PhishRod

במסמך הזה מוסבר איך לשלב את PhishRod עם Google SecOps.

הגדרת השילוב של PhishRod ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
ספריית הבסיס של ה-API String https://api.bitsighttech.com כן שורש ה-API של מופע PhishRod.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של חשבון PhishRod.
מזהה לקוח סיסמה לא רלוונטי כן מזהה הלקוח של חשבון PhishRod.
שם משתמש String לא רלוונטי כן שם המשתמש בחשבון PhishRod.
סיסמה סיסמה לא רלוונטי כן הסיסמה לחשבון PhishRod.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, המערכת בודקת שאישור ה-SSL של החיבור לשרת BitSight תקף.

פעולות

פינג

תיאור

כדי לבדוק את הקישוריות ל-PhishRod, משתמשים בפרמטרים שמופיעים בדף ההגדרות של השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

הפעלה ב-

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט

שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False

Case Wall

סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה (is_success=true): "Successfully connected to the PhishRod server with the provided connection parameters!"

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם התגובה נכשלה (is_success= false): "Failed to connect to the PhishRod server! השגיאה היא {0}".format(exception.stacktrace)

כללי

עדכון אירוע

תיאור

עדכון תקרית ב-PhishRod.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה של האירוע שצריך לעדכן.
סטטוס DDL

מחיקה

ערכים אפשריים:

  • בטוח
  • מחיקה
לא מציינים את הסטטוס של האירוע.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False

תוצאת JSON

{
    "statusMarked": false,
    "message": "Incident status is already marked."
}

Case Wall

סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם statusmarked == "true" (is_success=true): "Successfully updated incident {incident id} in PhishRod.

אם statusmarked == "false" (is_success=false): "Incident {incident id} status was already modified previously in PhishRod."

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Update Incident". הסיבה: {0}''.format(error.Stacktrace)

אם message != "Incident status is already marked." and ""statusMarked"": false"‎ "Error executing action "Update Incident". הסיבה: {0}".format(message)"

 כללי

סימון אירוע

תיאור

סימון תקרית ב-PhishRod.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה של האירוע שרוצים לסמן.
סטטוס DDL

סימון לניתוח משני

ערכים אפשריים:

  • SMark For Secondary Analysis
  • סימון כספאם
  • סימון שהתוכן בטוח
לא מציינים איך צריך לסמן את האירועים.
תגובה String לא רלוונטי כן מציינים את ההערה שמתארת את הסיבות לסימון האירוע.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False

תוצאת JSON

{
    "code": "200",
    "status": "Incident status has already been updated before."
}

Case Wall

סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם קוד הסטטוס 200 מדווח (is_success=true): 'הסימון של האירוע {incident id} ב-PhishRod הושלם בהצלחה'.

אם קוד הסטטוס 200 מדווח והסטטוס הוא 'סטטוס האירוע כבר עודכן בעבר' (is_success = false): 'אירוע {incident id} כבר סומן בעבר ב-PhishRod.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'סימון אירוע'. הסיבה: {0}''.format(error.Stacktrace)

אם מדווח קוד הסטטוס 400 או 404: "Error executing action "Mark Incident". Reason: {0}".format(message)"

 כללי

מחברים

PhishRod - Incidents Connector

תיאור

שליפת מידע על אירועים מ-PhishRod.

הגדרה של PhishRod - Incidents Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String שדה אירוע כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה String לא רלוונטי לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

ההגדרה הזו מאפשרת למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) PythonProcessTimeout 300 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
ספריית הבסיס של ה-API String https://{instance}.phishrod.co כן שורש ה-API של מופע PhishRod.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של חשבון PhishRod.
מזהה לקוח סיסמה לא רלוונטי כן מזהה הלקוח של חשבון PhishRod.
שם משתמש String לא רלוונטי כן שם המשתמש בחשבון PhishRod.
סיסמה סיסמה לא רלוונטי כן הסיסמה לחשבון PhishRod.
ציון חומרת ההתראה String בינוני כן

מגדירים את רמת החומרה של ההתראה על סמך האירוע.

הערכים האפשריים: מידע, נמוכה, בינונית, גבוהה, קריטית.
שימוש ברשימה דינמית כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, הרשימה הדינמית משמשת כרשימת חסימות.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, המערכת בודקת שאישור ה-SSL של החיבור לשרת Crowdstrike תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של Connectors

תמיכה ב-Proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.