IRONSCALES

통합 버전: 3.0

사용 사례

  1. Classify Incident(인시던트 분류)
  2. 이슈 세부정보
  3. 완화 사칭 세부정보
  4. 완화 이슈 세부정보
  5. 우편함별 완화 조치
  6. Google Security Operations에서 AWS GuardDuty 통합 구성

Google SecOps에서 IRONSCALES 통합 구성

Google SecOps에서 통합을 구성하는 방법에 대한 자세한 내용은 통합 구성을 참고하세요.

통합 매개변수

다음 매개변수를 사용하여 통합을 구성합니다.

매개변수 표시 이름 유형 기본값 필수 항목 Description(설명)
API 루트 문자열 https://members.ironscales.com/ 예 IRONSCALES 인스턴스의 API 루트입니다.
API 토큰 문자열 해당 사항 없음 예 IRONSCALES의 API 토큰입니다.
회사 ID 문자열 해당 사항 없음 예 IRONSCALES에서 사용할 회사 ID를 지정합니다.
파트너 여부 체크박스 선택 해제 예 위의 회사 ID가 파트너 ID인지 여부를 지정합니다.
SSL 확인 체크박스 선택 해제 예 사용 설정하면 IRONSCALES 서버 연결에 사용되는 SSL 인증서가 유효한지 확인합니다.

작업

핑

설명

Google Security Operations Marketplace 탭의 통합 구성 페이지에서 제공된 매개변수를 사용하여 IRONSCALES에 대한 연결을 테스트합니다.

실행

작업이 항목에서 실행되지 않거나 필수 입력 매개변수가 없습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하지 않거나 플레이북 실행을 중지하지 않아야 합니다.
성공한 경우: '제공된 연결 매개변수로 IRONSCALES 서버에 성공적으로 연결되었습니다.' 출력

작업이 실패하고 플레이북 실행이 중지되어야 합니다.
실패한 경우: 'IRONSCALES 서버에 연결할 수 없습니다. 오류: {0}".format(exception.stacktrace)

 일반

Classify Incident(인시던트 분류)

설명

인시던트 분류 변경

매개변수

매개변수 표시 이름 유형 기본값 DDL 값 필수 항목 설명
인시던트 ID 문자열 해당 사항 없음 예 분류할 인시던트의 ID를 지정합니다.
새 분류 DDL 공격

공격

거짓양성

스팸

 예 이러한 인시던트의 새 분류를 지정합니다. 참고: 피싱 공격 분류의 경우 'Attack'을, 거짓양성의 경우 'False Positive'을, 스팸의 경우 'Spam'을 입력하세요.
사용자 이메일 분류 사용자 해당 사항 없음 예 메일 주소를 제공하여 분류를 수행하는 사용자를 지정합니다. 참고: 이 이메일 주소는 IRONSCALES에서 인식해야 합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과
스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.
성공한 경우:

발견된 인시던트 ID의 경우: '인시던트가 {new_classification}으로 분류되었습니다. 인시던트 ID: {Ids_list}.'


찾을 수 없는 인시던트 ID의 경우 - '다음 인시던트 ID를 분류할 수 없습니다: {Ids_list}.'라고 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.
실패한 경우: ''인시던트 분류' 작업을 실행하는 중에 오류가 발생했습니다.'를 출력합니다. 이유: {0}'.format(error.Stacktrace)

 일반

Get Incident Details(인시던트 세부정보 가져오기)

설명

IRONSCALES에서 전체 인시던트 세부정보 가져오기

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
인시던트 ID 문자열 해당 사항 없음 예 세부정보를 가져올 인시던트의 ID를 지정합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
JSON 결과
{
    "company_id": "3911",
    "company_name": "SIEMPLIFY",
    "incident_id": "753277",
    "classification": "Attack",
    "first_reported_by": "בונד ג'יימס",
    "first_reported_date": "2020-06-17T15:49:56.755Z",
    "affected_mailbox_count": 2,
    "sender_reputation": "medium",
    "banner_displayed": null,
    "sender_email": "demo@ironscales.com",
    "reply_to": null,
    "spf_result": null,
    "sender_is_internal": false,
    "themis_proba": null,
    "themis_verdict": "Insufficient Data",
    "mail_server": {
        "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
        "ip": "2603:10a6:20b:51::26"
    },
    "federation": {
        "companies_affected": 2,
        "companies_marked_phishing": 2,
        "companies_marked_spam": 0,
        "companies_marked_fp": 0,
        "companies_unclassified": 0,
        "phishing_ratio": 1.0
    },
    "reports": [
        {
            "name": "בונד ג'יימס",
            "email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "FW: Carey Hart",
            "sender_email": "demo@ironscales.com",
            "mail_server": {
                "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
                "ip": "2603:10a6:20b:51::26"
            },
            "headers": [
                {
                    "name": "Received",
                    "value": "from DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:20b:b2::22) by AM6PR05MB5957.eurprd05.prod.outlook.com with HTTPS via AM6PR08CA0010.EURPRD08.PROD.OUTLOOK.COM; Wed, 17 Jun 2020 15:44:55 +0000"
                },
                {
                    "name": "Received",
                    "value": "from AM5PR0601CA0039.eurprd06.prod.outlook.com (2603:10a6:203:68::25) by DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:10:86::14) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.3088.18; Wed, 17 Jun 2020 15:44:54 +0000"
                }
            ]
        }
    ],
    "links": [
        {
            "url": "https://en.wikipedia.org/wiki/Carey_Hart#cite_note-Gale-1",
            "name": "[1]"
        },
        {
            "url": "https://en.wikipedia.org/wiki/Americans",
            "name": "American"
        }
    ],
    "attachments": []
}
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.
성공한 경우:

성공한 인시던트 ID의 경우: 'IRONSCALES에서 인시던트 세부정보를 가져왔습니다. 인시던트 ID: {IDS_list}.'를 출력합니다.


찾을 수 없는 인시던트 ID의 경우: 'Action wasn't able to fetch incident details for incident IDs: {IDs_list} Reason : incidents IDs weren't found.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.
실패한 경우: ''인시던트 세부정보 가져오기' 작업을 실행하는 중에 오류가 발생했습니다. {0}''.format(error.Stacktrace)를 출력합니다.

 일반

완화 가장 세부정보 가져오기

설명

최신 회사 사칭 사건을 가져옵니다.

결과는 최신 1,000개의 인시던트로 제한되며, 기간 내 인시던트 수가 이 한도를 초과하는 경우 메시지가 표시됩니다.

여기에서 반환되는 ID는 사건이나 신고가 아닌 계정 도용 시도의 ID이므로 다른 엔드포인트에서 이러한 ID를 검색해도 예상되는 사건이 반환되지 않습니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 DDL 값 설명
기간 DDL 지난 24시간 예

지난 24시간

지난 7일

지난 90일

지난 180일

지난 360일

올해 초부터 지금까지

전체 기간

 완화 명의 도용 세부정보를 가져올 기간을 지정합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
JSON 결과
{
    "page": null,
    "total_pages": null,
    "incidents": [
        {
            "incidentID": 100694130,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:17.592631+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100694131,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:18.024769+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100696686,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:25:43.216123+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "n",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        }
    ],
    "messages": []
}
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.
성공한 경우: '+{period}의 계정 도용 완화 세부정보를 가져왔습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지합니다.
성공하지 못한 경우: ''완화 계정 도용 세부정보 가져오기' 작업을 실행하는 중에 오류가 발생했습니다.'를 출력합니다. 이유: {0}'.format(error.Stacktrace)

 일반

Get Incident Mitigation Details(인시던트 완화 세부정보 가져오기)

설명

최신 회사 완화 세부정보를 가져옵니다.

결과는 최신 1,000개의 인시던트로 제한되며, 기간 내 인시던트 수가 이 한도를 초과하는 경우 메시지가 표시됩니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 DDL 값 설명
기간 DDL 지난 24시간 예

지난 24시간

지난 7일

지난 90일

지난 180일

지난 360일

올해 초부터 지금까지

전체 기간

 이슈 완화 세부정보를 가져올 기간을 지정합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
JSON 결과
{
    "messages": [],
    "incidents": [
        {
            "incidentID": 1251713,
            "incidentState": 2,
            "remediatedTime": "2020-12-07T15:22:38.798292+00:00",
            "affectedMailboxCount": 6,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "False Positive",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1251683,
            "incidentState": 7,
            "remediatedTime": "2020-12-07T15:20:18.546309+00:00",
            "affectedMailboxCount": 2,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "Spam",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1257956,
            "incidentState": 1,
            "remediatedTime": "2020-12-08T13:40:50.730184+00:00",
            "affectedMailboxCount": 4,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "threatType": "Unclassified",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        }
    ]
}
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.
성공한 경우: '+{period}의 인시던트 완화 세부정보를 가져왔습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.
실패한 경우: ''인시던트 완화 세부정보 가져오기' 작업을 실행하는 중에 오류가 발생했습니다.'를 출력합니다. 이유: {0}'.format(error.Stacktrace)

 일반

편지함별 완화 가져오기

설명

사서함별 완화 조치의 세부정보를 가져옵니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 DDL 값 설명
인시던트 ID CSV 해당 사항 없음 예 - 검색할 인시던트 ID를 쉼표로 구분된 목록으로 제공합니다.
기간 DDL 전체 기간 아니요

지난 24시간

지난 7일

지난 90일

지난 180일

지난 360일

올해 초부터 지금까지

전체 기간

 사서함별로 완화 조치를 받을 기간을 지정합니다.
가져올 최대 페이지 수 정수 1 예 - 가져올 최대 페이지 수를 지정합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
JSON 결과
{
    "page": 1,
    "total_pages": 1,
    "mitigations": [
        {
            "incidentID": 1257956,
            "mitigationID": 48919694,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48919695,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305177,
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918977,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918344,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49068886,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:22:43.096Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 8] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49066007,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:05:35.650Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49064037,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T15:49:05.567Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        }
    ],
    "messages": []
}
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '+{period}의 사서함별 인시던트 완화 세부정보를 가져왔습니다'를 출력합니다.

작업에 두 개 이상의 반복 (두 개 이상의 페이지)이 있는 경우: '계속...사서함별 인시던트 완화 가져오기, 페이지 (current_page_number)/(total_page_number)'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.
실패한 경우: ''메일함수별 완화 가져오기' 작업을 실행하는 중에 오류가 발생했습니다.'를 출력합니다. 이유: {0}'.format(error.Stacktrace)

 일반

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.