Falcon Sandbox

集成版本：15.0

配置 Falcon Sandbox 以与 Google Security Operations 搭配使用

凭据

您可以在个人资料页面上找到 API 密钥，方法是前往“API 密钥”标签页，然后点击创建 API 密钥按钮。

网络

函数 默认端口 方向 协议
API 多值 出站 apikey

在 Google SecOps 中配置 Falcon Sandbox 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必需参数 说明
实例名称 字符串 不适用 否 您打算为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 https://www.hybrid-analysis.com/docs/api/v2 是 CrowdStrike Falcon 沙盒实例的地址。
API 密钥 字符串 不适用 是 在 CrowdStrike Falcon Sandbox 实例中生成的 API 密钥。
阈值 整数 50.0 是 不适用
远程运行 复选框 尚未核查 否 选中此字段，以便远程运行配置的集成。选中后，系统会显示用于选择远程用户（客服人员）的选项。

操作

分析文件

提交文件以进行分析并获取报告。

参数

参数 类型 默认值 是否为必需属性 说明
文件路径 字符串 不适用 是 要分析的文件的完整路径。
环境 字符串 不适用 是 环境 ID。可用环境 ID：300：‘Linux (Ubuntu 16.04，64 位)’、200：‘Android 静态分析’、120：‘Windows 7 64 位’、110：‘Windows 7 32 位 (HWP 支持)’、100：‘Windows 7 32 位’
包含报告 复选框 尚未核查 否 如果启用，操作将提取与附件相关的报告。注意：此功能需要高级版密钥。

使用场景

不适用

运行于

该操作不会在实体上运行。

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
max_threat_score 不适用 不适用
JSON 结果
[
    {
        "target_url": null,
        "threat_score": null,
        "environment_id": 100,
        "total_processes": 0,
        "threat_level": null,
        "size": 31261,
        "job_id": "5c4435ef7ca3e109e640b709",
        "vx_family": null,
        "interesting": false,
        "error_origin": null,
        "state": "IN_QUEUE","mitre_attcks": [],
        "certificates": [],
        "hosts": [],
        "sha256": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac",
        "type": "PNG image data, 1200 x 413, 8-bit/color RGBA, non-interlaced",
        "compromised_hosts": [],
        "extracted_files": [],
        "analysis_start_time": "2019-01-20T02:50:01-06:00",
        "tags": [],
        "imphash": null,
        "total_network_connections": 0,
        "av_detect": null,
        "total_signatures": 0,
        "submit_name": "Proofpoint_R_Logo (1).png",
        "ssdeep": null,
        "classification_tags": [],
        "md5": "48703c5d4ea8dc2099c37ea871b640ef",
        "processes": [],
        "sha1": "5b30e297b54ef27ffcda06aa212b5aa6c5424e1c",
        "url_analysis": false,
        "sha512": "01f48fa1671cdc9e4d6866b9b237430f1b9b7093cbbed57fb010dc3db84a754a7a0457c5fd968d4e693ca74bdc1c7f15efb55f2af2ea236354944cffc8d4efd8",
        "file_metadata": null,
        "environment_description": "Windows 7 32 bit",
        "verdict": null, "domains": [],
        "error_type": null,
        "type_short": ["img"]
    }
]

分析文件网址

通过网址提交文件以进行分析并获取报告。

参数

参数 类型 默认值 是否为必需属性 说明
文件网址 字符串 不适用 是 要分析的文件的网址。示例：http://example.com/example/Example-Document.zip
环境 字符串 不适用 是 环境 ID。可用环境 ID：300：‘Linux (Ubuntu 16.04，64 位)’、200：‘Android 静态分析’、120：‘Windows 7 64 位’、110：‘Windows 7 32 位 (HWP 支持)’、100：‘Windows 7 32 位’

使用场景

不适用

运行于

该操作不会在实体上运行。

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
max_threat_score 不适用 不适用
JSON 结果
[
    {
        "target_url": null,
        "threat_score": null,
        "environment_id": 100,
        "total_processes": 0,
        "threat_level": null,
        "size": 31261,
        "job_id": "5c4435ef7ca3e109e640b709",
        "vx_family": null,
        "interesting": false,
        "error_origin": null,
        "state": "IN_QUEUE",
        "mitre_attcks": [],
        "certificates": [],
        "hosts": [],
        "sha256": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac",
        "type": "PNG image data, 1200 x 413, 8-bit/color RGBA, non-interlaced",
        "compromised_hosts": [],
        "extracted_files": [],
        "analysis_start_time": "2019-01-20T02:50:01-06:00",
        "tags": [],
        "imphash": null,
        "total_network_connections": 0,
        "av_detect": null,
        "total_signatures": 0,
        "submit_name": "Proofpoint_R_Logo (1).png",
        "ssdeep": null, "classification_tags": [],
        "md5": "48703c5d4ea8dc2099c37ea871b640ef",
        "processes": [],
        "sha1": "5b30e297b54ef27ffcda06aa212b5aa6c5424e1c",
        "url_analysis": false,
        "sha512": "01f48fa1671cdc9e4d6866b9b237430f1b9b7093cbbed57fb010dc3db84a754a7a0457c5fd968d4e693ca74bdc1c7f15efb55f2af2ea236354944cffc8d4efd8",
        "file_metadata": null,
        "environment_description": "Windows 7 32 bit",
        "verdict": null,
        "domains": [],
        "error_type": null,
        "type_short": ["img"]
    }
]

获取哈希扫描报告

获取混合分析报告并丰富文件哈希实体。

参数

不适用

使用场景

不适用

运行于

此操作在 Filehash 实体上运行。

操作执行结果

实体扩充
扩充项字段名称 逻辑 - 应用场景
environment_id 返回 JSON 结果中是否存在相应值
total_processes 返回 JSON 结果中是否存在相应值
threat_level 返回 JSON 结果中是否存在相应值
大小 返回 JSON 结果中是否存在相应值
job_id 返回 JSON 结果中是否存在相应值
target_url 返回 JSON 结果中是否存在相应值
有趣 返回 JSON 结果中是否存在相应值
error_type 返回 JSON 结果中是否存在相应值
state 返回 JSON 结果中是否存在相应值
environment_description 返回 JSON 结果中是否存在相应值
mitre_attacks 返回 JSON 结果中是否存在相应值
证书 返回 JSON 结果中是否存在相应值
托管另一个节点 返回 JSON 结果中是否存在相应值
sha256 返回 JSON 结果中是否存在相应值
sha512 返回 JSON 结果中是否存在相应值
compromised_hosts 返回 JSON 结果中是否存在相应值
extracted_files 返回 JSON 结果中是否存在相应值
analysis_start_time 返回 JSON 结果中是否存在相应值
标签 返回 JSON 结果中是否存在相应值
imphash 返回 JSON 结果中是否存在相应值
total_network_connections 返回 JSON 结果中是否存在相应值
av_detect 返回 JSON 结果中是否存在相应值
total_signatures 返回 JSON 结果中是否存在相应值
submit_name 返回 JSON 结果中是否存在相应值
ssdeep 返回 JSON 结果中是否存在相应值
md5 返回 JSON 结果中是否存在相应值
error_origin 返回 JSON 结果中是否存在相应值
进程 返回 JSON 结果中是否存在相应值
shal 返回 JSON 结果中是否存在相应值
url_analysis 返回 JSON 结果中是否存在相应值
类型 返回 JSON 结果中是否存在相应值
file_metadata 返回 JSON 结果中是否存在相应值
vx_family 返回 JSON 结果中是否存在相应值
threat_score 返回 JSON 结果中是否存在相应值
判决 返回 JSON 结果中是否存在相应值
网域 返回 JSON 结果中是否存在相应值
type_short 返回 JSON 结果中是否存在相应值
数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
max_threat_score 不适用 不适用
JSON 结果
[
    {
        "EntityResult":
        [{
            "classification_tags": [],
            "environment_id": 100,
            "total_processes": 0,
            "threat_level": null,
            "size": 31261,
            "job_id": "5c4435ef7ca3e109e640b709",
            "target_url": null,
            "interesting": false,
            "error_type": null,
            "state": "IN_QUEUE",
            "environment_description": "Windows 7 32 bit",
            "mitre_attcks": [],
            "certificates": [],
            "hosts": [],
            "sha256": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac",
            "sha512": "01f48fa1671cdc9e4d6866b9b237430f1b9b7093cbbed57fb010dc3db84a754a7a0457c5fd968d4e693ca74bdc1c7f15efb55f2af2ea236354944cffc8d4efd8",
            "compromised_hosts": [],
            "extracted_files": [],
            "analysis_start_time": "2019-01-20T02:50:01-06:00",
            "tags": [],
            "imphash": null,
            "total_network_connections": 0,
            "av_detect": null,
            "total_signatures": 0,
            "submit_name": "Proofpoint_R_Logo (1).png",
            "ssdeep": null,
            "md5": "48703c5d4ea8dc2099c37ea871b640ef",
            "error_origin": null,
            "processes": [],
            "sha1": "5b30e297b54ef27ffcda06aa212b5aa6c5424e1c",
            "url_analysis": false,
            "type": "PNG image data, 1200 x 413, 8-bit/color RGBA, non-interlaced",
            "file_metadata": null,
            "vx_family": null,
            "threat_score": null,
            "verdict": null,
            "domains": [],
            "type_short": ["img"]
        }],
        "Entity": "26d3c8656a83b06b293b15251617fe2c2c493f842a95b3d9b2ee45b3209d5fac"
    }
]

Ping

测试与 CrowdStrike Falcon Sandbox 的连接。

参数

不适用

使用场景

不适用

运行于

该操作不会在实体上运行。

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果

不适用

在 Falcon 数据库中搜索现有的扫描报告以及有关文件和文件网址的信息。

参数

参数 类型 默认值 是否为必需属性 说明
文件名 字符串 不适用 否 示例：example.exe。
文件类型 字符串 不适用 否 示例：docx。
文件类型说明 字符串 不适用 否 示例：PE32 可执行文件。
判定 字符串 不适用 否 示例：1（1=已列入许可名单，2=无判定结果，3=无特定威胁，4=可疑，5=恶意）。
AV Multiscan Range 字符串 不适用 否 示例：50-70（最小值 0，最大值 100）。
AV 家庭子字符串 字符串 不适用 否 示例：Agent.AD、nemucod。
# 标签 字符串 不适用 否 示例：勒索软件
端口 字符串 不适用 否 示例：8080
主机 字符串 不适用 否 示例：192.0.2.1
网域 字符串 不适用 否 示例：checkip.dyndns.org
HTTP 请求子字符串 字符串 不适用 否 示例：google
类似示例 字符串 不适用 否 示例：\<sha256>
示例情境 字符串 不适用 否 示例：\<sha256>

使用场景

不适用

运行于

此操作会在所有实体上运行。

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
结果 不适用 不适用

提交文件

提交文件以供分析。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
文件路径 字符串 不适用 是 要分析的文件的完整路径。如有多个值，请使用英文逗号分隔。
环境 下拉菜单 Linux 是

可用环境名称：300：‘Linux (Ubuntu 16.04，64 位)’、200：‘Android 静态分析’、120：‘Windows 7 64 位’、110：‘Windows 7 32 位（支持 HWP）’、100：‘Windows 7 32 位’。

默认值应为：Linux（Ubuntu 16.04，64 位）

使用场景

不适用

运行于

该操作不会在实体上运行。

操作执行结果

实体扩充
扩充项字段名称 逻辑 - 应用场景
sha256 返回 JSON 结果中是否存在相应值
job_id 返回 JSON 结果中是否存在相应值
数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "EntityResult": {
            "sha256": "fa636febca412dd9d1f2e7f7ca66462757bce24adb7cb5fffd2e247ce6dcf7fe",
            "job_id": "5f21459cb80c2d0a182b7967"
        },
        "Entity": "/temp/test.txt"
    }
]
案例墙
结果类型 值 / 说明 类型
输出消息*
  1. 成功提交的文件：成功提交了以下文件 <文件路径列表>
  2. 完全没有有效提交内容：没有提交任何文件以供分析
  3. 失败的文件：以下文件发生错误：<文件路径列表>。如需了解详情，请查看日志。
 常规

等待作业并提取报告

等待扫描作业完成并获取扫描报告。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
作业 ID 字符串 不适用 正确

作业 ID。如有多个，请使用英文逗号分隔的值（值应作为占位符从之前执行的操作“提交文件”中传递）。

此外，还可以手动提供作业 ID。

使用场景

不适用

运行于

该操作不会在实体上运行。

操作执行结果

实体扩充

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
{
    "5f21459cb80c2d0a182b7967": {
        "environment_id": 300,
        "threat_score": 0,
        "target_url": null,
        "total_processes": 0,
        "threat_level": 3,
        "size": 26505,
        "submissions": [{
            "url": null,
            "submission_id": "5f267a34e3e6784e4f180936",
            "created_at": "2020-08-02T08:32:52+00:00",
            "filename": "Test.py"
        }, {
            "url": null,
            "submission_id": "5f2146381a5f6253f266fed9",
            "created_at": "2020-07-29T09:49:44+00:00",
            "filename": "Test.py"
        }, {
            "url": null,
            "submission_id": "5f21461360cae26e4719a6c9",
            "created_at": "2020-07-29T09:49:07+00:00",
            "filename": "Test.py"
        }, {
            "url": null,
            "submission_id": "5f21459cb80c2d0a182b7968",
            "created_at": "2020-07-29T09:47:08+00:00",
            "filename": "Test.py"
        }],
        "job_id": "5f21459cb80c2d0a182b7967",
        "vx_family": null,
        "interesting": false,
        "error_type": null,
        "state": "SUCCESS",
        "mitre_attcks": [],
        "certificates": [],
        "hosts": [],
        "sha256": "fa636febca412dd9d1f2e7f7ca66462757bce24adb7cb5fffd2e247ce6dcf7fe",
        "sha512": "62c6d5c16d647e1361a761553fb1adfa92df3741e53a234fab28d08d3d003bdb4b2a7d7c5a050dc2cdba7b1d915f42d3c56f9694053fa75adae82c1b20e03b02",
        "compromised_hosts": [],
        "extracted_files": [],
        "analysis_start_time": "2020-07-29T09:47:17+00:00",
        "tags": [],
        "imphash": "Unknown",
        "total_network_connections": 0,
        "av_detect": null,
        "classification_tags": [],
        "submit_name": "Test.py",
        "ssdeep": "384:lRGs3v2+nSZUpav/+GUYERs0vZfyh/fyChIRpyCCLqa09NdyDRax9XSmxTAf:lR3fKZUoGGX0xfm/Duyoa09x9+",
        "md5": "bfec680af21539eb0a9f349038c68220",
        "error_origin": null,
        "total_signatures": 0,
        "processes": [],
        "sha1": "0a4e78bb8df401197e925b2643ceabf5b670df17",
        "url_analysis": false,
        "type": "Python script, ASCII text executable, with CRLF line terminators",
        "file_metadata": null,
        "environment_description": "Linux (Ubuntu 16.04, 64 bit)",
        "verdict": "no verdict",
        "domains": [],
        "type_short": ["script", "python"]
    }
}
案例墙
结果类型 值 / 说明 类型
输出消息*
  1. 如果至少有一个提供的作业 ID 成功完成操作：“已成功提取以下作业的报告：<>”
  2. 如果操作未能针对至少一个提供的作业 ID 运行：“failed to fetch report for the following jobs:
  3. 如果操作部分成功 （例如，成功提取了报告，但未能提取 MISP 报告）：已提取扫描报告，但未能获取以下作业的 MISP 报告：
  4. 如果所有作业都失败：打印“所有作业都失败了”（结果值应设置为 false）
 常规
附件
  1. 标题：“CrowdStrike Falcon 沙盒 Misp 报告 # <index>”
  2. 附件名称：get_report_by_hash 结果中的文件名
  3. 附件内容：来自 get_report_by_hash 结果的 base64.b64encode(报告内容)
  4. 注意：请务必处理平台的大小限制（使用 try-except 封装）

扫描网址

扫描网址或域名以进行分析。

参数

参数显示名称 类型 是否为必需属性 说明
阈值 整数 是 如果 AV 检测次数等于或高于指定阈值，则将实体标记为可疑
环境名称 DDL 是

Windows 7 32 位

Windows 7 32 位（支持 HWP）
Windows 7 64 位
Android 静态分析
Linux（Ubuntu 16.04，64 位）

使用场景

分析师可以获取扫描网址或网域文件以进行分析。

运行于

此操作适用于以下实体：

  • 网址
  • 主机名

操作执行结果

实体扩充

如果 scan_info_res.get('av_detect') > 阈值（形参），则将相应实体标记为可疑。

数据分析

添加一条包含以下消息的分析：CrowdStrike Falcon Sandbox - 实体被标记为恶意，AV 检测得分为 {av_detect}。阈值已设置为 - {threshold}。

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "EntityResult": {
            "environment_id": 100,
            "threat_score": 13,
            "target_url": null,
            "total_processes": 3,
            "threat_level": 0,
            "size": null,
            "submissions": [{
                "url": "http://example.com/",
                "submission_id": "5f4925f00da24603010641be",
                "created_at": "2020-08-28T15:42:40+00:00",
                "filename": null
            }, {
                "url": "http://example.com/",
                "submission_id": "5f48c011f86f36448901d054",
                "created_at": "2020-08-28T08:28:01+00:00",
                "filename": null
            }],
            "job_id": "5f1332c48161bb7d5b6c9663",
            "vx_family": "Unrated site",
            "interesting": false,
            "error_type": null,
            "state": "SUCCESS",
            "mitre_attcks": [],
            "certificates": [],
            "hosts": ["192.0.2.1", "192.0.2.2", "192.0.2.3", "192.0.2.4", "192.0.2.5", "192.0.2.6", "192.0.2.7", "192.0.2.8"],
            "sha256": "6982da0e6956768fdc206317d429c6b8313cf4ebf298ec0aa35f0f03f07cec6a", "sha512": "c2e12fee8e08b387f91529aaada5c78e86649fbb2fe64d067b630e0c5870284bf0ca22654211513d774357d37d4c9729ea7ddc44bf44144252959004363d7da9",
            "compromised_hosts": [],
            "extracted_files": [{
                "av_label": null,
                "sha1": "0da5de8165c50f6ace4660a6b38031f212917b17",
                "threat_level": 0,
                "name": "rs_ACT90oEMCn26rBYSdHdZAoXYig7gRwLYBA_1_.js",
                "threat_level_readable": "no specific threat",
                "type_tags": ["script", "javascript"],
                "description": "ASCII text, with very long lines",
                "file_available_to_download": false,
                "av_matched": null,
                "runtime_process": null,
                "av_total": null,
                "file_size": 566005,
                "sha256": "d41f46920a017c79fe4e6f4fb0a621af77169168c8645aa4b5094a1e67e127a0",
                "file_path": null,
                "md5": "c8c8076fd2390d47c8bf4a40f4885eeb"
            }],
            "analysis_start_time": "2020-07-18T17:35:09+00:00",
            "tags": ["tag", "the"],
            "imphash": "Unknown",
            "total_network_connections": 8,
            "av_detect": 0,
            "classification_tags": [],
            "submit_name": "http://example.com/",
            "ssdeep": "Unknown",
            "md5": "e6f672151804707d11eb4b840c3ec635",
            "error_origin": null,
            "total_signatures": 14,
            "processes": [{
                "process_flags": [],
                "av_label": null,
                "mutants": [],
                "uid": "00083159-00001692",
                "icon": null,
                "script_calls": [],
                "pid": null,
                "handles": [],
                "command_line": "\\\"%WINDIR%\\\\System32\\\\ieframe.dll\\\",OpenURL C:\\\\6982da0e6956768fdc206317d429c6b8313cf4ebf298ec0aa35f0f03f07cec6a.url",
                "file_accesses": [],
                "parentuid": null,
                "normalized_path": "%WINDIR%System32rundll32.exe",
                "av_matched": null,
                "streams": [],
                "registry": [],
                "av_total": null,
                "sha256": "3fa4912eb43fc304652d7b01f118589259861e2d628fa7c86193e54d5f987670",
                "created_files": [],
                "name": "example.exe"
            }, {
                "process_flags": [],
                "av_label": null,
                "mutants": [],
                "uid": "00083319-00003012",
                "icon": null,
                "script_calls": [],
                "pid": null,
                "handles": [],
                "command_line": "http://example.com/",
                "file_accesses": [],
                "parentuid": "00083159-00001692",
                "normalized_path": "%PROGRAMFILES%Internet Exploreriexplore.exe",
                "av_matched": null,
                "streams": [],
                "registry": [],
                "av_total": null,
                "sha256": "8abc7daa81c8a20bfd88b6a60ecc9ed1292fbb6cedbd6f872f36512d9a194bba",
                "created_files": [],
                "name": "example.exe"
            }, {
                "process_flags": [],
                "av_label": null,
                "mutants": [],
                "uid": "00083353-00002468",
                "icon": null,
                "script_calls": [],
                "pid": null,
                "handles": [],
                "command_line": "SCODEF:3012 CREDAT:275457 /prefetch:2",
                "file_accesses": [],
                "parentuid": "00083319-00003012",
                "normalized_path": "%PROGRAMFILES%Internet Example.exe",
                "av_matched": null,
                "streams": [],
                "registry": [],
                "av_total": null,
                "sha256": "8abc7daa81c8a20bfd88b6a60ecc9ed1292fbb6cedbd6f872f36512d9a194bba",
                "created_files": [],
                "name": "example.exe"}],
            "sha1": "0a0bec39293c168288c04f575a7a317e29f1878f",
            "url_analysis": true,
            "type": null,
            "file_metadata": null,
            "environment_description": "Windows 7 32 bit",
            "verdict": "no specific threat",
            "domains": ["fonts.example.com", "example.example.net", "example.org", "example.com", "www.example.com"],
            "type_short": []
        },
        "Entity": "example.com"
    }
]
案例墙
结果类型 值 / 说明 类型
输出消息*
  1. 如果扫描成功：已成功提取以下 <实体标识符> 的报告
  2. 如果提取 MISP 时出错，但扫描信息没有问题：已提取扫描报告，但未能获取以下实体的 MISP 报告：<实体标识符>
  3. 如果提取结果时出错：无法提取以下实体的报告：<实体标识符
  4. 未能提交网址/网域以供分析：未能扫描以下内容：<实体标识符>。如需了解详情，请查看日志。
 常规
附件
  1. 标题：“CrowdStrike Falcon Sandbox Misp 报告 - <job_id>
  2. 附件名称：misp_report_name（作为 get_report_by_job_id 函数的结果返回）

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。