IRONSCALES

このドキュメントでは、IRONSCALES を Google SecOps と統合する方法について説明します。

ユースケース

  1. インシデントを分類する
  2. インシデントの詳細
  3. 緩和策のなりすましの詳細
  4. 緩和策インシデントの詳細
  5. メールボックスごとの緩和策
  6. Google Security Operations で AWS GuardDuty の統合を構成する

Google SecOps で IRONSCALES 統合を構成する

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 タイプ デフォルト値 必須 Description
API ルート 文字列 https://members.ironscales.com/ ○ IRONSCALES インスタンスの API ルート。
API トークン 文字列 なし ○ IRONSCALES の API トークン。
Company ID 文字列 なし ○ IRONSCALES で使用する会社 ID を指定します。
パートナー チェックボックス オフ ○ 上記の会社 ID がパートナー ID でもあるかどうかを指定します。
SSL を確認する チェックボックス オフ ○ 有効になっている場合は、IRONSCALES サーバーへの接続用の SSL 証明書が有効であることを確認します。

アクション

Ping

説明

Google SecOps Content Hub ページの統合構成ページで提供されているパラメータを使用して、IRONSCALES への接続性をテストします。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合: 「指定された接続パラメータを使用して IRONSCALES サーバーに正常に接続されました」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「IRONSCALES サーバーへの接続に失敗しました。エラーは {0}」.format(exception.stacktrace)

 全般

インシデントを分類する

説明

インシデントの分類を変更する

パラメータ

パラメータの表示名 タイプ デフォルト値 DDL 値 必須 説明
インシデント ID 文字列 なし ○ 分類するインシデントの ID を指定します。
新しい分類 DDL 攻撃

攻撃

偽陽性

迷惑メール

 ○ これらのインシデントの新しい分類を指定します。注: フィッシング攻撃の分類には「攻撃」、誤検出には「誤検出」、スパムには「スパム」と入力します。
ユーザーのメールの分類 ユーザー なし ○ 分類を実行するユーザーのメールアドレスを指定します。注: このメールアドレスは IRONSCALES で認識される必要があります。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果
スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合:

見つかったインシデント ID の場合: 「インシデントを {new_classification} に正常に分類しました。インシデント ID: {Ids_list}。


見つからなかったインシデント ID の場合 - 「次のインシデント ID を分類できませんでした: {Ids_list}」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「アクション「インシデントの分類」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

インシデントの詳細を取得する

説明

IRONSCALES からインシデントの詳細をすべて取得する

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
インシデント ID 文字列 なし ○ 詳細情報を取得するインシデントの ID を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "company_id": "3911",
    "company_name": "SIEMPLIFY",
    "incident_id": "753277",
    "classification": "Attack",
    "first_reported_by": "בונד ג'יימס",
    "first_reported_date": "2020-06-17T15:49:56.755Z",
    "affected_mailbox_count": 2,
    "sender_reputation": "medium",
    "banner_displayed": null,
    "sender_email": "demo@ironscales.com",
    "reply_to": null,
    "spf_result": null,
    "sender_is_internal": false,
    "themis_proba": null,
    "themis_verdict": "Insufficient Data",
    "mail_server": {
        "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
        "ip": "2603:10a6:20b:51::26"
    },
    "federation": {
        "companies_affected": 2,
        "companies_marked_phishing": 2,
        "companies_marked_spam": 0,
        "companies_marked_fp": 0,
        "companies_unclassified": 0,
        "phishing_ratio": 1.0
    },
    "reports": [
        {
            "name": "בונד ג'יימס",
            "email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "FW: Carey Hart",
            "sender_email": "demo@ironscales.com",
            "mail_server": {
                "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
                "ip": "2603:10a6:20b:51::26"
            },
            "headers": [
                {
                    "name": "Received",
                    "value": "from DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:20b:b2::22) by AM6PR05MB5957.eurprd05.prod.outlook.com with HTTPS via AM6PR08CA0010.EURPRD08.PROD.OUTLOOK.COM; Wed, 17 Jun 2020 15:44:55 +0000"
                },
                {
                    "name": "Received",
                    "value": "from AM5PR0601CA0039.eurprd06.prod.outlook.com (2603:10a6:203:68::25) by DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:10:86::14) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.3088.18; Wed, 17 Jun 2020 15:44:54 +0000"
                }
            ]
        }
    ],
    "links": [
        {
            "url": "https://en.wikipedia.org/wiki/Carey_Hart#cite_note-Gale-1",
            "name": "[1]"
        },
        {
            "url": "https://en.wikipedia.org/wiki/Americans",
            "name": "American"
        }
    ],
    "attachments": []
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合:

成功したインシデント ID の場合: 「IRONSCALES からインシデントの詳細が正常に取得されました。インシデント ID: {IDS_list}」と出力されます。


見つからなかったインシデント ID の場合: 「アクションでは、インシデント ID {IDs_list} のインシデントの詳細を取得できませんでした。理由: インシデント ID が見つかりませんでした」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します:
成功しなかった場合: 次のように出力されます。「アクション「インシデントの詳細を取得する」の実行エラー: {0}」.format(error.Stacktrace)

 全般

緩和策のなりすましの詳細を取得する

説明

最新の企業なりすましインシデントを取得します。

結果は最新の 1, 000 件のインシデントに制限されます。期間内のインシデント数がこの上限を超えると、メッセージが表示されます。

ここで返される ID は、インシデントやレポートではなく、なりすまし試行の ID です。そのため、他のエンドポイントでこれらの ID を検索しても、想定されるインシデントは返されません。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 DDL 値 説明
期間 DDL 過去 24 時間 ○

過去 24 時間

過去 7 日間

過去 90 日間

過去 180 日間

過去 360 日間

年初来

全期間

 緩和策のなりすましの詳細を取得する期間を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "page": null,
    "total_pages": null,
    "incidents": [
        {
            "incidentID": 100694130,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:17.592631+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100694131,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:18.024769+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100696686,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:25:43.216123+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "n",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        }
    ],
    "messages": []
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合: 「+{period} のなりすまし緩和策の詳細を正常に取得しました」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「アクション「Get Mitigation impersonation details」の実行中にエラーが発生しました。」と出力されます。理由: {0}」.format(error.Stacktrace)

 全般

インシデント緩和策の詳細を取得する

説明

会社の最新の緩和策の詳細を取得します。

結果は最新の 1, 000 件のインシデントに制限されます。期間内のインシデント数がこの上限を超えると、メッセージが表示されます。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 DDL 値 説明
期間 DDL 過去 24 時間 ○

過去 24 時間

過去 7 日間

過去 90 日間

過去 180 日間

過去 360 日間

年初来

全期間

 インシデントの緩和の詳細を取得する期間を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "messages": [],
    "incidents": [
        {
            "incidentID": 1251713,
            "incidentState": 2,
            "remediatedTime": "2020-12-07T15:22:38.798292+00:00",
            "affectedMailboxCount": 6,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "False Positive",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1251683,
            "incidentState": 7,
            "remediatedTime": "2020-12-07T15:20:18.546309+00:00",
            "affectedMailboxCount": 2,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "Spam",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1257956,
            "incidentState": 1,
            "remediatedTime": "2020-12-08T13:40:50.730184+00:00",
            "affectedMailboxCount": 4,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "threatType": "Unclassified",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        }
    ]
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合: 「+{period} のインシデント緩和策の詳細を正常に取得しました」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 次のように出力されます。「アクション「インシデント緩和の詳細を取得」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

メールボックスごとの緩和策を取得する

説明

メールボックスごとの緩和策の詳細を取得します。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 DDL 値 説明
インシデント ID CSV なし ○ - 検索するインシデント ID のカンマ区切りのリストを指定します。
期間 DDL 全期間 いいえ

過去 24 時間

過去 7 日間

過去 90 日間

過去 180 日間

過去 360 日間

年初来

全期間

 メールボックスごとの緩和策を取得する期間を指定します。
取得する最大ページ数 Integer 1 ○ - 取得するページの最大数を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "page": 1,
    "total_pages": 1,
    "mitigations": [
        {
            "incidentID": 1257956,
            "mitigationID": 48919694,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48919695,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305177,
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918977,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918344,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49068886,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:22:43.096Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 8] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49066007,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:05:35.650Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49064037,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T15:49:05.567Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        }
    ],
    "messages": []
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

成功した場合: 「+{period} のメールボックスごとのインシデント緩和の詳細を正常に取得しました」と出力されます。

アクションに複数のイテレーション（複数のページ）がある場合: 「続行中...メールボックスごとのインシデント緩和を取得しています。ページ（current_page_number）/（total_page_number）」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「アクション「Get Mitigations Per Mailbox」の実行中にエラーが発生しました。」と出力されます。理由: {0}」.format(error.Stacktrace)

 全般

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。