IRONSCALES

Versión de la integración: 3.0

Casos prácticos

  1. Clasificar incidente
  2. Detalles del incidente
  3. Detalles de la mitigación de la suplantación de identidad
  4. Detalles de incidentes de mitigación
  5. Mitigaciones por buzón
  6. Configurar la integración de AWS GuardDuty en Google Security Operations

Configurar la integración de IRONSCALES en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la API Cadena https://members.ironscales.com/ Sí Raíz de la API de la instancia de IRONSCALES.
Token de API Cadena N/A Sí Token de API de IRONSCALES.
ID de la empresa Cadena N/A Sí Especifica el ID de empresa que se va a usar en IRONSCALES.
Es partner Casilla Desmarcada Sí Especifique si el ID de empresa indicado anteriormente también es un ID de partner.
Verificar SSL Casilla Desmarcada Sí Si está habilitada, verifica que el certificado SSL de la conexión al servidor de IRONSCALES sea válido.

Acciones

Ping

Descripción

Prueba la conectividad a IRONSCALES con los parámetros proporcionados en la página de configuración de la integración de la pestaña Google Security Operations Marketplace.

Fecha de ejecución

La acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un playbook:
si se realiza correctamente: imprime "Successfully connected to the IRONSCALES server with the provided connection parameters!"

La acción debería fallar y detener la ejecución de un playbook:
si no se ha completado correctamente: imprime "Failed to connect to the IRONSCALES server! Error: {0}".format(exception.stacktrace)

 General

Clasificar incidente

Descripción

Cambiar la clasificación de las incidencias

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Valores de DDL Es obligatorio Descripción
IDs de incidentes Cadena N/A Sí Especifique los IDs de los incidentes que quiere clasificar.
Nueva clasificación DDL Ataque

Ataque

Falso positivo

Spam

 Sí Especifique la nueva clasificación de estos incidentes. Nota: Para clasificar un ataque de phishing, introduce "Attack"; para clasificar un falso positivo, "False Positive"; y para clasificar spam, "Spam".
Clasificar el correo del usuario Usuario N/A Sí Especifica qué usuario realiza la clasificación proporcionando su dirección de correo. Nota: IRONSCALES debería reconocer esta dirección de correo.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:
si se realiza correctamente:

Para los IDs de incidentes encontrados: imprime "Successfully classified incidents to {new_classification}. IDs de incidentes: {Ids_list}."


Para los IDs de incidentes no encontrados, imprime "No se han podido clasificar los siguientes IDs de incidentes: {Ids_list}".

La acción debería fallar y detener la ejecución de un cuaderno de estrategias:
si no se realiza correctamente: imprime "Error al ejecutar la acción "Clasificar incidente". Motivo: {0}''.format(error.Stacktrace)

 General

Obtener detalles del incidente

Descripción

Obtener todos los detalles de los incidentes de IRONSCALES

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
IDs de incidentes Cadena N/A Sí Especifica los IDs de los incidentes de los que quieres obtener los detalles.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
{
    "company_id": "3911",
    "company_name": "SIEMPLIFY",
    "incident_id": "753277",
    "classification": "Attack",
    "first_reported_by": "בונד ג'יימס",
    "first_reported_date": "2020-06-17T15:49:56.755Z",
    "affected_mailbox_count": 2,
    "sender_reputation": "medium",
    "banner_displayed": null,
    "sender_email": "demo@ironscales.com",
    "reply_to": null,
    "spf_result": null,
    "sender_is_internal": false,
    "themis_proba": null,
    "themis_verdict": "Insufficient Data",
    "mail_server": {
        "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
        "ip": "2603:10a6:20b:51::26"
    },
    "federation": {
        "companies_affected": 2,
        "companies_marked_phishing": 2,
        "companies_marked_spam": 0,
        "companies_marked_fp": 0,
        "companies_unclassified": 0,
        "phishing_ratio": 1.0
    },
    "reports": [
        {
            "name": "בונד ג'יימס",
            "email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "FW: Carey Hart",
            "sender_email": "demo@ironscales.com",
            "mail_server": {
                "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
                "ip": "2603:10a6:20b:51::26"
            },
            "headers": [
                {
                    "name": "Received",
                    "value": "from DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:20b:b2::22) by AM6PR05MB5957.eurprd05.prod.outlook.com with HTTPS via AM6PR08CA0010.EURPRD08.PROD.OUTLOOK.COM; Wed, 17 Jun 2020 15:44:55 +0000"
                },
                {
                    "name": "Received",
                    "value": "from AM5PR0601CA0039.eurprd06.prod.outlook.com (2603:10a6:203:68::25) by DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:10:86::14) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.3088.18; Wed, 17 Jun 2020 15:44:54 +0000"
                }
            ]
        }
    ],
    "links": [
        {
            "url": "https://en.wikipedia.org/wiki/Carey_Hart#cite_note-Gale-1",
            "name": "[1]"
        },
        {
            "url": "https://en.wikipedia.org/wiki/Americans",
            "name": "American"
        }
    ],
    "attachments": []
}
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:
Si se completa correctamente:

Si los IDs de incidentes son correctos: imprime "Successfully fetched incidents details from IRONSCALES. incident IDs: {IDS_list}." ("Se han obtenido correctamente los detalles de los incidentes de IRONSCALES. IDs de incidentes: {IDS_list}.").


Para los IDs de incidentes no encontrados: imprime "No se han podido obtener los detalles de los incidentes con los IDs: {IDs_list}. Motivo : no se han encontrado los IDs de los incidentes."

La acción debe fallar y detener la ejecución de un libro de jugadas:
si no se realiza correctamente: print "Error al ejecutar la acción "Get Incident Details" : {0}''.format(error.Stacktrace)

 General

Get Mitigation Impersonation Details

Descripción

Obtén los últimos incidentes de suplantación de identidad de la empresa.

Los resultados se limitan a los 1000 incidentes más recientes. Si el número de incidentes del periodo supera este límite, se mostrará un mensaje.

Ten en cuenta que los IDs que se devuelven aquí son de intentos de suplantación de identidad, no de incidentes ni de informes, por lo que, si buscas estos IDs en otros endpoints, no se devolverán los incidentes esperados.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Valores de DDL Descripción
Periodo DDL Últimas 24 horas Sí

Últimas 24 horas

Últimos 7 días

Últimos 90 días

Últimos 180 días

Últimos 360 días

Año actual hasta la fecha

Desde siempre

 Especifica el periodo del que quieres obtener los detalles de mitigación de la suplantación de identidad.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
{
    "page": null,
    "total_pages": null,
    "incidents": [
        {
            "incidentID": 100694130,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:17.592631+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100694131,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:18.024769+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100696686,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:25:43.216123+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "n",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        }
    ],
    "messages": []
}
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un playbook:
Si se ejecuta correctamente: imprime "Successfully fetched details of impersonation mitigations for the +{period}" (Se han obtenido correctamente los detalles de las mitigaciones de la suplantación de identidad de +{period})

La acción debe fallar y detener la ejecución de un playbook:
Si no se ejecuta correctamente: imprime "Error executing action "Get Mitigation impersonation details". Motivo: {0}''.format(error.Stacktrace)

 General

Obtener detalles de mitigación de incidentes

Descripción

Obtener los detalles de mitigación más recientes de la empresa.

Los resultados se limitan a los 1000 incidentes más recientes. Si el número de incidentes del periodo supera este límite, se mostrará un mensaje.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Valores de DDL Descripción
Periodo DDL Últimas 24 horas Sí

Últimas 24 horas

Últimos 7 días

Últimos 90 días

Últimos 180 días

Últimos 360 días

Año actual hasta la fecha

Desde siempre

 Especifica el periodo del que quieres obtener los detalles de mitigación de incidentes.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
{
    "messages": [],
    "incidents": [
        {
            "incidentID": 1251713,
            "incidentState": 2,
            "remediatedTime": "2020-12-07T15:22:38.798292+00:00",
            "affectedMailboxCount": 6,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "False Positive",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1251683,
            "incidentState": 7,
            "remediatedTime": "2020-12-07T15:20:18.546309+00:00",
            "affectedMailboxCount": 2,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "Spam",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1257956,
            "incidentState": 1,
            "remediatedTime": "2020-12-08T13:40:50.730184+00:00",
            "affectedMailboxCount": 4,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "threatType": "Unclassified",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        }
    ]
}
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un libro de jugadas:
si se realiza correctamente: imprime "Se han obtenido correctamente los detalles de las mitigaciones de incidentes de +{period}"

La acción debería fallar y detener la ejecución de un cuaderno de jugadas:
si no se completa correctamente: imprime "Error al ejecutar la acción "Get Incident Mitigation details". Motivo: {0}''.format(error.Stacktrace)

 General

Get Mitigations Per Mailbox

Descripción

Obtener detalles de las mitigaciones por buzón.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Valores de DDL Descripción
IDs de incidentes CSV N/A Sí - Proporciona una lista separada por comas de los IDs de incidentes que quieras buscar.
Periodo DDL Desde siempre No

Últimas 24 horas

Últimos 7 días

Últimos 90 días

Últimos 180 días

Últimos 360 días

Año actual hasta la fecha

Desde siempre

 Especifica el periodo durante el que quieres obtener las mitigaciones por buzón.
Número máximo de páginas que se pueden obtener Entero 1 Sí - Especifica el número máximo de páginas que quieres obtener.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
{
    "page": 1,
    "total_pages": 1,
    "mitigations": [
        {
            "incidentID": 1257956,
            "mitigationID": 48919694,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48919695,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305177,
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918977,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918344,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49068886,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:22:43.096Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 8] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49066007,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:05:35.650Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49064037,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T15:49:05.567Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        }
    ],
    "messages": []
}
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se ha completado correctamente: imprime "Successfully fetched details of incident mitigations per mailbox for the +{period}"

Si la acción tiene más de una iteración (más de una página) : imprime "Continuing...fetching incident mitigations per mailbox, page (current_page_number) out of (total_page_number) "

La acción debería fallar y detener la ejecución de un playbook:
si no se completa correctamente: imprime "Error al ejecutar la acción "Get Mitigations Per Mailbox". Motivo: {0}''.format(error.Stacktrace)

 General

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.