Illusive Networks

Versão da integração: 3.0

Exemplos de utilização de produtos

  1. Realizar ações ativas: executar análises forenses, enriquecer entidades, adicionar/remover utilizadores/servidores de engano.
  2. Carregue incidentes no Simplify.

Configure a integração da Illusive Networks no Google Security Operations

Para obter instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Raiz da API String http://x.x.x.x Sim Raiz da API da instância da Illusive Networks.
Chave de API Palavra-passe N/A Sim

Chave da API da Illusive Networks.
Nota: a string "Basic" não deve fazer parte do valor.
Ficheiro de certificado da AC String Falso Ficheiro de certificado da AC codificado em Base64.
Validar SSL Caixa de verificação Marcado Sim Se estiver ativada, valide se o certificado SSL para a ligação ao servidor da Illusive Networks é válido.

Como gerar uma chave da API

  1. Navegue para a secção "Definições" na consola da Illusive Networks
  2. Na secção "Geral", desloque a página para baixo até à parte "Chaves de API".
  3. Prima o botão "Adicionar chave".
  4. Recomendamos que adicione todas as autorizações à chave da API.
  5. A partir da string fornecida, tem de copiar tudo, exceto a string "Basic".
  6. Introduza esse valor no parâmetro "Chave da API" da integração do Google SecOps.

Como atualizar o limite de taxa

Existe um limite de taxa para determinados pontos finais nas redes ilusórias. Para o conector, é fundamental que o limite seja suficientemente elevado para que todos os incidentes sejam carregados. Para atualizar o limite de taxa, tem de iniciar sessão no servidor de gestão e navegar para: C:\Program Files\illusive-Management-Server-3.1.XXX.XXXX\conf\general.properties.txt

No ficheiro, procure as seguintes propriedades:

  • api.incident.rate.limit.maximum.num.requests
  • api.rate.limit.windows.duration.minutes

Recomendamos que a configuração seja a seguinte:

  • api.incident.rate.limit.maximum.num.requests=100
  • api.rate.limit.windows.duration.minutes=1
  • api.monitoring.rate.limit.maximum.num.requests = 100
  • api.forensics.rate.limit.maximum.num.requests = 100

Ações

Tchim-tchim

Descrição

Teste a conetividade com a Illusive Networks com os parâmetros fornecidos na página de configuração da integração no separador Google Security Operations Marketplace.

Parâmetros

N/A

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

Se tiver êxito: "Ligação estabelecida com êxito ao servidor da Illusive Networks com os parâmetros de ligação fornecidos!"

Sem êxito: (falha) – Não foi possível estabelecer ligação ao servidor da Illusive Networks! O erro é {0}".format(exception.stacktrace)

 Geral

Enriquecer entidades

Descrição

Enriqueça as entidades com informações da Illusive Networks. Entidades suportadas: Nome do anfitrião.

Parâmetros

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
N/A

Executar em

Esta ação é executada na entidade anfitriã.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado JSON
{
    "machineId": "00428a29-0343-4e13-aa97-3b624739c509",
    "machineName": "HELLO",
    "isHealthy": false,
    "lastDeploymentMethodType": "WMI",
    "distinguishedName": "CN=HELLO,CN=Computers,dc=iln,dc=local",
    "groupName": null,
    "sourceDiscoveryName": "iln.local",
    "collectData": true,
    "policyName": null,
    "assignmentStatus": "ANALYSIS",
    "operatingSystemType": "Windows",
    "operatingSystemName": "Windows Server 2016 Standard Evaluation",
    "operatingSystemVersion": "10.0 (14393)",
    "agentVersion": null,
    "bitness": null,
    "loggedInUserName": null,
    "lastLogonTime": 1613078764501,
    "succeededDeceptionFamilies": 0,
    "shouldBeUninstalledDeceptionFamilies": 0,
    "desiredDeceptionFamilies": 0,
    "deceptionFamiliesPercentages": null,
    "lastExecutionType": "AGENT",
    "machineLastExecutionPhaseType": "CONNECTION",
    "machineLastExecutionPhaseStatus": "FAILURE",
    "machineLastExecutionPhaseErrorMessage": "Unreachable - no ping",
    "mitigationStatusType": null,
    "machineExecutionUnifiedStatus": "FAILURE_CONNECTION",
    "machineLastExecutionPhaseFinishDate": "2021-02-12T10:17:30.623Z",
    "endpointTrapHealthCheckHostStatus": "NotTested",
    "endpointTrapHealthCheckHostStatusLastUpdated": null,
    "failedDeceptionFamilies": 0,
    "inProgressDeceptionFamilies": 0,
    "notDeployedDeceptionFamilies": 0,
    "policyId": null,
    "ghost": false
}
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
ILLNET_machineName Quando disponível em JSON (informações do anfitrião)
ILLNET_isHealthy Quando disponível em JSON (informações do anfitrião)
ILLNET_host Quando disponível em JSON (informações do anfitrião)
ILLNET_distinguishedName Quando disponível em JSON (informações do anfitrião)
ILLNET_sourceDiscoveryName Quando disponível em JSON (informações do anfitrião)
ILLNET_policyName Quando disponível em JSON (informações do anfitrião)
ILLNET_operatingSystemName Quando disponível em JSON (informações do anfitrião)
ILLNET_agentVersion Quando disponível em JSON (informações do anfitrião)
ILLNET_loggedInUserName Quando disponível em JSON (informações do anfitrião)
ILLNET_machineExecutionUnifiedStatus Quando disponível em JSON (informações do anfitrião)
ILLNET_bitness Quando disponível em JSON (informações do anfitrião)
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução de um manual de procedimentos:
se os dados estiverem disponíveis para, pelo menos, uma entidade (is_success = true): "Enriqueci com êxito as seguintes entidades através da Illusive Networks: \n {entity.identifier}".

se os dados não estiverem disponíveis para, pelo menos, uma entidade (is_success = true): "Não foi possível enriquecer as seguintes entidades com a Illusive Networks: \n {entity.identifier}".

if data not available for all (is_success = false): "No entities were enriched".

A ação deve falhar e parar a execução de um playbook:
se ocorrer um erro fatal, como credenciais incorretas, nenhuma ligação ao servidor ou outro: "Erro ao executar a ação "Enriquecer entidades". Motivo: {0}''.format(error.Stacktrace)

Se o código de estado for 429: "Erro ao executar a ação "Enrich Entities". Motivo: erro de limite de taxa. Consulte a documentação sobre como aumentar o limite de velocidade".

 Geral
Tabela de parede da caixa

Nome: {entity.identifier}

Só existem 2 colunas: chave e valor.

 Entidade

Execute uma análise forense

Descrição

Execute uma análise forense no ponto final nas redes ilusórias. Funciona com entidades de IP e nome de anfitrião.

Parâmetros

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Inclua informações do sistema Caixa de verificação Marcado Sim Se estiver ativada, a ação devolve informações do sistema.
Inclua informações de ficheiros de pré-obtenção Caixa de verificação Marcado Sim Se estiver ativada, a ação devolve informações sobre os ficheiros de obtenção prévia.
Inclua informações de adicionar/remover programas Caixa de verificação Marcado Sim Se estiver ativada, a ação devolve informações sobre programas de adição/remoção.
Inclua informações sobre os processos de arranque Caixa de verificação Marcado Sim Se estiver ativada, a ação devolve informações sobre os processos de arranque.
Inclua informações sobre processos em execução Caixa de verificação Marcado Sim Se estiver ativada, a ação devolve informações sobre os processos em execução.
Inclua informações de programas de assistência ao utilizador Caixa de verificação Marcado Sim Se estiver ativada, a ação devolve informações sobre programas de assistência ao utilizador.
Inclua informações do histórico do Powershell Caixa de verificação Marcado Sim Se estiver ativada, a ação devolve informações sobre o histórico do PowerShell.

Máximo de artigos a devolver

 Número inteiro 50 Não Especifique quantos artigos quer devolver. Se não for fornecido nada, a ação devolve tudo.

Executar em

Esta ação é executada nas seguintes entidades:

  • Endereço IP
  • Anfitrião

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado JSON
{
    "Entity.identifier": {
        "host_info": "{Host_info part}",
        "prefetch_info": "{prefetch_info}",
        "installed_programs_info": "{installed_programs_info}",
        "startup_processes": "{startup_processes}",
        "running_processes": "{running_processes}",
        "user_assist_info": "{user_assist_info}",
        "powershell_history": "{powershell history}"
    }
}
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
ILLNET_osName Quando disponível em JSON (informações do anfitrião)
ILLNET_machineType Quando disponível em JSON (informações do anfitrião)
ILLNET_host Quando disponível em JSON (informações do anfitrião)
ILLNET_loggedInUser Quando disponível em JSON (informações do anfitrião)
ILLNET_userProfiles Quando disponível em JSON (informações do anfitrião)
ILLNET_operatingSystemType Quando disponível em JSON (informações do anfitrião)
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução de um manual de procedimentos:
se for executada com êxito para, pelo menos, um (is_success = true): "Successfully ran forensic scan on the following endpoints in Illusive Networks: {entity.identifier}" (A análise forense foi executada com êxito nos seguintes pontos finais nas redes ilusórias: {entity.identifier})

Se não for bem-sucedido para, pelo menos, um: "Não foi possível obter informações da análise forense nos seguintes pontos finais: {entity.identifier}"

Se não houver êxito para todos: "Não foram encontradas informações forenses nos endpoints fornecidos."

Mensagem assíncrona: "Iniciou a análise forense nos seguintes pontos finais: {entity identifier}. \n

Análise forense concluída nos seguintes pontos finais."

A ação deve falhar e parar a execução de um manual de procedimentos:
se ocorrer um erro fatal, como credenciais incorretas, nenhuma ligação ao servidor ou outro: "Erro ao executar a ação "Executar análise forense". Motivo: {0}''.format(error.Stacktrace)

Se nenhum dos parâmetros "include …" estiver ativado: "Erro ao executar a ação "Executar análise forense". Motivo: tem de ativar, pelo menos, um dos parâmetros "Include ..."

 Geral
Case Wall Table Host Info

Nome: {entity.identifier}

Só existem 2 colunas: chave e valor.

 Entidade
Case Wall Table Prefetch_Info

Nome: "{entity.identifier}: Prefetch Files Information"

Colunas:

Nome do ficheiro

Hora da última execução

Hora da modificação do ficheiro

Nome do ficheiro de obtenção prévia

Geral

Tabela de parede da caixa

INSTALLED_PROGRAMS_INFO

Nome: "{entity.identifier}: Informações de adicionar/remover programas"

Colunas:

Nome a apresentar

Nome do ficheiro

 Geral

Tabela de parede da caixa

STARTUP_PROCESSES

Nome: "{entity.identifier}: Startup Processes"

Colunas:

Nome

Comando

Localização

Utilizador

Geral

Tabela de parede da caixa

RUNNING_PROCESSES

Nome: "{entity.identifier}: Processos em execução"

Colunas:

Utilizador

Privilégios de administrador

Comando

ID do processo

Nome do processo

Hora de início

Geral

Tabela de parede da caixa

USER_ASSIST_INFO

Nome: "{entity.identifier}: Informações sobre programas de assistência ao utilizador"

Colunas:

Nome do ficheiro

Nome de utilizador

Data da última utilização

****

Tabela de parede da caixa

POWER_SHELL_HISTORY

Nome: "{entity.identifier}: Powershell History"

Colunas:

Nome de utilizador

Comando

Listar itens enganosos

Descrição

Liste os itens enganosos disponíveis na Illusive Networks.

Parâmetros

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Tipo enganoso LDD

Tudo

Valores possíveis:

Tudo

Apenas utilizadores

Apenas servidores

 Sim Especifique o tipo de artigos enganosos que devem ser devolvidos.
Estado fraudulento LDD

Tudo

Valores possíveis:

Tudo

Apenas aprovado, apenas sugerido

Sim Especifique que tipo de itens enganosos devem ser devolvidos com base no estado.
Máximo de artigos a devolver Número inteiro 50 Não Especifique quantos artigos quer devolver. Predefinição: 50. Se não for especificado nada, a ação devolve todos os itens.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado JSON
{
    "users": [
        {
            "username": "backupad",
            "password": "5437niwY",
            "domainName": "intw-lab.local",
            "policyNames": [
                "Full Protection"
            ],
            "adUser": false,
            "activeUser": false,
            "deceptiveState": "APPROVED"
        },
        {
            "username": "jvillar",
            "password": "ritA1102",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        },
        {
            "username": "gaccess.user",
            "password": "psUiS01",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        },
        {
            "username": "service.user",
            "password": "mAkaYe4",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        }
    ],
    "servers": [
        {
            "host": "10.0.0.2",
            "serviceTypes": [
                "DB"
            ],
            "policyNames": [
                "Full Protection"
            ],
            "adHost": false,
            "deceptiveState": "APPROVED"
        },
        {
            "host": "10.0.0.1",
            "serviceTypes": [
                "DB"
            ],
            "policyNames": [
                "Full Protection"
            ],
            "adHost": false,
            "deceptiveState": "APPROVED"
        }
    ]
}
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução de um playbook:
se 200 e os dados estiverem disponíveis (is_success = true): "Successfully returned available deceptive items from Illusive Networks".

Se 200 e não estiverem disponíveis dados (is_success=false) "Não foram encontrados dados relativos a itens enganosos com base nos critérios fornecidos na Illusive Networks."

A ação deve falhar e parar a execução de um manual de soluções:
se ocorrer um erro fatal, como credenciais incorretas, nenhuma ligação ao servidor, entre outros: "Erro ao executar a ação "Listar itens enganosos". Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela de parede da caixa

Nome: "Utilizadores enganosos"

Coluna:

Nome de utilizador

Palavra-passe

Domínio

Políticas

Utilizador do AD

Ativo

Estado

Geral
Tabela de parede da caixa

Nome: "Servidores enganosos"

Coluna:

Anfitrião

Serviços

Políticas

Servidor de AD

Estado

Geral

Adicione um utilizador enganoso

Descrição

Adicione utilizadores enganosos na Illusive Networks.

Parâmetros

Nome Valor predefinido É obrigatório Descrição
Nome de utilizador N/A Sim Especifique o nome de utilizador do novo utilizador enganoso.
Palavra-passe N/A Sim Especifique a palavra-passe do novo utilizador enganoso.
Domínio DNS N/A Não Especifique o nome do domínio do novo utilizador enganoso.
Nomes das políticas N/A Não Especifique uma lista de políticas separadas por vírgulas que têm de ser aplicadas ao novo utilizador enganador. Se não for fornecido nada, a ação usa por predefinição todas as políticas.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

Êxito (is_success=true) → O utilizador enganoso foi adicionado com êxito às redes ilusórias.

Caso 1. User Already Exists (fail): erro ao executar a ação "{action name}". Motivo: o utilizador enganoso "{username}" já existe.

Caso 2. Código de estado 400 (falha): erro ao executar a ação "{action name}". Motivo: {error message}.

Caso 3. Erro geral (falha): erro ao executar a ação "{action name}". Motivo: {error traceback}.

 Geral

Remova utilizadores enganosos

Descrição

Remova o utilizador enganador da Illusive Networks.

Parâmetros

Nome Valor predefinido É obrigatório Descrição
Nome de utilizador N/A Sim Especifique o nome de utilizador do utilizador enganoso que tem de ser removido.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

Êxito → O utilizador enganoso foi removido com êxito nas redes ilusórias.

Caso 1. O utilizador não existe (is_success=false) - não foi possível remover o utilizador enganoso "{username}". Motivo: o utilizador enganoso "{username}" não existe.

Caso 2. Erro geral (falha) – Erro ao executar a ação "{action name}". Motivo: {error traceback}.

 Geral

Adicione um servidor enganoso

Descrição

Adicione servidores enganosos na Illusive Networks.

Parâmetros

Nome Valor predefinido É obrigatório Descrição
Nome do servidor N/A Sim Especifique o nome do novo servidor enganoso.
Tipos de serviços DB Sim Especifique uma lista separada por vírgulas de tipos de serviços para o novo servidor enganoso.
Nomes das políticas Não Especifique uma lista de políticas separadas por vírgulas que têm de ser aplicadas ao novo servidor enganoso. Se não for fornecido nada, a ação usa por predefinição todas as políticas.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

Êxito (is_success=true) → Servidor enganoso adicionado com êxito em redes ilusórias.

Caso 1. O servidor já existe (falha) – erro ao executar a ação "{action name}". Motivo: já existe um servidor enganoso "{server name}".

Caso 2. Estado 400 (falha) – erro ao executar a ação "{action name}". Motivo: {error message}.

Caso 3. Erro geral - Erro ao executar a ação "{action name}". Motivo: {error traceback}.

 Geral

Remova o servidor enganoso

Descrição

Remova o servidor enganoso da Illusive Networks.

Parâmetros

Nome Valor predefinido É obrigatório Descrição
Nome do servidor N/A Sim Especifique o nome do servidor enganoso que tem de ser removido.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

Êxito → O servidor enganoso foi removido com êxito nas redes ilusórias.

Caso 1. O servidor não existe (is_success=false) - Não foi possível remover o servidor enganoso "{server name}". Motivo: o servidor enganoso "{server name}" não existe.

Caso 2. Erro geral - Erro ao executar a ação "{action name}". Motivo: {error traceback}.

 Geral

Conetores

Illusive Networks - Incidents Connector

Descrição

Extraia incidentes com a cronologia forense relacionada da Illusive Networks.

Configure o conetor de incidentes da Illusive Networks no Google SecOps

Para ver instruções detalhadas sobre como configurar um conetor no Google SecOps, consulte o artigo Configurar o conetor.

Parâmetros do conetor

Use os seguintes parâmetros para configurar o conector:

Nome a apresentar do parâmetro Type> Valor predefinido É obrigatório Descrição
Nome do campo do produto String Nome do produto Sim Introduza o nome do campo de origem para obter o nome do campo do produto.
Nome do campo de evento String details_serviceType Sim Introduza o nome do campo de origem para obter o nome do campo do evento.
Nome do campo do ambiente String "" Não

Descreve o nome do campo onde o nome do ambiente está armazenado.

Se o campo do ambiente não for encontrado, o ambiente é o ambiente predefinido.
Padrão de regex do ambiente String .* Não

Um padrão de regex a executar no valor encontrado no campo "Nome do campo do ambiente".

A predefinição é .* para captar tudo e devolver o valor inalterado.

Usado para permitir que o utilizador manipule o campo do ambiente através da lógica de regex.

Se o padrão regex for nulo ou estiver vazio, ou o valor do ambiente for nulo, o resultado final do ambiente é o ambiente predefinido.
Limite de tempo do script (segundos) Número inteiro 180 Sim Limite de tempo limite para o processo Python que executa o script atual.
Raiz da API String http://x.x.x.x Sim Raiz da API da instância da Illusive Networks.
Chave de API String N/A Sim Chave da API da Illusive Networks. Nota: a string "Basic" não deve fazer parte do valor.
Gravidade do alerta String Médio Sim

Gravidade do alerta do Google SecOps que vai ser criado com base nos incidentes da Illusive Networks.

Valores possíveis:

Informativas

Baixo

Médio

Alto

Crítico
Máximo de horas para trás Número inteiro 1 Não Número de horas a partir das quais obter incidentes.
Máximo de incidentes a obter Número inteiro 10 Não O número de incidentes a processar por iteração de um conetor. O máximo é 1000.
Use a lista de autorizações como uma lista negra Caixa de verificação Marcado Sim Se estiver ativada, a lista de autorizações é usada como uma lista negra.
Validar SSL Caixa de verificação Desmarcado Sim Se estiver ativada, valide se o certificado SSL para a ligação ao servidor da Illusive Networks é válido.
Ficheiro de certificado da AC String N/A Não Ficheiro de certificado da AC codificado em Base64.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a usar.
Nome de utilizador do proxy String N/A Não O nome de utilizador do proxy para autenticação.
Palavra-passe do proxy Palavra-passe N/A Não A palavra-passe do proxy para autenticação.

Regras do conetor

Suporte de proxy

O conetor suporta proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.