iboss

Ce document explique comment intégrer iboss à Google SecOps.

Cas d'utilisation

  1. Effectuer des actions d'enrichissement : obtenir des données d'iboss pour enrichir les données des alertes Google Security Operations.
  2. Effectuer des actions actives : bloquer une adresse IP ou une URL dans iboss depuis Google SecOps.

Autorisation de produit

Pour s'authentifier, les actions effectuent deux requêtes. La première requête permet d'obtenir un jeton, et la seconde permet d'obtenir un jeton XSRF spécial.

Configurer l'intégration d'iboss dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom de l'instance Chaîne N/A Non Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description Chaîne N/A Non Description de l'instance.
Racine de l'API Cloud Chaîne https://cloud.iboss.com/ Oui Spécifiez la racine de l'API iboss Cloud.
Racine de l'API du compte Chaîne https://accounts.iboss.com/ Oui Spécifiez la racine de l'API du compte iboss.
Nom d'utilisateur Chaîne N/A Oui Spécifiez le nom d'utilisateur du compte iboss.
Mot de passe Mot de passe N/A Oui Spécifiez le mot de passe du compte iboss.
Vérifier le protocole SSL Case à cocher Décochée Non Si cette option est activée, vérifiez que le certificat SSL de la connexion au serveur cloud public iboss est valide.
Exécuter à distance Case à cocher Cochée Non Cochez le champ pour exécuter l'intégration configurée à distance. Une fois cette option cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Ping

Description

Testez la connectivité à iboss avec les paramètres fournis sur la page de configuration de l'intégration dans la page Hub de contenus Google SecOps.

Exécuter sur

Cette action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
En cas de réussite :
print "Successfully connected to the iboss server with the provided connection parameters!"

L'action doit échouer et arrêter l'exécution d'un playbook :
en cas d'échec :

print "Failed to connect to the iboss server! Error is {0}".format(exception.stacktrace)

 Général

Ajouter l'URL à la liste de blocage des règles

Description

Ajoutez l'URL à la liste de blocage iboss.

Trouver l'ID de catégorie

  1. Accédez à Web Security -> Policy Layers (Sécurité Web -> Couches de règles).
  2. Ouvrez la console des outils pour les développeurs (Ctrl+Maj+I dans Google Chrome).
  3. Accédez à l'onglet Réseau.
  4. Essayez de modifier la liste de blocage souhaitée.

Dans la console, vous verrez les requêtes en cours d'exécution. Recherchez le paramètre customCategoryId=xxxx parmi ces requêtes.

Paramètres
Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
ID de catégorie Integer 1001 Oui Spécifiez la catégorie de règle à laquelle vous souhaitez ajouter l'URL.
Priorité Integer 50 Oui Spécifiez la priorité de l'URL à bloquer.
Direction LDD

Destination

Valeurs possibles :

Destination

Source

Destination et source

 Oui Spécifiez la direction de l'URL.
Port de départ Integer N/A Non Spécifiez le port de départ associé à l'URL à bloquer. Remarque : Si seul "Port de début" ou "Port de fin" est spécifié, la valeur sera ajoutée aux deux paramètres d'action.
Port de fin Integer N/A Non Spécifiez le port de fin associé à l'URL à bloquer. Remarque : Si seul "Port de début" ou "Port de fin" est spécifié, la valeur sera ajoutée aux deux paramètres d'action.
Remarque Chaîne N/A Non Ajoutez une note concernant l'URL à bloquer.
Est une expression régulière Case à cocher Décochée Non Si cette option est activée, l'URL sera considérée comme une expression régulière.
Schéma de bandes Case à cocher Décochée Non Si cette option est activée, l'action supprime le schéma lié à l'URL.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • URL
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful and at least one of the provided URLs were blocked(is_success = true):
print "Successfully blocked the following URLs in the iboss category with ID {0}: \n {1}".format(category_id, entity.identifier list)

Si le blocage d'URL spécifiques échoue(is_success = true) :
print "Action was not able to block the following URLs in the iboss category with ID {0}\n: {1}".format(category_id, [entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :

print: "No URLs were blocked in the iboss category with ID {0}.".format(category_id)

Si la règle n'est pas une liste de blocage (is_success = false) :

print "Category with ID {category_id} is not associated with a Block list."

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to server, other:

print "Error executing action "Add URL to Policy Block List". Reason: {0}''.format(error.Stacktrace)

 Général

Ajouter l'adresse IP à la liste de blocage de la règle

Description

Ajoutez l'adresse IP à la liste de blocage iboss.

Trouver l'ID de catégorie

  1. Accédez à Web Security -> Policy Layers (Sécurité Web -> Couches de règles).
  2. Ouvrez la console des outils pour les développeurs (Ctrl+Maj+I dans Google Chrome).
  3. Accédez à l'onglet Réseau.
  4. Essayez de modifier la liste de blocage souhaitée.

Dans la console, vous verrez les requêtes en cours d'exécution. Recherchez le paramètre customCategoryId=xxxx parmi ces requêtes.

Paramètres
Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
ID de catégorie Integer 1001 Oui Spécifiez la catégorie de règle à laquelle vous souhaitez ajouter l'URL.
Priorité Integer 50 Oui Spécifiez la priorité de l'URL à bloquer.
Direction LDD

Destination

Valeurs possibles :

Destination

Source

Destination et source

 Oui Spécifiez la direction de l'URL.
Port de départ Integer N/A Non Spécifiez le port de départ associé à l'URL à bloquer. Remarque : Si seul "Port de début" ou "Port de fin" est spécifié, la valeur sera ajoutée aux deux paramètres d'action.
Port de fin Integer N/A Non Spécifiez le port de fin associé à l'URL à bloquer. Remarque : Si seul "Port de début" ou "Port de fin" est spécifié, la valeur sera ajoutée aux deux paramètres d'action.
Remarque Chaîne N/A Non Ajoutez une note concernant l'URL à bloquer.
Est une expression régulière Case à cocher Faux Non Si cette option est activée, l'URL sera considérée comme une expression régulière.

Exécuter sur

Cette action s'exécute sur l'entité "Adresse IP".

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful and at least one of the provided URLs were blocked(is_success = true):
print "Successfully blocked the following URLs in the iboss category with ID {0}: \n {1}".format(category_id, entity.identifier list)

Si le blocage d'URL spécifiques échoue(is_success = true) :
print "Action was not able to block the following URLs in the iboss category with ID {0}\n: {1}".format(category_id, [entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :

print: "No URLs were blocked in the iboss category with ID {0}.".format(category_id)

Si la règle n'est pas une liste de blocage (is_success = false) :

print "Category with ID {category_id} is not associated with a Block list."

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to server, other:

print "Error executing action "Add URL to Policy Block List". Reason: {0}''.format(error.Stacktrace)

 Général

Ajouter l'adresse IP à la liste de blocage de la règle

Description

Ajoutez l'adresse IP à la liste de blocage iboss.

Trouver l'ID de catégorie

  1. Accédez à Web Security -> Policy Layers (Sécurité Web -> Couches de règles).
  2. Ouvrez la console des outils pour les développeurs (Ctrl+Maj+I dans Google Chrome).
  3. Accédez à l'onglet Réseau.
  4. Essayez de modifier la liste de blocage souhaitée.

Dans la console, vous verrez les requêtes en cours d'exécution. Recherchez le paramètre customCategoryId=xxxx parmi ces requêtes.

Paramètres
Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
ID de catégorie Integer 1001 Oui Spécifiez la catégorie de règle à laquelle vous souhaitez ajouter l'adresse IP.
Priorité Integer 50 Oui Spécifiez la priorité de l'adresse IP à bloquer.
Direction LDD

Destination

Valeurs possibles :

Destination

Source

Destination et source

 Oui Spécifiez la direction de l'adresse IP.
Port de départ Integer N/A Non Spécifiez le port de départ associé à l'adresse IP à bloquer. Remarque : Si seul "Port de début" ou "Port de fin" est spécifié, la valeur sera ajoutée aux deux paramètres d'action.
Port de fin Integer N/A Non Spécifiez le port de fin associé à l'adresse IP à bloquer. Remarque : Si seul "Port de début" ou "Port de fin" est spécifié, la valeur sera ajoutée aux deux paramètres d'action.
Remarque Chaîne N/A Non Ajoutez une note concernant l'adresse IP à bloquer.
Est une expression régulière Case à cocher Décochée Non Si cette option est activée, l'adresse IP sera considérée comme une expression régulière.

Exécuter sur

Cette action s'exécute sur l'entité "Adresse IP".

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite et si au moins l'une des adresses IP fournies a été bloquée(is_success = true) :
print "Successfully blocked the following IPs in the iboss category with ID {0}: \n {1}".format(category_id, entity.identifier list)

Si le blocage d'adresses IP spécifiques échoue(is_success = true) :
print "Action was not able to block the following IPs in the iboss category with ID {0}\n: {1}".format(category_id, [entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :

print: "No IPs were blocked in the iboss category with ID {0}.".format(category_id)

Si la règle n'est pas une liste de blocage (is_success = false) :

print "Category with ID {category_id} is not associated with a Block list."

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to server, other:

print "Error executing action "Add IP to Policy Block List". Reason: {0}''.format(error.Stacktrace)

 Général

Lister les entrées de la liste de blocage des règles

Description

Renvoyer les entrées de la liste de blocage iboss dans un groupe spécifique.

Trouver l'ID de catégorie

  1. Accédez à Web Security -> Policy Layers (Sécurité Web -> Couches de règles).
  2. Ouvrez la console des outils pour les développeurs (Ctrl+Maj+I dans Google Chrome).
  3. Accédez à l'onglet Réseau.
  4. Essayez de modifier la liste de blocage souhaitée.

Dans la console, vous verrez les requêtes en cours d'exécution. Recherchez le paramètre customCategoryId=xxxx parmi ces requêtes.

Paramètres
Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
ID de catégorie Integer 1001 Oui Spécifiez dans quelle catégorie de règles vous souhaitez lister les entrées de la liste de blocage.
Nombre maximal d'entrées à renvoyer Integer 50 Oui Spécifiez le nombre d'entrées à renvoyer.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Résultat JSON
{
    "entries": [
       {
          "direction": 0,
          "endPort": 0,
          "isRegex": 0,
          "note": "",
          "priority": 0,
          "startPort": 0,
          "type": 0,
          "url": "asaa.com",
          "weight": 501
       }
    ],
    "message": ""
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful returned and is available data(is_success = true):
print "Successfully listed entries from the iboss Block List in a category with ID '{0}'".format(category_id)

Si la requête est renvoyée et qu'aucune donnée n'est disponible (is_success = false) :

print: "No Block List entries were found in the iboss category with ID {0}.".format(category_id)

Si la règle n'est pas une liste de blocage : (is_success = false)

Affichez "La catégorie avec l'ID {category_id} n'est pas associée à une liste de blocage."

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to server, other:

print "Error executing action "List Policy Block List Entries". Reason: {0}''.format(error.Stacktrace)

 Général
Mur des cas CSV

Nom : "Entrées de la liste de blocage". Catégorie {0}".format(Category)

Colonnes :

  • Nom (mappé en tant qu'URL)
  • Priorité (mappée en tant que priorité)
  • Poids (mappé en tant que poids)
  • Direction (mappée en tant que direction. Vérifier le comportement de l'action)
  • Port de début (mappé en tant que startPort)
  • Port de fin (mappé en tant que endPort)
  • Note (mappée en tant que note)
  • Expression régulière (mappée en tant que isRegex. 1 = Vrai, 0 = Faux)

Supprimer l'URL de la liste de blocage des règles

Description

Supprimez l'URL de la liste de blocage iboss.

Trouver l'ID de catégorie

  1. Accédez à Web Security -> Policy Layers (Sécurité Web -> Couches de règles).
  2. Ouvrez la console des outils pour les développeurs (Ctrl+Maj+I dans Google Chrome).
  3. Accédez à l'onglet Réseau.
  4. Essayez de modifier la liste de blocage souhaitée.

Dans la console, vous verrez les requêtes en cours d'exécution. Recherchez le paramètre customCategoryId=xxxx parmi ces requêtes.

Paramètres
Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
ID de catégorie Integer 1001 Oui Spécifiez la catégorie de règles de laquelle vous souhaitez supprimer l'URL.
Port de départ Integer N/A Non Spécifiez le port de départ associé à l'URL à supprimer. Ce paramètre est obligatoire si l'URL souhaitée comporte un port de départ défini. Il s'agit d'une limitation d'iboss.
Port de fin Integer N/A Non Spécifiez le port de fin associé à l'URL à supprimer. Ce paramètre est obligatoire si l'URL souhaitée comporte un port de fin défini. Il s'agit d'une limitation d'iboss.
Schéma de bandes Case à cocher Décoché Non Si cette option est activée, l'action supprime le schéma lié à l'URL.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • URL
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite et si au moins l'une des URL fournies a été supprimée (is_success = true) :
print "Successfully removed the following URLs from the iboss category with ID {0}: \n {1}".format(category_id, entity.identifier list)

Si la suppression d'URL spécifiques échoue(is_success = true) :

print "Action was not able to remove the following URLs from the category with ID {0}\n: {1}".format(category_id, [entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :

Print: "No URLs were removed from the iboss category with ID {0}.".format(category_id)

Si la règle n'est pas une liste de blocage (is_success = false) :

Affichez "La catégorie avec l'ID {category_id} n'est pas associée à une liste de blocage."

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'erreur fatale (identifiants incorrects, absence de connexion au serveur, etc.) :

print "Error executing action "Remove URL from Policy Block List". Reason: {0}''.format(error.Stacktrace)

 Général

Supprimer l'adresse IP de la liste de blocage de la règle

Description

Supprimez l'adresse IP de la liste de blocage iboss.

Trouver l'ID de catégorie

  1. Accédez à Web Security -> Policy Layers (Sécurité Web -> Couches de règles).
  2. Ouvrez la console des outils pour les développeurs (Ctrl+Maj+I dans Google Chrome).
  3. Accédez à l'onglet Réseau.
  4. Essayez de modifier la liste de blocage souhaitée.

Dans la console, vous verrez les requêtes en cours d'exécution. Recherchez le paramètre customCategoryId=xxxx parmi ces requêtes.

Paramètres
Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
ID de catégorie Integer 1001 Oui Spécifiez la catégorie de règle de laquelle vous souhaitez supprimer l'adresse IP.
Port de départ Integer N/A Non Spécifiez le port de départ associé à l'adresse IP à supprimer. Ce paramètre est obligatoire si l'URL souhaitée comporte un port de départ défini. Il s'agit d'une limitation d'iboss.
Port de fin Integer N/A Non Spécifiez le port de fin associé à l'adresse IP à supprimer. Ce paramètre est obligatoire si l'adresse IP souhaitée possède un port de fin défini. Il s'agit d'une limitation d'iboss.

Exécuter sur

Cette action s'exécute sur l'entité "Adresse IP".

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit et qu'au moins une des URL fournies a été supprimée (is_success = true) :
print "Successfully removed the following IPs from the iboss category with ID {0}: \n {1}".format(category_id, entity.identifier list)

Si la suppression d'URL spécifiques échoue(is_success = true) :

print "Action was not able to remove the following IPs from the iboss category with ID {0}\n: {1}".format(category_id, [entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :

print: "No IPs were removed from the iboss category with ID {0}.".format(category_id)

Si la règle n'est pas une liste de blocage : (is_success = false)

Affichez "La catégorie avec l'ID {category_id} n'est pas associée à une liste de blocage."

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to the server, other:

print "Error executing action "Remove IP from Policy Block List". Reason: {0}''.format(error.Stacktrace)

 Général

Recherche d'URL

Description

Effectuer une recherche d'URL.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
ID du groupe Integer N/A Non Spécifiez le groupe pour lequel effectuer une recherche d'URL. Si rien n'est spécifié, le groupe "Default" sera utilisé.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

  • URL
  • Nom d'hôte

Résultats de l'action

Enrichissement d'entités
Nom du champ d'enrichissement Source (clé JSON) Logique : quand les utiliser ?
IBOSS_group_{group_id}_categories categories Lorsqu'il est disponible au format JSON
IBOSS_group_{group_id}_action action Lorsqu'il est disponible au format JSON
IBOSS_group_{group_id}_message message Lorsqu'il est disponible au format JSON
Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Résultat JSON
{
    "action": "Not Blocked",
    "categories": "Pornography/Nudity",
    "message": "Url Known."
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit et qu'au moins une des URL fournies a été recherchée (is_success = true) :
print "Successfully retrieved information about the following URLs: \n {0}".format( entity.identifier list)

Si la recherche d'URL spécifiques échoue(is_success = true) :

Imprimer : "L'action n'a pas pu récupérer les informations sur les URL suivantes\n: {0}".format([entity.identifier])

Si la recherche échoue pour toutes les entités (is_success = false) :

Affichez "Aucune information n'a été récupérée sur les URL."

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to the server, other:

print "Error executing action "URL Lookup". Reason: {0}''.format(error.Stacktrace)

 Général

Recatégorisation d'URL

Description

Envoyez l'URL pour recatégorisation.

Exécuter sur

Cette action s'exécute sur l'entité URL.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit et qu'au moins l'une des URL fournies a été envoyée(is_success = true) :
print "Successfully submitted the following URLs for recategorization: \n {0}".format( entity.identifier list)

Si la suppression d'URL spécifiques échoue(is_success = true) :

print "Action was not able to submit the following URLs for recategorization\n: {0}".format([entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :

print: "No URLs were submitted for recategorization."

L'action doit échouer et arrêter l'exécution d'un playbook :

if fatal error, like wrong credentials, no connection to server, other:

print "Error executing action "URL Recategorization". Reason: {0}''.format(error.Stacktrace)

 Général

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.