Integrar o GRR Rapid Response ao Google SecOps

Este documento explica como configurar e integrar o GRR Rapid Response ao Google Security Operations (Google SecOps).

Versão da integração: 8.0

Parâmetros de integração

A integração do GRR Rapid Response exige os seguintes parâmetros:

Parâmetro Descrição
API Root

Obrigatório.

Um URL do servidor.

O valor padrão é https://IP_ADDRESS:8000.
Username

Obrigatório.

O nome de usuário do servidor de resposta rápida do GRR.
Password

Obrigatório.

A senha do servidor de resposta rápida do GRR.
Verify SSL

Opcional.

Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor de resposta rápida do GRR.

Não selecionada por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

É possível fazer mudanças mais tarde, se necessário. Depois de configurar uma instância de integração, você pode usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes da sua mesa de trabalho e Realizar uma ação manual.

Receber detalhes do cliente

Use a ação Receber detalhes do cliente para acessar todos os detalhes do cliente.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação Receber detalhes do cliente exige os seguintes parâmetros:

Parâmetro Descrição
Client ID

Obrigatório.

O ID do cliente. Esse parâmetro aceita vários valores como uma string separada por vírgulas.

Saídas de ação

A ação Receber detalhes do cliente fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Disponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Tabela do painel de casos

A ação Receber detalhes do cliente pode gerar a seguinte tabela:

Nome da tabela: Detalhes dos clientes do GRR

Colunas da tabela:

  • ID do cliente
  • Host
  • Versão do SO
  • Marcadores
  • Tamanho da memória
  • Versão do cliente
  • Visto pela primeira vez
  • Última visualização
  • Data de instalação do SO
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Receber detalhes do cliente:

[
        {
            "HardwareInfo": {
                "system_product_name": "HVM domU",
                "bios_rom_size": "64 kB",
                "bios_vendor": "Xen",
                "system_sku_number": "Not Specified",
                "system_family": "Not Specified",
                "system_uuid": "UUID",
                "system_manufacturer": "Xen",
                "bios_release_date": "08/24/2006",
                "bios_version": "4.2.amazon",
                "serial_number": "UUID",
                "bios_revision": "4.2"
            },
            "LastClock": 1535907460060247,
            "Interfaces": [
                {
                    "ifname": "lo",
                    "addresses": [
                        {
                            "packed_bytes": "fwAAAQ==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "AAAAAAAAAAAAAAAAAAAAAQ==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                },
                {
                    "ifname": "eth0",
                    "addresses": [
                        {
                            "packed_bytes": "rB8sWw==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "/oAAAAAAAAAE1kv//h5yfg==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                }
            ],
            "OS": {
                "kernel": "4.4.0-1065-aws",
                "install_date": 1534280169000000,
                "system": "Linux",
                "fqdn": "ip-192-0-2-91.example",
                "machine": "x86_64",
                "version": "16.4",
                "release": "Ubuntu"
            },
            "AgentInfo": {
                "client_name": "grr",
                "client_description": "grr linux amd64",
                "client_version": 3232,
                "build_time": "2018-06-28 09:37:57"
            },
            "Labels": [],
            "LastBootedAt": 1535292604000000,
            "FirstSeenAt": 1535293827970976,
            "User": [],
            "Volumes": [
                {
                    "total_allocation_units": 50808745,
                    "bytes_per_sector": 4096,
                    "sectors_per_allocation_unit": 1,
                    "unixvolume": {
                        "mount_point": "/"
                    },
                    "actual_available_allocation_units": 50027766
                }
            ],
            "LastCrashAt": null,
            "LastSeenAt": 1535907460075229,
            "ID": "CLIENT_ID"
        }
]
Mensagens de saída

A ação Receber detalhes do cliente pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully fetched details for the following clients: CLIENT_ID_LIST.

Could not fetch details for the specified clients. CLIENT_ID does not exist.

A ação foi concluída.
Error executing action "Get Client Details". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Receber detalhes do cliente:

Nome do resultado do script Valor
is_success True ou False

Acessar detalhes da caça

Use a ação Receber detalhes da busca para extrair os detalhes da busca.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação Receber detalhes da caça exige os seguintes parâmetros:

Parâmetro Descrição
Hunt ID

Obrigatório.

O ID de uma busca a ser recuperada. Esse parâmetro aceita vários valores como uma string separada por vírgulas.

Saídas de ação

A ação Receber detalhes da busca fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Disponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível

A ação Receber detalhes da busca pode gerar o seguinte link:

API_ROOT/#/hunts/HUNT_ID

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get Hunt Details:

[
        {
            "Name": "ExampleHunt",
            "Expires": 1537063517000000,
            "Description": "test",
            "Creator": "admin",
            "IsRobot": false,
            "Status": "PAUSED",
            "Hunt_ID": "HUNT_ID",
            "Created": 1535853917657925,
            "Start_Time": 1535853917657925,
            "Duration": "2w",
            "Expiration time": " ",
            "Crash_limit": 100,
            "Client_limit": 100,
            "Client_rate (clients/min)": "20.5",
            "Client_Queued": "20.5",
            "Client_Scheduled": "20.5",
            "Client_Outstanding": "20.5",
            "Client_Completed": "20.5",
            "Client_with Results": "20.5",
            "Results": "20.5",
            "Total_CPU_Time_Used": "20.5",
            "Total_Network_Traffic": "20.5",
            "Flow_Name": "KeepAlive",
            "Flow_Arguments": "20.5",
            "Client_Rule_Set": " "
        }
]
Mensagens de saída

A ação Receber detalhes da busca pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully fetched details for the HUNT_ID hunt.

Could not fetch details for the specified hunts. HUNT_ID does not exist.

 A ação foi concluída.
Error executing action "Get Hunt Details". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Receber detalhes da busca:

Nome do resultado do script Valor
is_success True ou False

Listar clientes

Use a ação Listar clientes para pesquisar e interagir com eles.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação List Clients exige os seguintes parâmetros:

Parâmetro Descrição
Offset

Opcional.

O ponto de partida (deslocamento) para pesquisar clientes.
Max Results To Return

Opcional.

O número máximo de clientes a serem retornados em cada resposta.

O valor padrão é 5.

Saídas de ação

A ação List Clients fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Disponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Tabela do painel de casos

A ação List Clients pode gerar a seguinte tabela:

Nome da tabela: Clientes do GRR

Colunas da tabela:

  • ID do cliente
  • Host
  • Versão do SO
  • Visto pela primeira vez
  • Versão do cliente
  • Marcadores
  • Último check-in
  • Data de instalação do SO
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação List Clients:

[{
    "Client_ID": "CLIENT_ID",
    "Agent_Info":{
       "Client_Name": "example",
       "Client_Version": 3420}
    "OS_Info":{
       "System": "Linux",
       "Release": "Ubuntu",
       "Architecture": "x86_64",
       "Installation_Time": "2020-04-09 13:44:17 UTC",
       "Kernel": "4.15.0-96-generic",
       "Version": "18.04"}
    "Client_Last_Booted_At": "",
    "Client_First_Seen_At": "2020-09-25 14:26:38 UTC",
    "Client_Last_Seen": "2020-11-19 10:12:52 UTC",
    "Client_Last_Clock": "2020-11-19 10:12:52 UTC",
    "Memory_Size": "985.6MiB",
    "Client_Labels": []
   }]
Mensagens de saída

A ação List Clients pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully listed available clients in GRR.

No clients are available in GRR.

 A ação foi concluída.
Error executing action "List Clients". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação List Clients:

Nome do resultado do script Valor
is_success True ou False

Listar caças

Use a ação List Hunts para recuperar informações sobre todas as caças disponíveis.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação List Hunts exige os seguintes parâmetros:

Parâmetro Descrição
Creator

Opcional.

Um usuário que criou uma busca.
Offset

Opcional.

O ponto de partida (deslocamento) para procurar caças.
Max Results To Return

Opcional.

O número máximo de buscas a serem retornadas em cada resposta.

O valor padrão é 5.

Saídas de ação

A ação List Hunts fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Disponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Tabela do painel de casos

A ação List Hunts pode gerar a seguinte tabela:

Nome da tabela: Hunts

Colunas da tabela:

  • ID da busca
  • Status
  • Horário da criação
  • Horário de início
  • Duração
  • Limite de clientes
  • Prazo de validade
  • Criador
  • Descrição
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação List Hunts:

[
    {
        "Hunt_Description": "Interrogate run by cron to keep host info fresh.",
        "Creator": "GRRCron",
        "Is_Robot": false,
        "State": "STARTED",
        "Creation Time": "1605690387510082",
        "Start Time (initial)": "1605690387678448",
        "Start Time (last)": "1605690387678448",
        "Duration": " ",
        "Client Limit": 0,
        "Expiration Time": " ",
        "Hunt_ID": "HUNT_ID",
    }
]
Mensagens de saída

A ação List Hunts pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully listed hunts.

Could not list hunts for the specified creator. CREATOR_ID< does not exist.

Could not list hunts for the specified creator. Please check the Offset value.

 A ação foi concluída.
Error executing action "List Hunts". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação List Hunts:

Nome do resultado do script Valor
is_success True ou False

Listar fluxos iniciados

Use a ação Listar fluxos iniciados para listar os fluxos iniciados em um cliente especificado.

Essa ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Hostname

Entradas de ação

A ação Listar fluxos iniciados exige os seguintes parâmetros:

Parâmetro Descrição
Offset

Opcional.

O ponto de partida (deslocamento) para pesquisar fluxos.
Max Results To Return

Opcional.

Um número máximo de fluxos a serem retornados em cada resposta.

O valor padrão é 5.

Saídas de ação

A ação List Launched Flows (Listar fluxos iniciados) fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Disponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Tabela do painel de casos

A ação List Launched Flows pode gerar a seguinte tabela:

Nome da tabela: Fluxos de lançamento do GRR

Colunas da tabela:

  • Flow Name
  • ID do fluxo
  • Estado
  • Horário da criação
  • Última atividade
  • Criador
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação List Launched Flows:

{
    "Creator": "admin",
    "NestedFlow": [],
    "LastActiveAt": 1535900632278975,
    "Args": {
        "ARGUMENTS"
    },
    "State": "TERMINATED",
    "StartedAt": 1535900542745106,
    "Flow_ID": "FLOW_ID",
    "Flow_Name": "FLOW_NAME"
}
Mensagens de saída

A ação List Launched Flows pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully listed flows launched on CLIENT_ID client.

Could not list flows. No entities were found.

Could not list flows. IPs or Hosts entities were not found in current scope.

Could not list flows on the following entities: ENTITY_ID.

 A ação foi concluída.
Error executing action "List Launched Flows". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação List Launched Flows:

Nome do resultado do script Valor
is_success True ou False

Ping

Use a ação Ping para testar a conectividade com o GRR Rapid Response.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

Nenhuma.

Saídas de ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Ping pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem
Successfully connected to the GRR server with the provided connection parameters! A ação foi concluída.
Failed to connect to the GRR server! Error is ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Começar uma caçada

Use a ação Iniciar uma caça para começar uma caça recém-criada. Por padrão, a resposta rápida do GRR atribui o estado PAUSED a todas as novas buscas.

A resposta rápida do GRR define todas as buscas que atingiram o limite de clientes como o estado PAUSED. Depois de remover o limite de clientes, use a ação Iniciar uma busca para reiniciar as buscas pausadas.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação Iniciar uma caça exige os seguintes parâmetros:

Parâmetro Descrição
Hunt ID

Obrigatório.

O ID de uma caça a ser iniciada. Esse parâmetro aceita vários valores como uma string separada por vírgulas.

Saídas de ação

A ação Iniciar uma caça fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Iniciar uma busca:

[{ "Hunt_ID": "HUNT_ID", "State": STARTED}]
Mensagens de saída

A ação Iniciar uma caça pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully started the following hunts: HUNT_ID_LIST.

Could not start the following hunts. HUNT_ID_LIST could not be found in GRR.

Could not stop the following hunts: HUNT_ID_LIST. Hunt can only be started from PAUSED state.

 A ação foi concluída.
Error executing action "Start A Hunt". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Parar uma caçada

Use a ação Parar uma caça para impedir que novos clientes agendem e interromper os fluxos atuais no momento em que o estado deles mudar.

Depois de interromper uma busca, não é possível retomá-la. Essa ação exclui todos os resultados atuais em andamento e não afeta os resultados já informados.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação Interromper uma busca exige os seguintes parâmetros:

Parâmetro Descrição
Hunt ID

Obrigatório.

O ID de uma caça a ser interrompida. Esse parâmetro aceita vários valores como uma string separada por vírgulas.

Saídas de ação

A ação Parar uma busca fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Parar uma busca:

[{ "Hunt_ID": "HUNT_ID", "State": STOPPED}]
Mensagens de saída

A ação Parar uma busca pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully stopped the following hunts: HUNT_ID_LIST.

Could not stop the following hunts. HUNT_ID_LIST could not be found in GRR.

Could not stop the following hunts: HUNT_ID_LIST. Hunt can only be stopped from STARTED or PAUSED states.

 A ação foi concluída.
Error executing action "Stop A Hunt". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Parar uma busca:

Nome do resultado do script Valor
is_success True ou False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.