Mengintegrasikan GRR Rapid Response dengan Google SecOps
Dokumen ini menjelaskan cara mengonfigurasi dan mengintegrasikan GRR Rapid Response dengan Google Security Operations (Google SecOps).
Versi integrasi: 8.0
Parameter integrasi
Integrasi Respons Cepat GRR memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
API Root |
Wajib. URL server. Nilai defaultnya adalah
|
Username |
Wajib. Nama pengguna server Respons Cepat GRR. |
Password |
Wajib. Sandi server Respons Cepat GRR. |
Verify SSL |
Opsional. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server GRR Rapid Response. Tidak dipilih secara default. |
Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.
Anda dapat melakukan perubahan di tahap berikutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.
Tindakan
Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan tertunda dari Ruang Kerja Anda dan Melakukan tindakan manual.
Mendapatkan Detail Klien
Gunakan tindakan Dapatkan Detail Klien untuk mendapatkan detail lengkap klien.
Tindakan ini tidak berjalan di entity Google SecOps.
Input tindakan
Tindakan Get Client Details memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
Client ID |
Wajib. ID klien. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma. |
Output tindakan
Tindakan Get Client Details memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tidak tersedia |
Tabel repositori kasus | Tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Tabel repositori kasus
Tindakan Get Client Details dapat menghasilkan tabel berikut:
Nama tabel: GRR Clients Details
Kolom tabel:
- Client ID
- Host
- Versi OS
- Label
- Ukuran Memori
- Versi Klien
- Pertama Terlihat
- Terakhir Terlihat
- Tanggal Penginstalan OS
Hasil JSON
Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Client Details:
[
{
"HardwareInfo": {
"system_product_name": "HVM domU",
"bios_rom_size": "64 kB",
"bios_vendor": "Xen",
"system_sku_number": "Not Specified",
"system_family": "Not Specified",
"system_uuid": "UUID",
"system_manufacturer": "Xen",
"bios_release_date": "08/24/2006",
"bios_version": "4.2.amazon",
"serial_number": "UUID",
"bios_revision": "4.2"
},
"LastClock": 1535907460060247,
"Interfaces": [
{
"ifname": "lo",
"addresses": [
{
"packed_bytes": "fwAAAQ==",
"address_type": "INET"
},
{
"packed_bytes": "AAAAAAAAAAAAAAAAAAAAAQ==",
"address_type": "INET6"
}
],
"mac_address": "MAC_ADDRESS"
},
{
"ifname": "eth0",
"addresses": [
{
"packed_bytes": "rB8sWw==",
"address_type": "INET"
},
{
"packed_bytes": "/oAAAAAAAAAE1kv//h5yfg==",
"address_type": "INET6"
}
],
"mac_address": "MAC_ADDRESS"
}
],
"OS": {
"kernel": "4.4.0-1065-aws",
"install_date": 1534280169000000,
"system": "Linux",
"fqdn": "ip-192-0-2-91.example",
"machine": "x86_64",
"version": "16.4",
"release": "Ubuntu"
},
"AgentInfo": {
"client_name": "grr",
"client_description": "grr linux amd64",
"client_version": 3232,
"build_time": "2018-06-28 09:37:57"
},
"Labels": [],
"LastBootedAt": 1535292604000000,
"FirstSeenAt": 1535293827970976,
"User": [],
"Volumes": [
{
"total_allocation_units": 50808745,
"bytes_per_sector": 4096,
"sectors_per_allocation_unit": 1,
"unixvolume": {
"mount_point": "/"
},
"actual_available_allocation_units": 50027766
}
],
"LastCrashAt": null,
"LastSeenAt": 1535907460075229,
"ID": "CLIENT_ID"
}
]
Pesan output
Tindakan Get Client Details dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
|
Tindakan berhasil. |
Error executing action "Get Client Details". Reason: ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Hasil skrip
Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Dapatkan Detail Klien:
Nama hasil skrip | Nilai |
---|---|
is_success |
True atau False |
Mendapatkan Detail Perburuan
Gunakan tindakan Get Hunt Details untuk mengambil detail perburuan.
Tindakan ini tidak berjalan di entity Google SecOps.
Input tindakan
Tindakan Get Hunt Details memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
Hunt ID |
Wajib. ID penelusuran yang akan diambil. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma. |
Output tindakan
Tindakan Get Hunt Details memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tersedia |
Tabel repositori kasus | Tidak tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Link repositori kasus
Tindakan Get Hunt Details dapat menghasilkan link berikut:
API_ROOT/#/hunts/HUNT_ID
Hasil JSON
Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Hunt Details:
[
{
"Name": "ExampleHunt",
"Expires": 1537063517000000,
"Description": "test",
"Creator": "admin",
"IsRobot": false,
"Status": "PAUSED",
"Hunt_ID": "HUNT_ID",
"Created": 1535853917657925,
"Start_Time": 1535853917657925,
"Duration": "2w",
"Expiration time": " ",
"Crash_limit": 100,
"Client_limit": 100,
"Client_rate (clients/min)": "20.5",
"Client_Queued": "20.5",
"Client_Scheduled": "20.5",
"Client_Outstanding": "20.5",
"Client_Completed": "20.5",
"Client_with Results": "20.5",
"Results": "20.5",
"Total_CPU_Time_Used": "20.5",
"Total_Network_Traffic": "20.5",
"Flow_Name": "KeepAlive",
"Flow_Arguments": "20.5",
"Client_Rule_Set": " "
}
]
Pesan output
Tindakan Get Hunt Details dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
|
Tindakan berhasil. |
Error executing action "Get Hunt Details". Reason: ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Hasil skrip
Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Hunt Details:
Nama hasil skrip | Nilai |
---|---|
is_success |
True atau False |
Mencantumkan Klien
Gunakan tindakan Buat Daftar Klien untuk menelusuri klien dan berinteraksi dengan mereka.
Tindakan ini tidak berjalan di entity Google SecOps.
Input tindakan
Tindakan List Clients memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
Offset |
Opsional. Titik awal (offset) untuk menelusuri klien. |
Max Results To Return |
Opsional. Jumlah maksimum klien yang akan ditampilkan dalam setiap respons. Nilai defaultnya adalah |
Output tindakan
Tindakan List Clients memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tidak tersedia |
Tabel repositori kasus | Tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Tabel repositori kasus
Tindakan List Clients dapat menghasilkan tabel berikut:
Nama tabel: Klien GRR
Kolom tabel:
- Client ID
- Host
- Versi OS
- Pertama Terlihat
- Versi Klien
- Label
- Check In Terakhir
- Tanggal Penginstalan OS
Hasil JSON
Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan List Clients:
[{
"Client_ID": "CLIENT_ID",
"Agent_Info":{
"Client_Name": "example",
"Client_Version": 3420}
"OS_Info":{
"System": "Linux",
"Release": "Ubuntu",
"Architecture": "x86_64",
"Installation_Time": "2020-04-09 13:44:17 UTC",
"Kernel": "4.15.0-96-generic",
"Version": "18.04"}
"Client_Last_Booted_At": "",
"Client_First_Seen_At": "2020-09-25 14:26:38 UTC",
"Client_Last_Seen": "2020-11-19 10:12:52 UTC",
"Client_Last_Clock": "2020-11-19 10:12:52 UTC",
"Memory_Size": "985.6MiB",
"Client_Labels": []
}]
Pesan output
Tindakan List Clients dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
|
Tindakan berhasil. |
Error executing action "List Clients". Reason: ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Hasil skrip
Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan List Clients:
Nama hasil skrip | Nilai |
---|---|
is_success |
True atau False |
Mencantumkan Perburuan
Gunakan tindakan List Hunts untuk mengambil informasi tentang semua perburuan yang tersedia.
Tindakan ini tidak berjalan di entity Google SecOps.
Input tindakan
Tindakan List Hunts memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
Creator |
Opsional. Pengguna yang membuat perburuan. |
Offset |
Opsional. Titik awal (offset) untuk menelusuri perburuan. |
Max Results To Return |
Opsional. Jumlah maksimum perburuan yang akan ditampilkan dalam setiap respons. Nilai defaultnya adalah |
Output tindakan
Tindakan List Hunts memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tidak tersedia |
Tabel repositori kasus | Tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Tabel repositori kasus
Tindakan List Hunts dapat menghasilkan tabel berikut:
Nama tabel: Hunts
Kolom tabel:
- ID Perburuan
- Status
- Waktu Pembuatan
- Waktu Mulai
- Durasi
- Batas Klien
- Waktu Habis Masa Berlaku
- Kreator
- Deskripsi
Hasil JSON
Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan List Hunts:
[
{
"Hunt_Description": "Interrogate run by cron to keep host info fresh.",
"Creator": "GRRCron",
"Is_Robot": false,
"State": "STARTED",
"Creation Time": "1605690387510082",
"Start Time (initial)": "1605690387678448",
"Start Time (last)": "1605690387678448",
"Duration": " ",
"Client Limit": 0,
"Expiration Time": " ",
"Hunt_ID": "HUNT_ID",
}
]
Pesan output
Tindakan List Hunts dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
|
Tindakan berhasil. |
Error executing action "List Hunts". Reason: ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Hasil skrip
Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan List Hunts:
Nama hasil skrip | Nilai |
---|---|
is_success |
True atau False |
Mencantumkan Alur yang Diluncurkan
Gunakan tindakan List Launched Flows untuk mencantumkan alur yang diluncurkan di klien tertentu.
Tindakan ini berjalan di entity Google SecOps berikut:
IP Address
Hostname
Input tindakan
Tindakan List Launched Flows memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
Offset |
Opsional. Titik awal (offset) untuk menelusuri alur. |
Max Results To Return |
Opsional. Jumlah maksimum alur yang akan ditampilkan dalam setiap respons. Nilai defaultnya adalah |
Output tindakan
Tindakan List Launched Flows memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tidak tersedia |
Tabel repositori kasus | Tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Tabel repositori kasus
Tindakan List Launched Flows dapat menghasilkan tabel berikut:
Nama tabel: GRR Launch Flows
Kolom tabel:
- Flow Name
- ID Flow
- Status
- Waktu Pembuatan
- Terakhir Aktif
- Kreator
Hasil JSON
Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan List Launched Flows:
{
"Creator": "admin",
"NestedFlow": [],
"LastActiveAt": 1535900632278975,
"Args": {
"ARGUMENTS"
},
"State": "TERMINATED",
"StartedAt": 1535900542745106,
"Flow_ID": "FLOW_ID",
"Flow_Name": "FLOW_NAME"
}
Pesan output
Tindakan List Launched Flows dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
|
Tindakan berhasil. |
Error executing action "List Launched Flows". Reason:
ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Hasil skrip
Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan List Launched Flows:
Nama hasil skrip | Nilai |
---|---|
is_success |
True atau False |
Ping
Gunakan tindakan Ping untuk menguji konektivitas ke Respons Cepat GRR.
Tindakan ini tidak berjalan di entity Google SecOps.
Input tindakan
Tidak ada.
Output tindakan
Tindakan Ping memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tidak tersedia |
Tabel repositori kasus | Tidak tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tidak tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Pesan output
Tindakan Ping dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
Successfully connected to the GRR server with the provided
connection parameters! |
Tindakan berhasil. |
Failed to connect to the GRR server! Error is ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Hasil skrip
Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:
Nama hasil skrip | Nilai |
---|---|
is_success |
True atau False |
Mulai Perburuan
Gunakan tindakan Mulai Perburuan untuk memulai perburuan yang baru dibuat. Secara default,
Respons Cepat GRR menetapkan status PAUSED
ke semua perburuan baru.
Respons Cepat GRR menetapkan semua penelusuran yang mencapai batas kliennya ke status
PAUSED
. Setelah menghapus batas klien, Anda dapat menggunakan tindakan Mulai Perburuan untuk memulai ulang perburuan yang dijeda.
Tindakan ini tidak berjalan di entity Google SecOps.
Input tindakan
Tindakan Mulai Perburuan memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
Hunt ID |
Wajib. ID perburuan yang akan dimulai. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma. |
Output tindakan
Tindakan Start A Hunt memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tidak tersedia |
Tabel repositori kasus | Tidak tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Hasil JSON
Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Mulai Perburuan:
[{ "Hunt_ID": "HUNT_ID", "State": STARTED}]
Pesan output
Tindakan Start A Hunt dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
|
Tindakan berhasil. |
Error executing action "Start A Hunt". Reason: ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Menghentikan Perburuan
Gunakan tindakan Stop A Hunt untuk mencegah klien baru menjadwalkan dan mengganggu alur saat ini pada saat statusnya berubah.
Setelah menghentikan penelusuran, Anda tidak dapat melanjutkannya. Tindakan ini menghapus semua hasil saat ini yang sedang diproses dan tidak memengaruhi hasil yang sudah dilaporkan.
Tindakan ini tidak berjalan di entity Google SecOps.
Input tindakan
Tindakan Stop A Hunt memerlukan parameter berikut:
Parameter | Deskripsi |
---|---|
Hunt ID |
Wajib. ID perburuan yang akan dihentikan. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma. |
Output tindakan
Tindakan Hentikan Perburuan memberikan output berikut:
Jenis output tindakan | Ketersediaan |
---|---|
Lampiran repositori kasus | Tidak tersedia |
Link repositori kasus | Tidak tersedia |
Tabel repositori kasus | Tidak tersedia |
Tabel pengayaan | Tidak tersedia |
Hasil JSON | Tersedia |
Pesan output | Tersedia |
Hasil skrip | Tersedia |
Hasil JSON
Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Stop A Hunt:
[{ "Hunt_ID": "HUNT_ID", "State": STOPPED}]
Pesan output
Tindakan Stop A Hunt dapat menampilkan pesan output berikut:
Pesan output | Deskripsi pesan |
---|---|
|
Tindakan berhasil. |
Error executing action "Stop A Hunt". Reason: ERROR_REASON |
Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial. |
Hasil skrip
Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Stop A Hunt:
Nama hasil skrip | Nilai |
---|---|
is_success |
True atau False |
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.