PhishRod

Dokumen ini memberikan panduan tentang cara mengintegrasikan PhishRod dengan Google SecOps.

Mengonfigurasi integrasi PhishRod di Google Security Operations

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Root API	String	https://api.bitsighttech.com	Ya	Root API instance PhishRod.
Kunci API	Sandi	T/A	Ya	Kunci API akun PhishRod.
Client ID	Sandi	T/A	Ya	Client ID akun PhishRod.
Nama pengguna	String	T/A	Ya	Nama pengguna akun PhishRod.
Sandi	Sandi	T/A	Ya	Sandi akun PhishRod.
Verifikasi SSL	Kotak centang	Dicentang	Ya	Jika diaktifkan, setelan ini akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server BitSight valid.

Catatan: Anda dapat melakukan perubahan pada tahap selanjutnya jika diperlukan. Setelah dikonfigurasi, Instance dapat digunakan di Playbook. Untuk mengetahui informasi mendetail tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Ping

Deskripsi

Uji konektivitas ke PhishRod dengan parameter yang disediakan di halaman konfigurasi integrasi di halaman Google SecOps Content Hub.

Parameter

T/A

Dijalankan pada

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil (is_success=true): "Successfully connected to the PhishRod server with the provided connection parameters!" Tindakan akan gagal dan menghentikan eksekusi playbook: Jika tidak berhasil (is_success= false): "Failed to connect to the PhishRod server! Error is {0}".format(exception.stacktrace)	Umum

Perbarui Insiden

Deskripsi

Memperbarui insiden di PhishRod.

Catatan: Anda hanya dapat memperbarui insiden yang telah melalui analisis sekunder.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
ID Insiden	String	T/A	Ya	Tentukan ID insiden yang perlu diperbarui.
Status	DDL	Hapus Nilai yang Mungkin Muncul: Aman Hapus	Tidak	Tentukan status insiden.

Dijalankan pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

{
    "statusMarked": false,
    "message": "Incident status is already marked."
}

Repositori Kasus

Jenis hasil	Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika statusmarked == "true" (is_success=true): "Successfully updated incident {incident id} in PhishRod. Jika statusmarked == "false" (is_success=false): "Incident {incident id} status was already modified previously in PhishRod." Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Update Incident". Reason: {0}''.format(error.Stacktrace) Jika message != "Incident status is already marked." dan ""statusMarked"": false" "Error executing action "Update Incident". Reason: {0}".format(message)"	Umum

Tandai Insiden

Deskripsi

Menandai insiden di PhishRod.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
ID Insiden	String	T/A	Ya	Tentukan ID insiden yang perlu ditandai.
Status	DDL	Tandai Untuk Analisis Sekunder Nilai yang Mungkin Muncul: Tandai untuk Analisis Sekunder Tandai Sebagai Spam Tandai sebagai Aman	Tidak	Tentukan cara menandai insiden.
Komentar	String	T/A	Ya	Tentukan komentar yang menjelaskan alasan insiden ditandai.

Dijalankan pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

{
    "code": "200",
    "status": "Incident status has already been updated before."
}

Repositori Kasus

Jenis hasil	Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika kode status 200 dilaporkan (is_success=true): "Successfully marked the incident {incident id} in PhishRod." Jika kode status 200 dilaporkan dan statusnya adalah "Incident status has already been updated before" (is_success = false): "Incident {incident id} was already marked previously in PhishRod. Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya dilaporkan: "Error executing action "Mark Incident". Reason: {0}''.format(error.Stacktrace) Jika kode status 400 atau 404 dilaporkan: "Error executing action "Mark Incident". Reason: {0}".format(message)"	Umum

Konektor

PhishRod - Incidents Connector

Deskripsi

Menarik informasi tentang insiden dari PhishRod.

Catatan: Filter daftar dinamis berfungsi dengan parameter "emailSubject".

Mengonfigurasi PhishRod - Incidents Connector di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi konektor di Google SecOps, lihat Mengonfigurasi konektor.

Parameter konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Nama Kolom Produk	String	Nama Produk	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Produk.
Nama Kolom Peristiwa	String	Kolom Peristiwa	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Peristiwa.
Nama Kolom Lingkungan	String	T/A	Tidak	Menjelaskan nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan tersebut adalah lingkungan default.
Pola Regex Lingkungan	String	.*	Tidak	Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom "Nama Kolom Lingkungan". Defaultnya adalah .* untuk menangkap semua dan menampilkan nilai yang tidak berubah. Digunakan untuk mengizinkan pengguna memanipulasi kolom lingkungan melalui logika ekspresi reguler. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik)	PythonProcessTimeout	300	Ya	Batas waktu tunggu untuk proses python yang menjalankan skrip saat ini.
Root API	String	https://{instance}.phishrod.co	Ya	Root API instance PhishRod.
Kunci API	Sandi	T/A	Ya	Kunci API akun PhishRod.
Client ID	Sandi	T/A	Ya	Client ID akun PhishRod.
Nama pengguna	String	T/A	Ya	Nama pengguna akun PhishRod.
Sandi	Sandi	T/A	Ya	Sandi akun PhishRod.
Skor Tingkat Keparahan Pemberitahuan	String	Sedang	Ya	Tetapkan tingkat keparahan untuk pemberitahuan berdasarkan insiden. Nilai yang mungkin: Informasi, Rendah, Sedang, Tinggi, Kritis.
Menggunakan daftar dinamis sebagai daftar hitam	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, daftar dinamis akan digunakan sebagai daftar hitam.
Verifikasi SSL	Kotak centang	Dicentang	Ya	Jika diaktifkan, setelan ini akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server Crowdstrike valid.
Alamat Server Proxy	String	T/A	Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String	T/A	Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi	T/A	Tidak	Sandi proxy untuk autentikasi.

Aturan konektor

Dukungan proxy

Konektor mendukung proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.