Mengintegrasikan GRR Rapid Response dengan Google SecOps

Dokumen ini menjelaskan cara mengonfigurasi dan mengintegrasikan GRR Rapid Response dengan Google Security Operations (Google SecOps).

Versi integrasi: 8.0

Parameter integrasi

Integrasi Respons Cepat GRR memerlukan parameter berikut:

Parameter Deskripsi
API Root

Wajib.

URL server.

Nilai defaultnya adalah https://IP_ADDRESS:8000.

Username

Wajib.

Nama pengguna server Respons Cepat GRR.

Password

Wajib.

Sandi server Respons Cepat GRR.

Verify SSL

Opsional.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server GRR Rapid Response.

Tidak dipilih secara default.

Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan di tahap berikutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan tertunda dari Ruang Kerja Anda dan Melakukan tindakan manual.

Mendapatkan Detail Klien

Gunakan tindakan Dapatkan Detail Klien untuk mendapatkan detail lengkap klien.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Client Details memerlukan parameter berikut:

Parameter Deskripsi
Client ID

Wajib.

ID klien. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma.

Output tindakan

Tindakan Get Client Details memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Tabel repositori kasus

Tindakan Get Client Details dapat menghasilkan tabel berikut:

Nama tabel: GRR Clients Details

Kolom tabel:

  • Client ID
  • Host
  • Versi OS
  • Label
  • Ukuran Memori
  • Versi Klien
  • Pertama Terlihat
  • Terakhir Terlihat
  • Tanggal Penginstalan OS
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Client Details:

[
        {
            "HardwareInfo": {
                "system_product_name": "HVM domU",
                "bios_rom_size": "64 kB",
                "bios_vendor": "Xen",
                "system_sku_number": "Not Specified",
                "system_family": "Not Specified",
                "system_uuid": "UUID",
                "system_manufacturer": "Xen",
                "bios_release_date": "08/24/2006",
                "bios_version": "4.2.amazon",
                "serial_number": "UUID",
                "bios_revision": "4.2"
            },
            "LastClock": 1535907460060247,
            "Interfaces": [
                {
                    "ifname": "lo",
                    "addresses": [
                        {
                            "packed_bytes": "fwAAAQ==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "AAAAAAAAAAAAAAAAAAAAAQ==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                },
                {
                    "ifname": "eth0",
                    "addresses": [
                        {
                            "packed_bytes": "rB8sWw==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "/oAAAAAAAAAE1kv//h5yfg==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                }
            ],
            "OS": {
                "kernel": "4.4.0-1065-aws",
                "install_date": 1534280169000000,
                "system": "Linux",
                "fqdn": "ip-192-0-2-91.example",
                "machine": "x86_64",
                "version": "16.4",
                "release": "Ubuntu"
            },
            "AgentInfo": {
                "client_name": "grr",
                "client_description": "grr linux amd64",
                "client_version": 3232,
                "build_time": "2018-06-28 09:37:57"
            },
            "Labels": [],
            "LastBootedAt": 1535292604000000,
            "FirstSeenAt": 1535293827970976,
            "User": [],
            "Volumes": [
                {
                    "total_allocation_units": 50808745,
                    "bytes_per_sector": 4096,
                    "sectors_per_allocation_unit": 1,
                    "unixvolume": {
                        "mount_point": "/"
                    },
                    "actual_available_allocation_units": 50027766
                }
            ],
            "LastCrashAt": null,
            "LastSeenAt": 1535907460075229,
            "ID": "CLIENT_ID"
        }
]
Pesan output

Tindakan Get Client Details dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully fetched details for the following clients: CLIENT_ID_LIST.

Could not fetch details for the specified clients. CLIENT_ID does not exist.

Tindakan berhasil.
Error executing action "Get Client Details". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Dapatkan Detail Klien:

Nama hasil skrip Nilai
is_success True atau False

Mendapatkan Detail Perburuan

Gunakan tindakan Get Hunt Details untuk mengambil detail perburuan.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Hunt Details memerlukan parameter berikut:

Parameter Deskripsi
Hunt ID

Wajib.

ID penelusuran yang akan diambil. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma.

Output tindakan

Tindakan Get Hunt Details memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia

Tindakan Get Hunt Details dapat menghasilkan link berikut:

API_ROOT/#/hunts/HUNT_ID

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Hunt Details:

[
        {
            "Name": "ExampleHunt",
            "Expires": 1537063517000000,
            "Description": "test",
            "Creator": "admin",
            "IsRobot": false,
            "Status": "PAUSED",
            "Hunt_ID": "HUNT_ID",
            "Created": 1535853917657925,
            "Start_Time": 1535853917657925,
            "Duration": "2w",
            "Expiration time": " ",
            "Crash_limit": 100,
            "Client_limit": 100,
            "Client_rate (clients/min)": "20.5",
            "Client_Queued": "20.5",
            "Client_Scheduled": "20.5",
            "Client_Outstanding": "20.5",
            "Client_Completed": "20.5",
            "Client_with Results": "20.5",
            "Results": "20.5",
            "Total_CPU_Time_Used": "20.5",
            "Total_Network_Traffic": "20.5",
            "Flow_Name": "KeepAlive",
            "Flow_Arguments": "20.5",
            "Client_Rule_Set": " "
        }
]
Pesan output

Tindakan Get Hunt Details dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully fetched details for the HUNT_ID hunt.

Could not fetch details for the specified hunts. HUNT_ID does not exist.

Tindakan berhasil.
Error executing action "Get Hunt Details". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Hunt Details:

Nama hasil skrip Nilai
is_success True atau False

Mencantumkan Klien

Gunakan tindakan Buat Daftar Klien untuk menelusuri klien dan berinteraksi dengan mereka.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan List Clients memerlukan parameter berikut:

Parameter Deskripsi
Offset

Opsional.

Titik awal (offset) untuk menelusuri klien.

Max Results To Return

Opsional.

Jumlah maksimum klien yang akan ditampilkan dalam setiap respons.

Nilai defaultnya adalah 5.

Output tindakan

Tindakan List Clients memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Tabel repositori kasus

Tindakan List Clients dapat menghasilkan tabel berikut:

Nama tabel: Klien GRR

Kolom tabel:

  • Client ID
  • Host
  • Versi OS
  • Pertama Terlihat
  • Versi Klien
  • Label
  • Check In Terakhir
  • Tanggal Penginstalan OS
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan List Clients:

[{
    "Client_ID": "CLIENT_ID",
    "Agent_Info":{
       "Client_Name": "example",
       "Client_Version": 3420}
    "OS_Info":{
       "System": "Linux",
       "Release": "Ubuntu",
       "Architecture": "x86_64",
       "Installation_Time": "2020-04-09 13:44:17 UTC",
       "Kernel": "4.15.0-96-generic",
       "Version": "18.04"}
    "Client_Last_Booted_At": "",
    "Client_First_Seen_At": "2020-09-25 14:26:38 UTC",
    "Client_Last_Seen": "2020-11-19 10:12:52 UTC",
    "Client_Last_Clock": "2020-11-19 10:12:52 UTC",
    "Memory_Size": "985.6MiB",
    "Client_Labels": []
   }]
Pesan output

Tindakan List Clients dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully listed available clients in GRR.

No clients are available in GRR.

Tindakan berhasil.
Error executing action "List Clients". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan List Clients:

Nama hasil skrip Nilai
is_success True atau False

Mencantumkan Perburuan

Gunakan tindakan List Hunts untuk mengambil informasi tentang semua perburuan yang tersedia.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan List Hunts memerlukan parameter berikut:

Parameter Deskripsi
Creator

Opsional.

Pengguna yang membuat perburuan.

Offset

Opsional.

Titik awal (offset) untuk menelusuri perburuan.

Max Results To Return

Opsional.

Jumlah maksimum perburuan yang akan ditampilkan dalam setiap respons.

Nilai defaultnya adalah 5.

Output tindakan

Tindakan List Hunts memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Tabel repositori kasus

Tindakan List Hunts dapat menghasilkan tabel berikut:

Nama tabel: Hunts

Kolom tabel:

  • ID Perburuan
  • Status
  • Waktu Pembuatan
  • Waktu Mulai
  • Durasi
  • Batas Klien
  • Waktu Habis Masa Berlaku
  • Kreator
  • Deskripsi
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan List Hunts:

[
    {
        "Hunt_Description": "Interrogate run by cron to keep host info fresh.",
        "Creator": "GRRCron",
        "Is_Robot": false,
        "State": "STARTED",
        "Creation Time": "1605690387510082",
        "Start Time (initial)": "1605690387678448",
        "Start Time (last)": "1605690387678448",
        "Duration": " ",
        "Client Limit": 0,
        "Expiration Time": " ",
        "Hunt_ID": "HUNT_ID",
    }
]
Pesan output

Tindakan List Hunts dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully listed hunts.

Could not list hunts for the specified creator. CREATOR_ID< does not exist.

Could not list hunts for the specified creator. Please check the Offset value.

Tindakan berhasil.
Error executing action "List Hunts". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan List Hunts:

Nama hasil skrip Nilai
is_success True atau False

Mencantumkan Alur yang Diluncurkan

Gunakan tindakan List Launched Flows untuk mencantumkan alur yang diluncurkan di klien tertentu.

Tindakan ini berjalan di entity Google SecOps berikut:

  • IP Address
  • Hostname

Input tindakan

Tindakan List Launched Flows memerlukan parameter berikut:

Parameter Deskripsi
Offset

Opsional.

Titik awal (offset) untuk menelusuri alur.

Max Results To Return

Opsional.

Jumlah maksimum alur yang akan ditampilkan dalam setiap respons.

Nilai defaultnya adalah 5.

Output tindakan

Tindakan List Launched Flows memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Tabel repositori kasus

Tindakan List Launched Flows dapat menghasilkan tabel berikut:

Nama tabel: GRR Launch Flows

Kolom tabel:

  • Flow Name
  • ID Flow
  • Status
  • Waktu Pembuatan
  • Terakhir Aktif
  • Kreator
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan List Launched Flows:

{
    "Creator": "admin",
    "NestedFlow": [],
    "LastActiveAt": 1535900632278975,
    "Args": {
        "ARGUMENTS"
    },
    "State": "TERMINATED",
    "StartedAt": 1535900542745106,
    "Flow_ID": "FLOW_ID",
    "Flow_Name": "FLOW_NAME"
}
Pesan output

Tindakan List Launched Flows dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully listed flows launched on CLIENT_ID client.

Could not list flows. No entities were found.

Could not list flows. IPs or Hosts entities were not found in current scope.

Could not list flows on the following entities: ENTITY_ID.

Tindakan berhasil.
Error executing action "List Launched Flows". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan List Launched Flows:

Nama hasil skrip Nilai
is_success True atau False

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Respons Cepat GRR.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan
Successfully connected to the GRR server with the provided connection parameters! Tindakan berhasil.
Failed to connect to the GRR server! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip Nilai
is_success True atau False

Mulai Perburuan

Gunakan tindakan Mulai Perburuan untuk memulai perburuan yang baru dibuat. Secara default, Respons Cepat GRR menetapkan status PAUSED ke semua perburuan baru.

Respons Cepat GRR menetapkan semua penelusuran yang mencapai batas kliennya ke status PAUSED. Setelah menghapus batas klien, Anda dapat menggunakan tindakan Mulai Perburuan untuk memulai ulang perburuan yang dijeda.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Mulai Perburuan memerlukan parameter berikut:

Parameter Deskripsi
Hunt ID

Wajib.

ID perburuan yang akan dimulai. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma.

Output tindakan

Tindakan Start A Hunt memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Mulai Perburuan:

[{ "Hunt_ID": "HUNT_ID", "State": STARTED}]
Pesan output

Tindakan Start A Hunt dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully started the following hunts: HUNT_ID_LIST.

Could not start the following hunts. HUNT_ID_LIST could not be found in GRR.

Could not stop the following hunts: HUNT_ID_LIST. Hunt can only be started from PAUSED state.

Tindakan berhasil.
Error executing action "Start A Hunt". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Menghentikan Perburuan

Gunakan tindakan Stop A Hunt untuk mencegah klien baru menjadwalkan dan mengganggu alur saat ini pada saat statusnya berubah.

Setelah menghentikan penelusuran, Anda tidak dapat melanjutkannya. Tindakan ini menghapus semua hasil saat ini yang sedang diproses dan tidak memengaruhi hasil yang sudah dilaporkan.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Stop A Hunt memerlukan parameter berikut:

Parameter Deskripsi
Hunt ID

Wajib.

ID perburuan yang akan dihentikan. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma.

Output tindakan

Tindakan Hentikan Perburuan memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Stop A Hunt:

[{ "Hunt_ID": "HUNT_ID", "State": STOPPED}]
Pesan output

Tindakan Stop A Hunt dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully stopped the following hunts: HUNT_ID_LIST.

Could not stop the following hunts. HUNT_ID_LIST could not be found in GRR.

Could not stop the following hunts: HUNT_ID_LIST. Hunt can only be stopped from STARTED or PAUSED states.

Tindakan berhasil.
Error executing action "Stop A Hunt". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Stop A Hunt:

Nama hasil skrip Nilai
is_success True atau False

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.