IRONSCALES

統合バージョン: 3.0

ユースケース

  1. インシデントを分類する
  2. インシデントの詳細
  3. Mitigation Impersonation Details
  4. 緩和インシデントの詳細
  5. メールボックスごとの軽減策
  6. Google Security Operations で AWS GuardDuty 統合を構成する

Google SecOps で IRONSCALES の統合を構成する

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 タイプ デフォルト値 必須 Description
API ルート 文字列 https://members.ironscales.com/ はい IRONSCALES インスタンスの API ルート。
API トークン 文字列 なし はい IRONSCALES の API トークン。
Company ID 文字列 なし はい IRONSCALES で使用する会社 ID を指定します。
パートナーか チェックボックス オフ はい 上記の会社 ID がパートナー ID でもあるかどうかを指定します。
SSL を確認する チェックボックス オフ はい 有効になっている場合は、IRONSCALES サーバーへの接続用の SSL 証明書が有効であることを確認します。

アクション

Ping

説明

Google Security Operations Marketplace タブの統合構成ページで提供されるパラメータを使用して、IRONSCALES への接続をテストします。

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合: 「指定された接続パラメータを使用して IRONSCALES サーバーに正常に接続されました」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「IRONSCALES サーバーへの接続に失敗しました。エラーは {0}」.format(exception.stacktrace)

 全般

インシデントを分類する

説明

インシデントの分類を変更する

パラメータ

パラメータの表示名 タイプ デフォルト値 DDL 値 必須 説明
インシデント ID 文字列 なし はい 分類するインシデントの ID を指定します。
新しい分類 DDL 攻撃

攻撃

偽陽性

迷惑メール

 はい これらのインシデントの新しい分類を指定します。注: フィッシング攻撃の分類には「Attack」、誤検出には「False Positive」、スパムには「Spam」と入力します。
ユーザーのメールを分類する ユーザー なし はい メールアドレスを指定して、分類を行うユーザーを指定します。注: このメールアドレスは IRONSCALES で認識されている必要があります。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果
スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。
成功した場合:

インシデント ID が見つかった場合: 「インシデントを {new_classification} に分類しました。インシデント ID: {Ids_list}。」


インシデント ID が見つからなかった場合 - 「次のインシデント ID を分類できませんでした: {Ids_list}。」と出力します。

アクションが失敗し、ハンドブックの実行が停止します:
成功しなかった場合: 「アクション「インシデントの分類」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

インシデントの詳細を取得する

説明

IRONSCALES からインシデントの詳細情報を取得する

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 説明
インシデント ID 文字列 なし はい 詳細情報を取得するインシデントの ID を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "company_id": "3911",
    "company_name": "SIEMPLIFY",
    "incident_id": "753277",
    "classification": "Attack",
    "first_reported_by": "בונד ג'יימס",
    "first_reported_date": "2020-06-17T15:49:56.755Z",
    "affected_mailbox_count": 2,
    "sender_reputation": "medium",
    "banner_displayed": null,
    "sender_email": "demo@ironscales.com",
    "reply_to": null,
    "spf_result": null,
    "sender_is_internal": false,
    "themis_proba": null,
    "themis_verdict": "Insufficient Data",
    "mail_server": {
        "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
        "ip": "2603:10a6:20b:51::26"
    },
    "federation": {
        "companies_affected": 2,
        "companies_marked_phishing": 2,
        "companies_marked_spam": 0,
        "companies_marked_fp": 0,
        "companies_unclassified": 0,
        "phishing_ratio": 1.0
    },
    "reports": [
        {
            "name": "בונד ג'יימס",
            "email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "FW: Carey Hart",
            "sender_email": "demo@ironscales.com",
            "mail_server": {
                "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
                "ip": "2603:10a6:20b:51::26"
            },
            "headers": [
                {
                    "name": "Received",
                    "value": "from DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:20b:b2::22) by AM6PR05MB5957.eurprd05.prod.outlook.com with HTTPS via AM6PR08CA0010.EURPRD08.PROD.OUTLOOK.COM; Wed, 17 Jun 2020 15:44:55 +0000"
                },
                {
                    "name": "Received",
                    "value": "from AM5PR0601CA0039.eurprd06.prod.outlook.com (2603:10a6:203:68::25) by DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:10:86::14) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.3088.18; Wed, 17 Jun 2020 15:44:54 +0000"
                }
            ]
        }
    ],
    "links": [
        {
            "url": "https://en.wikipedia.org/wiki/Carey_Hart#cite_note-Gale-1",
            "name": "[1]"
        },
        {
            "url": "https://en.wikipedia.org/wiki/Americans",
            "name": "American"
        }
    ],
    "attachments": []
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合:

成功したインシデント ID の場合: 「IRONSCALES からインシデントの詳細を取得しました。インシデント ID: {IDS_list}」と出力されます。


見つからなかったインシデント ID の場合: 「アクションでは、インシデント ID {IDs_list} のインシデントの詳細を取得できませんでした。理由: インシデント ID が見つかりませんでした。」と出力します。

アクションが失敗し、ハンドブックの実行が停止します:
成功しなかった場合: 次のように出力されます。「アクション「インシデントの詳細を取得する」の実行エラー: {0}」.format(error.Stacktrace)

 全般

Get Mitigation Impersonation Details

説明

最新の会社なりすましインシデントを取得します。

結果は最新の 1, 000 件のインシデントに制限されます。期間内のインシデント数がこの上限を超えている場合は、メッセージが表示されます。

ここで返される ID は、インシデントやレポートではなく、なりすましの試行の ID です。そのため、他のエンドポイントでこれらの ID を検索しても、期待されるインシデントは返されません。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 DDL 値 説明
期間 DDL 過去 24 時間 はい

過去 24 時間

過去 7 日間

過去 90 日間

過去 180 日間

過去 360 日間

今年初めから今日まで

全期間

 なりすまし対策の詳細を取得する期間を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "page": null,
    "total_pages": null,
    "incidents": [
        {
            "incidentID": 100694130,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:17.592631+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100694131,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:18.024769+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100696686,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:25:43.216123+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "n",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        }
    ],
    "messages": []
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合: 「+ {期間} のなりすまし対策の詳細を取得しました」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「アクション「なりすまし対策の詳細を取得」の実行中にエラーが発生しました。」と出力されます。理由: {0}」.format(error.Stacktrace)

 全般

インシデントの緩和の詳細を取得する

説明

企業の最新の緩和策の詳細を取得します。

結果は最新の 1, 000 件のインシデントに制限されます。期間内のインシデント数がこの上限を超えている場合は、メッセージが表示されます。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 DDL 値 説明
期間 DDL 過去 24 時間 はい

過去 24 時間

過去 7 日間

過去 90 日間

過去 180 日間

過去 360 日間

今年初めから今日まで

全期間

 インシデントの軽減の詳細を取得する期間を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "messages": [],
    "incidents": [
        {
            "incidentID": 1251713,
            "incidentState": 2,
            "remediatedTime": "2020-12-07T15:22:38.798292+00:00",
            "affectedMailboxCount": 6,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "False Positive",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1251683,
            "incidentState": 7,
            "remediatedTime": "2020-12-07T15:20:18.546309+00:00",
            "affectedMailboxCount": 2,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "Spam",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1257956,
            "incidentState": 1,
            "remediatedTime": "2020-12-08T13:40:50.730184+00:00",
            "affectedMailboxCount": 4,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "threatType": "Unclassified",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        }
    ]
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合: 「+{period} のインシデントの軽減策の詳細を正常に取得しました」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「アクション「インシデントの軽減の詳細を取得」の実行エラー。理由: {0}」.format(error.Stacktrace)

 全般

Get Mitigations Per Mailbox

説明

メールボックスごとの緩和策の詳細を取得します。

パラメータ

パラメータの表示名 タイプ デフォルト値 必須 DDL 値 説明
インシデント ID CSV なし はい - 検索するインシデント ID のカンマ区切りのリストを指定します。
期間 DDL 全期間 いいえ

過去 24 時間

過去 7 日間

過去 90 日間

過去 180 日間

過去 360 日間

今年初めから今日まで

全期間

 メールボックスごとの軽減策を取得する期間を指定します。
取得する最大ページ数 Integer 1 はい - 取得するページ数の上限を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
    "page": 1,
    "total_pages": 1,
    "mitigations": [
        {
            "incidentID": 1257956,
            "mitigationID": 48919694,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48919695,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305177,
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918977,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918344,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49068886,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:22:43.096Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 8] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49066007,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:05:35.650Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49064037,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T15:49:05.567Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        }
    ],
    "messages": []
}
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

成功した場合: 「+{期間} のメールボックスごとのインシデント軽減策の詳細を正常に取得しました」と出力されます。

アクションに複数の反復処理（複数のページ）がある場合: 「続行中...メールボックスごとのインシデント軽減策を取得しています（現在のページ番号）/（合計ページ数）」と出力されます。

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合: 「アクション「Get Mitigations Per Mailbox」の実行中にエラーが発生しました。」と出力されます。理由: {0}」.format(error.Stacktrace)

 全般

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。