short": ["img"]
        }],
        "Entity": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac"
    }
]

פינג

בודקים את הקישוריות ל-CrowdStrike Falcon Sandbox.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
הפעולה בוצעה	נכון/לא נכון	success:False

תוצאת JSON

לא רלוונטי

חיפוש

חיפוש במסדי הנתונים של Falcon דוחות סריקה קיימים ומידע על קבצים וכתובות URL של קבצים.

פרמטרים

פרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שם קובץ	String	לא רלוונטי	לא	דוגמה: example.exe.
סוג הקובץ	String	לא רלוונטי	לא	דוגמה: docx.
תיאור סוג הקובץ	String	לא רלוונטי	לא	דוגמה: קובץ הפעלה PE32.
תוצאה	String	לא רלוונטי	לא	דוגמה: 1 (‎1=whitelisted, 2=no verdict, 3=no specific threat, 4=suspicious, 5=malicious).
טווח AV Multiscan	String	לא רלוונטי	לא	דוגמה: 50-70 (הערך המינימלי הוא 0 והערך המקסימלי הוא 100).
מחרוזת משנה של AV Family	String	לא רלוונטי	לא	דוגמה: Agent.AD, nemucod.
האשטאג	String	לא רלוונטי	לא	דוגמה: תוכנת כופר
יציאה	String	לא רלוונטי	לא	דוגמה: 8080
מארח	String	לא רלוונטי	לא	דוגמה: 192.0.2.1
דומיין	String	לא רלוונטי	לא	דוגמה: checkip.dyndns.org
מחרוזת משנה של בקשת HTTP	String	לא רלוונטי	לא	דוגמה: google
דוגמאות דומות	String	לא רלוונטי	לא	דוגמה: ‎\<sha256>
הקשר לדוגמה	String	לא רלוונטי	לא	דוגמה: ‎\<sha256>

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
תוצאות	לא רלוונטי	לא רלוונטי

שליחת קובץ

שליחת קבצים לניתוח.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
נתיב הקובץ	String	לא רלוונטי	כן	הנתיב המלא של הקובץ לניתוח. אם יש כמה ערכים, צריך להפריד ביניהם באמצעות פסיקים.
סביבה	תפריט נפתח	Linux	כן	שמות הסביבות הזמינות: 300: Linux (Ubuntu 16.04, 64 bit),‏ 200: Android Static Analysis,‏ 120: Windows 7 64 bit,‏ 110: Windows 7 32 bit (HWP Support),‏ 100: Windows 7 32 bit. ברירת המחדל צריכה להיות: Linux (Ubuntu 16.04, 64 bit)

השם המוצג של הפרמטר

סוג

ערך ברירת המחדל

חובה

תיאור

נתיב הקובץ

String

לא רלוונטי

כן

הנתיב המלא של הקובץ לניתוח. אם יש כמה ערכים, צריך להפריד ביניהם באמצעות פסיקים.

סביבה

תפריט נפתח

Linux

כן

שמות הסביבות הזמינות: 300: Linux (Ubuntu 16.04, 64 bit),‏ 200: Android Static Analysis,‏ 120: Windows 7 64 bit,‏ 110: Windows 7 32 bit (HWP Support),‏ 100: Windows 7 32 bit.

ברירת המחדל צריכה להיות: Linux (Ubuntu 16.04, 64 bit)

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

העשרה של ישויות

שם שדה ההעשרה	לוגיקה – מתי להחיל
sha256	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
job_id	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON

תובנות

לא רלוונטי

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success:False

תוצאת JSON

[
    {
        "EntityResult": {
            "sha256": "fa636febca412dd9d1f2e7f7ca66462757bce24adb7cb5fffd2e247ce6dcf7fe",
            "job_id": "5f21459cb80c2d0a182b7967"
        },
        "Entity": "/temp/test.txt"
    }
]

Case Wall

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	successful files: Successfully submit the following files <files path list> לא הוגשו מטלות תקינות: לא הוגשו קבצים לניתוח קבצים שנכשלו: אירעה שגיאה בקבצים הבאים: <files path list>. למידע נוסף אפשר לעיין ביומנים.	כללי

Wait For Job and Fetch Report

ממתינים לסיום עבודת הסריקה ומאחזרים את דוח הסריקה.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
מזהה משימה	String	לא רלוונטי	נכון	מזהי משרות. אם יש כמה מזהים, צריך להשתמש בערכים מופרדים בפסיקים (הערכים צריכים לעבור כplaceholder מפעולה שבוצעה קודם – שליחת קובץ). בנוסף, אפשר לספק את מזהה המשרה באופן ידני.

השם המוצג של הפרמטר

סוג

ערך ברירת המחדל

חובה

תיאור

מזהה משימה

String

לא רלוונטי

נכון

מזהי משרות. אם יש כמה מזהים, צריך להשתמש בערכים מופרדים בפסיקים (הערכים צריכים לעבור כplaceholder מפעולה שבוצעה קודם – שליחת קובץ).

בנוסף, אפשר לספק את מזהה המשרה באופן ידני.

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success:False

תוצאת JSON

{
    "5f21459cb80c2d0a182b7967": {
        "environment_id": 300,
        "threat_score": 0,
        "target_url": null,
        "total_processes": 0,
        "threat_level": 3,
        "size": 26505,
        "submissions": [{
            "url": null,
            "submission_id": "5f267a34e3e6784e4f180936",
            "created_at": "2020-08-02T08:32:52+00:00",
            "filename": "Test.py"
        }, {
            "url": null,
            "submission_id": "5f2146381a5f6253f266fed9",
            "created_at": "2020-07-29T09:49:44+00:00",
            "filename": "Test.py"
        }, {
            "url": null,
            "submission_id": "5f21461360cae26e4719a6c9",
            "created_at": "2020-07-29T09:49:07+00:00",
            "filename": "Test.py"
        }, {
            "url": null,
            "submission_id": "5f21459cb80c2d0a182b7968",
            "created_at": "2020-07-29T09:47:08+00:00",
            "filename": "Test.py"
        }],
        "job_id": "5f21459cb80c2d0a182b7967",
        "vx_family": null,
        "interesting": false,
        "error_type": null,
        "state": "SUCCESS",
        "mitre_attcks": [],
        "certificates": [],
        "hosts": [],
        "sha256": "fa636febca412dd9d1f2e7f7ca66462757bce24adb7cb5fffd2e247ce6dcf7fe",
        "sha512": "62c6d5c16d647e1361a761553fb1adfa92df3741e53a234fab28d08d3d003bdb4b2a7d7c5a050dc2cdba7b1d915f42d3c56f9694053fa75adae82c1b20e03b02",
        "compromised_hosts": [],
        "extracted_files": [],
        "analysis_start_time": "2020-07-29T09:47:17+00:00",
        "tags": [],
        "imphash": "Unknown",
        "total_network_connections": 0,
        "av_detect": null,
        "classification_tags": [],
        "submit_name": "Test.py",
        "ssdeep": "384:lRGs3v2+nSZUpav/+GUYERs0vZfyh/fyChIRpyCCLqa09NdyDRax9XSmxTAf:lR3fKZUoGGX0xfm/Duyoa09x9+",
        "md5": "bfec680af21539eb0a9f349038c68220",
        "error_origin": null,
        "total_signatures": 0,
        "processes": [],
        "sha1": "0a4e78bb8df401197e925b2643ceabf5b670df17",
        "url_analysis": false,
        "type": "Python script, ASCII text executable, with CRLF line terminators",
        "file_metadata": null,
        "environment_description": "Linux (Ubuntu 16.04, 64 bit)",
        "verdict": "no verdict",
        "domains": [],
        "type_short": ["script", "python"]
    }
}

Case Wall

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	אם הפעולה הושלמה בהצלחה לפחות עבור אחד ממזהי המשימות שסופקו: "Successfully fetched report the following jobs: <>" (הדוח אוחזר בהצלחה עבור המשימות הבאות: <>) אם הפעולה לא הצליחה לפעול לפחות עבור אחד ממזהי המשימות שסופקו: 'failed to fetch report for the following jobs: אם הפעולה הצליחה באופן חלקי (הדוח אוחזר בהצלחה, אבל אחזור דוח ה-MISP נכשל, לדוגמה): הדוח אוחזר, אבל לא הצלחנו לאחזר את דוח ה-MISP עבור המשימות הבאות: אם כל העבודות נכשלו: הדפסה כל העבודות נכשלו(ערך התוצאה צריך להיות מוגדר כ-false)	כללי
קבצים מצורפים	כותרת: CrowdStrike Falcon Sandbox Misp Report # <index>‎ שם הקובץ המצורף: שם הקובץ מתוצאות הפונקציה get_report_by_hash תוכן הקובץ המצורף: base64.b64encode(report content)from get_report_by_hash results הערה: אל תשכחו לטפל במגבלת הגודל של הפלטפורמה (עטפו אותה ב-try-except)

סריקת כתובת URL

סריקת כתובת URL או דומיין לצורך ניתוח.

פרמטרים

השם המוצג של הפרמטר	סוג	חובה	תיאור
סף	מספר שלם	כן	סימון ישות כחשודה אם מספר הזיהויים של תוכנת האנטי-וירוס שווה לסף הנתון או גבוה ממנו
שם הסביבה	DDL	כן	Windows 7 בגרסת 32 ביט Windows 7 32 bit (HWP Support) Windows 7 64 bit Android Static Analysis Linux (Ubuntu 16.04, 64 bit)

השם המוצג של הפרמטר

סוג

חובה

תיאור

סף

מספר שלם

כן

סימון ישות כחשודה אם מספר הזיהויים של תוכנת האנטי-וירוס שווה לסף הנתון או גבוה ממנו

שם הסביבה

DDL

כן

Windows 7 בגרסת 32 ביט

Windows 7 32 bit (HWP Support)
Windows 7 64 bit
Android Static Analysis
Linux (Ubuntu 16.04, 64 bit)

תרחישים לדוגמה

אנליסט יכול לסרוק קבצים של כתובות URL או דומיינים לצורך ניתוח.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

כתובת URL
שם המארח

תוצאות הפעולה

העשרה של ישויות

‫If scan_info_res.get('av_detect') > Threshold value (parameter), then mark the entity as suspicious.

תובנות

הוספת תובנה עם ההודעה הבאה:CrowdStrike Falcon Sandbox - Entity was marked as malicious by av detection score {av_detect}. הסף מוגדר ל-{threshold}.

תוצאת סקריפט

שם תוצאת התסריט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success:False

תוצאת JSON

[
    {
        "EntityResult": {
            "environment_id": 100,
            "threat_score": 13,
            "target_url": null,
            "total_processes": 3,
            "threat_level": 0,
            "size": null,
            "submissions": [{
                "url": "http://example.com/",
                "submission_id": "5f4925f00da24603010641be",
                "created_at": "2020-08-28T15:42:40+00:00",
                "filename": null
            }, {
                "url": "http://example.com/",
                "submission_id": "5f48c011f86f36448901d054",
                "created_at": "2020-08-28T08:28:01+00:00",
                "filename": null
            }],
            "job_id": "5f1332c48161bb7d5b6c9663",
            "vx_family": "Unrated site",
            "interesting": false,
            "error_type": null,
            "state": "SUCCESS",
            "mitre_attcks": [],
            "certificates": [],
            "hosts": ["192.0.2.1", "192.0.2.2", "192.0.2.3", "192.0.2.4", "192.0.2.5", "192.0.2.6", "192.0.2.7", "192.0.2.8"],
            "sha256": "6982da0e6956768fdc206317d429c6b8313cf4ebf298ec0aa35f0f03f07cec6a", "sha512": "c2e12fee8e08b387f91529aaada5c78e86649fbb2fe64d067b630e0c5870284bf0ca22654211513d774357d37d4c9729ea7ddc44bf44144252959004363d7da9",
            "compromised_hosts": [],
            "extracted_files": [{
                "av_label": null,
                "sha1": "0da5de8165c50f6ace4660a6b38031f212917b17",
                "threat_level": 0,
                "name": "rs_ACT90oEMCn26rBYSdHdZAoXYig7gRwLYBA_1_.js",
                "threat_level_readable": "no specific threat",
                "type_tags": ["script", "javascript"],
                "description": "ASCII text, with very long lines",
                "file_available_to_download": false,
                "av_matched": null,
                "runtime_process": null,
                "av_total": null,
                "file_size": 566005,
                "sha256": "d41f46920a017c79fe4e6f4fb0a621af77169168c8645aa4b5094a1e67e127a0",
                "file_path": null,
                "md5": "c8c8076fd2390d47c8bf4a40f4885eeb"
            }],
            "analysis_start_time": "2020-07-18T17:35:09+00:00",
            "tags": ["tag", "the"],
            "imphash": "Unknown",
            "total_network_connections": 8,
            "av_detect": 0,
            "classification_tags": [],
            "submit_name": "http://example.com/",
            "ssdeep": "Unknown",
            "md5": "e6f672151804707d11eb4b840c3ec635",
            "error_origin": null,
            "total_signatures": 14,
            "processes": [{
                "process_flags": [],
                "av_label": null,
                "mutants": [],
                "uid": "00083159-00001692",
                "icon": null,
                "script_calls": [],
                "pid": null,
                "handles": [],
                "command_line": "\\\"%WINDIR%\\\\System32\\\\ieframe.dll\\\",OpenURL C:\\\\6982da0e6956768fdc206317d429c6b8313cf4ebf298ec0aa35f0f03f07cec6a.url",
                "file_accesses": [],
                "parentuid": null,
                "normalized_path": "%WINDIR%System32rundll32.exe",
                "av_matched": null,
                "streams": [],
                "registry": [],
                "av_total": null,
                "sha256": "3fa4912eb43fc304652d7b01f118589259861e2d628fa7c86193e54d5f987670",
                "created_files": [],
                "name": "example.exe"
            }, {
                "process_flags": [],
                "av_label": null,
                "mutants": [],
                "uid": "00083319-00003012",
                "icon": null,
                "script_calls": [],
                "pid": null,
                "handles": [],
                "command_line": "http://example.com/",
                "file_accesses": [],
                "parentuid": "00083159-00001692",
                "normalized_path": "%PROGRAMFILES%Internet Exploreriexplore.exe",
                "av_matched": null,
                "streams": [],
                "registry": [],
                "av_total": null,
                "sha256": "8abc7daa81c8a20bfd88b6a60ecc9ed1292fbb6cedbd6f872f36512d9a194bba",
                "created_files": [],
                "name": "example.exe"
            }, {
                "process_flags": [],
                "av_label": null,
                "mutants": [],
                "uid": "00083353-00002468",
                "icon": null,
                "script_calls": [],
                "pid": null,
                "handles": [],
                "command_line": "SCODEF:3012 CREDAT:275457 /prefetch:2",
                "file_accesses": [],
                "parentuid": "00083319-00003012",
                "normalized_path": "%PROGRAMFILES%Internet Example.exe",
                "av_matched": null,
                "streams": [],
                "registry": [],
                "av_total": null,
                "sha256": "8abc7daa81c8a20bfd88b6a60ecc9ed1292fbb6cedbd6f872f36512d9a194bba",
                "created_files": [],
                "name": "example.exe"}],
            "sha1": "0a0bec39293c168288c04f575a7a317e29f1878f",
            "url_analysis": true,
            "type": null,
            "file_metadata": null,
            "environment_description": "Windows 7 32 bit",
            "verdict": "no specific threat",
            "domains": ["fonts.example.com", "example.example.net", "example.org", "example.com", "www.example.com"],
            "type_short": []
        },
        "Entity": "example.com"
    }
]

Case Wall

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	אם הסריקה הצליחה: הדוחות הבאים אוחזרו בהצלחה עבור <מזהי ישויות> במקרה של שגיאה באחזור MISP אבל לא בפרטי הסריקה: המערכת אחזרה את דוח הסריקה אבל לא הצליחה לקבל את דוח ה-MISP עבור <מזהי ישויות> הבאים במקרה של שגיאה באחזור התוצאות: לא ניתן לאחזר דוחות עבור <entities identifier השליחה של כתובות URL או דומיינים לניתוח נכשלה: הסריקה של הפריטים הבאים נכשלה: <entities identifiers>. פרטים נוספים זמינים ביומנים.	כללי
קבצים מצורפים	כותרת: CrowdStrike Falcon Sandbox Misp Report - <job_id> שם הקובץ המצורף: misp_report_name (מוחזר כתוצאה מהפונקציה get_report_by_job_id)

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.