IntSights

本文档提供了有关如何将 IntSights 与 Google SecOps 集成的指南。

在 Google Security Operations 中配置 IntSights 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

操作

添加备注

说明

在 IntSights 中向提醒添加备注。

参数

参数显示名称 类型 默认值 为必需参数 说明
提醒 ID 字符串 不适用 是 指定要向哪个提醒添加注释。
注意 字符串 不适用 是 指定提醒的备注。

Run On

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功 (is_success=true)：“已成功向 Intsights 中 ID 为 '{0}' 的提醒添加备注”。format(提醒 ID)

操作应失败并停止 playbook 执行：

如果系统报告了致命错误，例如凭据错误、无法连接到服务器或其他错误：“执行操作‘添加注释’时出错。原因：{0}''.format(error.Stacktrace)

如果报告了 404 状态代码：“执行操作‘添加备注’时出错。原因：在 IntSights 中找不到 ID 为 {alert id} 的提醒。

 常规

向分析师提问

说明

向分析师咨询 IntSights 中的提醒。

参数

参数显示名称 类型 默认值 为必需参数 说明
提醒 ID 字符串 不适用 是 指定您要向分析师提问的提醒的 ID。
评论 字符串 不适用 是 指定分析师的评论。

Run On

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功： “已成功在 Intsights 中向 ID 为 '{0}' 的提醒中的分析师提问”。format(提醒 ID)

如果报告了 400 或 500 状态代码： “无法在 Intsights 中向 ID 为 {0} 的提醒中的分析师提出问题。Reason: {1}.".format(alert_id, response string)

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器、其他错误）： “执行操作‘向分析师提问’时出错。原因：{0}''.format(error.Stacktrace)

 常规

分配提醒

说明

在 IntSights 中将提醒分配给分析师。

参数

参数显示名称 类型 默认值 为必需参数 说明
提醒 ID 字符串 不适用 是 指定要更改分配的提醒的 ID。
受让人 ID 字符串 不适用 否

指定应分配给相应提醒的分析师的 ID。
注意：如果同时指定了“受让人 ID”和“受让人电子邮件地址”，操作将优先考虑“受让人 ID”。
受让人电子邮件地址 字符串 不适用 否

指定应分配给相应提醒的分析师的电子邮件地址。
注意：如果同时指定了“受让人 ID”和“受让人电子邮件地址”，操作将优先考虑“受让人 ID”。

Run On

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功分配了受让人 ID： “Successfully assigned analyst with ID '{0}' to the alert with ID {1} in Intsights ".format(assignee id, alert id)

如果成功分配了电子邮件地址：“Successfully assigned analyst with email address '{0}' to the alert with ID {1} in Intsights ".format(assignee email address, alert id)

如果找不到受让人，状态代码为 400，并显示“worked with assignee ID”：

“操作无法更改 ID 为 {0} 的提醒的分配。原因：找不到 ID 为 {1} 的受让人。".format(alert_id, assignee id)"


如果找不到受让人，状态代码为 400，并且使用了受让人电子邮件地址： “操作无法更改 ID 为 {0} 的提醒的分配。原因：找不到电子邮件地址为 {1} 的受让人。format(alert_id, email address)"

如果报告了 400 或 500 状态代码： “无法更改 ID 为 {0} 的提醒的分配。Reason: {1}.".format(alert_id, response)

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器、其他错误）： “执行操作‘分配提醒’时出错。原因：{0}''.format(error.Stacktrace)

如果未指定“指派对象 ID”和“指派对象电子邮件地址”参数： “应指定指派对象 ID 或电子邮件地址。”

 常规

关闭提醒

说明

关闭 IntSights 中的提醒。

参数

参数显示名称 类型 默认值 为必需参数 说明
提醒 ID 字符串 不适用 是 指定要关闭的提醒的 ID。
原因 DDL

问题已解决

可能的值：

  • 问题已解决
  • 仅供参考
  • 我们已知的问题
  • 公司自有网域
  • 合法应用/个人资料
  • 与我的公司无关
  • 假正例
  • 其他
 是 指定需要关闭相应提醒的原因。
附加信息 字符串 不适用 否 指定其他信息，说明为何应关闭相应提醒。
费率 整数 5 否 指定提醒的评级。最大值为 5。

Run On

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已成功关闭 Intsights 中 ID 为 '{0}' 的提醒”。format(提醒 ID)

如果报告了 400 状态代码：“操作无法在 Intsights 中关闭 ID 为 {0} 的提醒。Reason: {1}.".format(alert_id, response string)

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器、其他错误）： “执行操作‘关闭提醒’时出错。原因：{0}''.format(error.Stacktrace)

如果“Rate”参数不在 1-5 范围内： “Rate value should be in range from 1 to 5.”（评分值应介于 1 到 5 之间）。

 常规

下载提醒 CSV 文件

说明

下载包含 IntSights 中与提醒相关的信息的 CSV 文件。

参数

参数显示名称 类型 默认值 为必需参数 说明
提醒 ID 字符串 不适用 是 指定要下载 CSV 文件的提醒的 ID。
下载文件夹路径 字符串 不适用 是 指定要存储 CSV 文件的文件夹的路径。
覆盖 复选框 不适用 否 如果启用，该操作将覆盖同名文件。

Run On

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
{
    "absolute_paths": ["/opt/file_1"]
}
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少有一个 CSV 文件成功下载 (is_success=true)： “已成功下载 Intsights 中 ID 为 {0} 的提醒对应的 CSV 文件：”.format(alert_id)

如果报告了 400 状态代码 (is_success=true)： “在 Intsights 中未找到 ID 为 {alert_id} 的提醒的 CSV 信息。”

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、未连接到服务器、其他错误）：

“执行操作‘下载提醒 CSV’时出错。原因：{0}''.format(error.Stacktrace)

如果已存在同名文件，但“Overwrite”设置为 false： “执行操作‘下载提醒 CSV’时出错。原因：路径为 {0} 的文件已存在。请删除该文件或将“Overwrite”设置为 true。”

如果报告了 404 状态代码： “执行操作‘下载提醒 CSV’时出错。原因：找不到 ID 为 {ID} 的提醒

 常规

获取提醒图片

说明

检索有关 IntSights 中提醒图片的信息。

参数

参数显示名称 类型 默认值 为必需参数 说明
提醒图片 ID CSV 不适用 是

指定以逗号分隔的提醒图片 ID 列表。
示例：id1,id2。

Run On

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
  {
    "image_name": "5b59daf4bdafd90xxxxxx",
    "image_base64_content": "image content in base64"
  }
]
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少有一张图片成功检索：“Successfully retrieved images from the following IDs in Intsights:”（已成功从 Intsights 中检索到以下 ID 对应的图片：）。format(list of ids)

如果至少有一张图片未成功检索： “无法成功从 Intsights 中的以下 ID 检索图片：\n”.format(list of ids)

如果并非所有图片都成功检索： “未检索到任何图片”。

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器、其他错误）： “执行操作‘获取提醒图片’时出错。原因：{0}''.format(error.Stacktrace)

 常规

Ping

说明

检查连接。

参数

不适用

使用场景

不适用

Run On

此操作在网址实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
N/A
实体扩充

不适用

数据分析

不适用

重开提醒

说明

在 IntSights 中重开提醒。

参数

参数显示名称 类型 默认值 为必需参数 说明
提醒 ID 字符串 不适用 True 指定要重新打开的提醒的 ID。

Run On

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功： “已在 Intsights 中成功重新打开 ID 为 '{0}' 的提醒”。format(提醒 ID)

如果报告了 400 状态代码：“无法在 Intsights 中重新打开 ID 为 {0} 的提醒。Reason: {1}.".format(alert_id, response string)

操作应失败并停止 playbook 执行：

如果报告了致命错误（例如凭据错误、无法连接到服务器、其他错误）： “执行操作‘重新打开提醒’时出错。原因：{0}''.format(error.Stacktrace)

 常规

搜索 IOC

说明

在一个简单易用的信息中心内整理和搜索所有 IOC。集中式 TIP 信息中心会按严重程度和可信度总结 IOC，以便您轻松了解哪些恶意 IOC 对贵组织构成最大风险。

参数

不适用

使用场景

不适用

Run On

此操作会针对所有实体运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[{
   "EntityResult":
     {
        "Status": "Active",
        "Domain": "sephoratv.com",
        "Severity":
         {
           "Status": "done",
           "LastUpdate": "2019-01-20T04:32:58.833Z",
           "Features":
             [{
                 "Score": 10, "Name": "base_intsights_multiple",
                  "Match": 1
               },
               {
                  "Score": 0,
                  "Name": "domain_associated_malware_names",
                  "Match": 0
                },
               {
                  "Score": 0,
                  "Name": "domain_associated_malware_ip_addresses",
                  "Match": 1
              }],
           "LastUpdateMessage": "",
           "Value": "Low",
           "Score": 20
          },
        "SourceID": "59e376681bb0800644e1368f",
        "Value": "sephoratv.com",
        "Flags": {"IsInAlexa": false},
        "LastSeen": "2019-01-20T04:24:27.258Z",
        "_id": "5c43f80483df230007485c48",
        "Type": "Domains",
        "Enrichment":
         {
           "Status": "done",
           "LastUpdate": "2019-01-20T04:32:58.613Z",
           "Data":
               {
                  "domain_status_blocked": false,
                  "latest_resolution_date": "2019-01-20T04:27:22.299Z",
                  "associated_malware_ip_addresses": ["185.16.44.132"],
                  "contact_emails": [],
                  "referencing_file_hashes": [],
                  "malware_category": [],
                  "mail_servers": ["a.mx.domainoo.fr."],
                  "associated_malware_names": [],
                  "threat_actor_category": [],
                  "campaigns": [],
                  "associated_malware_families": [],
                  "resolved_ips": ["185.16.44.132"],
                  "cve_ids": [],
                  "downloaded_file_hashes": [],
                  "domain_expired": false,
                  "communicating_file_hashes": ["210c2ddbf747220df645fc4d77e7decd1be7df27e43b2f79e4b45bd5fe0a2a6e"],
                  "name_servers": ["a.ns.domainoo.fr.",
                                   "b.ns.domainoo.fr.",
                                   "c.ns.domainoo.fr."],
                  "registrar": "N/A",
                  "threat_actors": []
                }
           },
        "FirstSeen": "2019-01-20T04:24:27.258Z",
        "AccountID": null
    },
 "Entity": "sephoratv.com"
}]
实体扩充
扩充项字段名称 逻辑 - 应用场景
状态 如果存在于 JSON 结果中，则返回
网域 如果存在于 JSON 结果中，则返回
严重程度 如果存在于 JSON 结果中，则返回
SourceID 如果存在于 JSON 结果中，则返回
值 如果存在于 JSON 结果中，则返回
标志 如果存在于 JSON 结果中，则返回
上次出现 如果存在于 JSON 结果中，则返回
_id 如果存在于 JSON 结果中，则返回
类型 如果存在于 JSON 结果中，则返回
丰富 如果存在于 JSON 结果中，则返回
首次出现 如果存在于 JSON 结果中，则返回
AccountID 如果存在于 JSON 结果中，则返回
数据分析

是

连接器

Intsights 连接器

说明

从 Intsights 获取问题到 Google SecOps。

在 Google SecOps 中配置 Insights 连接器

有关如何在 Google SecOps 中配置连接器的详细说明，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数名称 类型 默认值 说明
DeviceProductField 字符串 Details_Source_NetworkType 用于确定设备产品的字段名称。
EventClassId 字符串 Details_Title 用于确定事件名称（子类型）的字段名称。
PythonProcessTimeout 字符串 60 运行当前脚本的 Python 进程的超时限制（以秒为单位）。
API 根 字符串 https://api.intsights.com Intsights 服务器的 API 根目录。
账号 ID 字符串 不适用 用于登录的账号 ID。
API 密钥 密码 不适用 用于登录的 API 密钥。
验证 SSL 复选框 尚未核查 是否验证服务器的 SSL 证书。
回溯的天数上限 整数 3 向后拉取提醒的天数上限。
每个周期的提醒数量上限 整数 10 每个连接器周期提取的提醒数量上限。
代理服务器地址 字符串 不适用 要使用的代理服务器的地址。
代理用户名 字符串 不适用 用于进行身份验证的代理用户名。
代理密码 密码 不适用 用于进行身份验证的代理密码。

连接器规则

代理支持

连接器支持代理。

白名单/黑名单

连接器支持白名单/黑名单规则。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。