IRONSCALES

In diesem Dokument wird beschrieben, wie Sie IRONSCALES in Google SecOps einbinden.

Anwendungsbereiche

  1. Vorfall klassifizieren
  2. Details zu Vorfällen
  3. Details zur Identitätsübernahme bei der Aussetzung von Maßnahmen
  4. Details zu Vorfällen mit Aussetzung von Maßnahmen
  5. Aussetzungen von Maßnahmen pro Postfach
  6. AWS GuardDuty-Einbindung in Google Security Operations konfigurieren

IRONSCALES-Integration in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-Stamm String https://members.ironscales.com/ Ja API-Stamm der IRONSCALES-Instanz.
API-Token String – Ja API-Token von IRONSCALES.
Unternehmens-ID String – Ja Geben Sie die Unternehmens-ID an, die in IRONSCALES verwendet werden soll.
Ist Partner Kästchen Deaktiviert Ja Geben Sie an, ob die oben genannte Unternehmens-ID auch eine Partner-ID ist.
SSL überprüfen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum IRONSCALES-Server gültig ist.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu IRONSCALES mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

The action should not fail nor stop a playbook execution:
if successful: print "Successfully connected to the IRONSCALES server with the provided connection parameters!"

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
if not successful: print "Failed to connect to the IRONSCALES server! Error is {0}".format(exception.stacktrace)

 Allgemein

Vorfall klassifizieren

Beschreibung

Klassifizierung von Vorfällen ändern

Parameter

Anzeigename des Parameters Typ Standardwert DDL-Werte Ist obligatorisch Beschreibung
Vorfall-IDs String – Ja Geben Sie die IDs der zu klassifizierenden Vorfälle an.
Neue Klassifizierung DDL Angriff

Angriff

Falsch positives Ergebnis

Spam

 Ja Geben Sie die neue Klassifizierung für diese Vorfälle an. Hinweis: Geben Sie für die Klassifizierung „Phishing-Angriff“ „Angriff“, für „Falsch positiv“ „Falsch positiv“ und für „Spam“ „Spam“ ein.
E‑Mail-Adresse des klassifizierenden Nutzers Nutzer – Ja Geben Sie an, welcher Nutzer die Klassifizierung vornimmt, indem Sie seine E-Mail-Adresse angeben. Hinweis: Diese E‑Mail-Adresse sollte von IRONSCALES erkannt werden.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse
Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Bei Erfolg:

Für gefundene Vorfall-IDs: Gib „Vorfälle erfolgreich als {new_classification} klassifiziert“ aus. Vorfall-IDs: {Ids_list}.“


Für nicht gefundene Vorfall-IDs: Gib „Die folgenden Vorfall-IDs konnten nicht klassifiziert werden: {Ids_list}“ aus.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
if not successful: print "Error executing action "Classify Incident". Reason: {0}''.format(error.Stacktrace)

 Allgemein

Details zu Vorfällen abrufen

Beschreibung

Vollständige Vorfalldetails von IRONSCALES abrufen

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Vorfall-IDs String – Ja Geben Sie die IDs der Vorfälle an, für die Sie Details abrufen möchten.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "company_id": "3911",
    "company_name": "SIEMPLIFY",
    "incident_id": "753277",
    "classification": "Attack",
    "first_reported_by": "בונד ג'יימס",
    "first_reported_date": "2020-06-17T15:49:56.755Z",
    "affected_mailbox_count": 2,
    "sender_reputation": "medium",
    "banner_displayed": null,
    "sender_email": "demo@ironscales.com",
    "reply_to": null,
    "spf_result": null,
    "sender_is_internal": false,
    "themis_proba": null,
    "themis_verdict": "Insufficient Data",
    "mail_server": {
        "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
        "ip": "2603:10a6:20b:51::26"
    },
    "federation": {
        "companies_affected": 2,
        "companies_marked_phishing": 2,
        "companies_marked_spam": 0,
        "companies_marked_fp": 0,
        "companies_unclassified": 0,
        "phishing_ratio": 1.0
    },
    "reports": [
        {
            "name": "בונד ג'יימס",
            "email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "FW: Carey Hart",
            "sender_email": "demo@ironscales.com",
            "mail_server": {
                "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
                "ip": "2603:10a6:20b:51::26"
            },
            "headers": [
                {
                    "name": "Received",
                    "value": "from DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:20b:b2::22) by AM6PR05MB5957.eurprd05.prod.outlook.com with HTTPS via AM6PR08CA0010.EURPRD08.PROD.OUTLOOK.COM; Wed, 17 Jun 2020 15:44:55 +0000"
                },
                {
                    "name": "Received",
                    "value": "from AM5PR0601CA0039.eurprd06.prod.outlook.com (2603:10a6:203:68::25) by DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:10:86::14) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.3088.18; Wed, 17 Jun 2020 15:44:54 +0000"
                }
            ]
        }
    ],
    "links": [
        {
            "url": "https://en.wikipedia.org/wiki/Carey_Hart#cite_note-Gale-1",
            "name": "[1]"
        },
        {
            "url": "https://en.wikipedia.org/wiki/Americans",
            "name": "American"
        }
    ],
    "attachments": []
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn erfolgreich:

Für erfolgreiche Vorfall-IDs: Geben Sie „Successfully fetched incidents details from IRONSCALES. incident IDs: {IDS_list}.“ aus.


Für nicht gefundene Vorfall-IDs: Geben Sie „Die Aktion konnte keine Vorfalldetails für die Vorfall-IDs abrufen: {IDs_list} Grund : Vorfall-IDs wurden nicht gefunden.“ aus.

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
if not successful: print "Error executing action "Get Incident Details" : {0}''.format(error.Stacktrace)

 Allgemein

Details zur Identitätsübernahme bei der Aussetzung von Maßnahmen abrufen

Beschreibung

Aktuelle Vorfälle von Identitätsdiebstahl von Unternehmen abrufen.

Die Ergebnisse sind auf die letzten 1.000 Vorfälle beschränkt. Wenn die Anzahl der Vorfälle im Zeitraum über diesem Limit liegt, wird eine entsprechende Meldung angezeigt.

Die hier zurückgegebenen IDs beziehen sich auf Identitätsdiebstahlversuche, nicht auf Vorfälle oder Meldungen. Wenn Sie diese IDs in anderen Endpunkten suchen, werden die erwarteten Vorfälle nicht zurückgegeben.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch DDL-Werte Beschreibung
Zeitraum DDL Letzte 24 Stunden Ja

Letzte 24 Stunden

Letzte 7 Tage

Letzte 90 Tage

Letzte 180 Tage

Letzte 360 Tage

Seit Jahresbeginn

Gesamte Zeit

 Geben Sie den Zeitraum an, für den Sie Details zur Identitätsübernahme bei der Aussetzung von Maßnahmen abrufen möchten.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "page": null,
    "total_pages": null,
    "incidents": [
        {
            "incidentID": 100694130,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:17.592631+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100694131,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:18.024769+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100696686,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:25:43.216123+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "n",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        }
    ],
    "messages": []
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Playbook-Ausführung nicht beenden:
Bei Erfolg: „Details zu Maßnahmen gegen Identitätsdiebstahl für +{period} erfolgreich abgerufen“ ausgeben

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
Bei Misserfolg: „Fehler beim Ausführen der Aktion ‚Details zu Maßnahmen gegen Identitätsdiebstahl abrufen‘“ ausgeben. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Details zur Vorfallsminderung abrufen

Beschreibung

Aktuelle Details zu den Maßnahmen des Unternehmens abrufen.

Die Ergebnisse sind auf die letzten 1.000 Vorfälle beschränkt. Wenn die Anzahl der Vorfälle im Zeitraum über diesem Limit liegt, wird eine entsprechende Meldung angezeigt.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch DDL-Werte Beschreibung
Zeitraum DDL Letzte 24 Stunden Ja

Letzte 24 Stunden

Letzte 7 Tage

Letzte 90 Tage

Letzte 180 Tage

Letzte 360 Tage

Seit Jahresbeginn

Gesamte Zeit

 Geben Sie den Zeitraum an, für den Sie Details zur Behebung von Vorfällen abrufen möchten.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "messages": [],
    "incidents": [
        {
            "incidentID": 1251713,
            "incidentState": 2,
            "remediatedTime": "2020-12-07T15:22:38.798292+00:00",
            "affectedMailboxCount": 6,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "False Positive",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1251683,
            "incidentState": 7,
            "remediatedTime": "2020-12-07T15:20:18.546309+00:00",
            "affectedMailboxCount": 2,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "Spam",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1257956,
            "incidentState": 1,
            "remediatedTime": "2020-12-08T13:40:50.730184+00:00",
            "affectedMailboxCount": 4,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "threatType": "Unclassified",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        }
    ]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Bei Erfolg: „Details zu Maßnahmen zur Vorfallminderung für den Zeitraum +{period} erfolgreich abgerufen“ ausgeben

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
if not successful: print "Error executing action "Get Incident Mitigation details". Reason: {0}''.format(error.Stacktrace)

 Allgemein

Aussetzungen von Maßnahmen pro Postfach abrufen

Beschreibung

Details zu Aussetzungen von Maßnahmen pro Postfach abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch DDL-Werte Beschreibung
Vorfall-IDs CSV – Ja - Geben Sie eine durch Kommas getrennte Liste von Vorfall-IDs an, nach denen gesucht werden soll.
Zeitraum DDL Gesamte Zeit Nein

Letzte 24 Stunden

Letzte 7 Tage

Letzte 90 Tage

Letzte 180 Tage

Letzte 360 Tage

Seit Jahresbeginn

Gesamte Zeit

 Geben Sie den Zeitraum an, für den Sie die Aussetzung von Maßnahmen pro Postfach abrufen möchten.
Maximale Anzahl abzurufender Seiten Ganzzahl 1 Ja - Geben Sie die maximale Anzahl von Seiten an, die Sie abrufen möchten.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "page": 1,
    "total_pages": 1,
    "mitigations": [
        {
            "incidentID": 1257956,
            "mitigationID": 48919694,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48919695,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305177,
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918977,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918344,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49068886,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:22:43.096Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 8] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49066007,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:05:35.650Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49064037,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T15:49:05.567Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        }
    ],
    "messages": []
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

if successful: print "Successfully fetched details of incident mitigations per mailbox for the +{period}"

If action has more than one iteration (more than one page) : print "Continuing...fetching incident mitigations per mailbox, page (current_page_number) out of (total_page_number) "

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
if not successful: print "Error executing action "Get Mitigations Per Mailbox". Reason: {0}''.format(error.Stacktrace)

 Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten