Rapid7 InsightIDR

Integrationsversion: 7.0

Anwendungsbereiche

InsightIDR-Daten zur Anreicherung verarbeiteter Google Security Operations-Benachrichtigungen verwenden

Rapid7 InsightIDR-Integration in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
API-Stamm	String	https://[region].api.insight.rapid7.com	Ja	Geben Sie den API-Stamm an, der für die Verbindung verwendet werden soll.
API-Schlüssel	Passwort	–	Ja	Geben Sie den API-Schlüssel an, der für die Verbindung verwendet werden soll.
SSL überprüfen	Kästchen	Aktiviert	Nein	Geben Sie an, ob das im API-Stamm konfigurierte Zertifikat validiert werden soll.

Hinweis :Sie können bei Bedarf später Änderungen vornehmen. Nach der Konfiguration können die Instanzen in Playbooks verwendet werden. Ausführliche Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zum Rapid7 InsightIDR-Dienst mit den Parametern, die auf der Seite mit der Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen. Bei Erfolg: „Successfully connected to the Rapid7 InsightIDR service with the provided connection parameters!“ (Die Verbindung zum Rapid7 InsightIDR-Dienst wurde mit den angegebenen Verbindungsparametern hergestellt.) Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Bei einem kritischen Fehler, z. B. falschen Anmeldedaten oder Verbindungsverlust: „Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein

Untersuchungen auflisten

Beschreibung

Listet Rapid7 InsightIDR-Untersuchungen basierend auf den angegebenen Eingabeparametern für die Aktion auf.

Hinweis :Die Aktion funktioniert nicht mit Google SecOps-Entitäten, sondern nur mit Aktions-Eingabeparametern.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Zeitraum	Ganzzahl	4	Nein	Geben Sie einen Zeitraum in Stunden an, für den Ergebnisse abgerufen werden sollen.
Datensatzlimit	Ganzzahl	20	Nein	Geben Sie an, wie viele Datensätze von der Aktion zurückgegeben werden können.
Geschlossene Untersuchungen einschließen?	Kästchen	Deaktiviert	Nein	Geben Sie an, ob geschlossene Untersuchungen in die Ergebnisse einbezogen werden sollen.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "data": [
        {
            "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
            "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
            "status": "OPEN",
            "source": "ALERT",
            "assignee": {
                "name": "Tip Labops",
                "email": "[e-mail]"
            },
            "alerts": [
                {
                    "type": "Malicious Hash On Asset",
                    "type_description": "A malicious hash was found on an asset.",
                    "first_event_time": "2020-12-02T13:16:14.197Z"
                }
            ],
            "created_time": "2020-12-02T13:18:16.758Z"
        },
    ]
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg:print "Rapid7 InsightIDR investigations found" Wenn is_success=False ist, z. B. keine Untersuchungen gefunden wurden:print "No investigations were returned." Aktion sollte fehlschlagen und die Playbook-Ausführung beenden bei kritischem Fehler, z. B. falsche Anmeldedaten oder Verbindungsverlust: print "Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein
CSV	Tabellenname:Rapid7 InsightIDR Investigations Tabellenspalten: Titel Status Quelle Zuständige Person (Assignee.email) Benachrichtigungen (CSV-Liste der Werte für „alerts.type“) Erstellt um	Allgemein

Prüfungsstatus festlegen

Beschreibung

Legen Sie den Status für die jeweilige Rapid7 InsightIDR-Untersuchung fest.

Hinweis: Die Aktion funktioniert nicht mit Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Prüfungs-ID	String	–	Ja	ID der Untersuchung, für die der Status aktualisiert werden soll. Die ID sollte das Format 8ec8e324-4522-4a6e-9838-81496a0cadb0 haben.
Status	DDL	" "	Ja	Neuer Status der Prüfung.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "CLOSED",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "[e-mail]"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg:print "Rapid7 InsightIDR Investigation {0} status changed to {1}".format(investigation_id, status) if is_success=False, for example investigation with provided id was not found: print "Failed to update Rapid7 InsightIDR investigation status. Fehler: {0}".format(error from response) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden bei kritischem Fehler, z. B. falsche Anmeldedaten oder Verbindungsverlust: print "Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein

Zuständige Person für die Prüfung festlegen

Beschreibung

Weisen Sie der jeweiligen Rapid7 InsightIDR-Untersuchung einen Verantwortlichen zu.

Hinweis: Die Aktion funktioniert nicht mit Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Prüfungs-ID	String	–	Ja	ID der Untersuchung, für die der Status aktualisiert werden soll. Die ID sollte das Format 8ec8e324-4522-4a6e-9838-81496a0cadb0 haben.
E‑Mail-Adresse der zuständigen Person	String	–	Ja	E‑Mail-Adresse einer neuen zuständigen Person für die Untersuchung.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "OPEN",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "[e-mail]"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg:print "Rapid7 InsightIDR Investigation {0} assignee changed to {1}".format(investigation_id, assignee) if is_success=False, for example investigation with provided id was not found: print "Failed to update Rapid7 InsightIDR investigation assignee. Fehler: {0}".format(error from response) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden bei kritischem Fehler, z. B. falsche Anmeldedaten oder Verbindungsverlust: print "Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein

Gespeicherte Abfragen auflisten

Beschreibung

Gespeicherte Abfragen für Rapid7 InsightIDR auflisten.

Hinweis :Die Aktion funktioniert nicht mit Google SecOps-Entitäten, sondern nur mit Aktions-Eingabeparametern.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Datensatzlimit	Ganzzahl	20	Nein	Geben Sie an, wie viele Datensätze von der Aktion zurückgegeben werden können.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "saved_queries": [
        {
            "id": "00000000-0003-71fd-0000-000000000000",
            "name": "test3",
            "leql": {
                "statement": "where(destination_asset = \"hw-srv2016-rpd7.rapid7.local\" AND destination_user = \"administrator\")",
                "during": {
                    "time_range": "Last 1 Hour",
                    "to": null,
                    "from": null
                }
            },
            "logs": [
                "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
                "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
                "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
                "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
                "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
            ]
        },
    ]
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg: „Rapid7 InsightIDR saved queries found“ ausgeben if is_success=True, but no saved queries were found:print "No saved queries were returned." Aktion sollte fehlschlagen und die Playbook-Ausführung beenden bei kritischem Fehler, z. B. falsche Anmeldedaten oder Verbindungsverlust: print "Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein
CSV	Tabellenname:Rapid7 InsightIDR Saved Queries Tabellenspalten: ID Name Aussage Zeitraum Beginn Ende Logs	Allgemein

Gespeicherte Abfrage erstellen

Beschreibung

Erstellen Sie eine gespeicherte Rapid7 InsightIDR-Abfrage basierend auf den angegebenen Aktions-Eingabeparametern.

Hinweis: Die Aktion funktioniert nicht mit Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Name	String	–	Ja	Name für die neue gespeicherte Abfrage.
Aussage	String	–	Ja	Eine Anweisung, die in der Abfrage ausgeführt werden soll, muss der LEQL-Syntax entsprechen, z. B. „where(foo=bar)“.
Zeitraum	Ganzzahl	4	Ja	Geben Sie einen Zeitraum in Stunden an, für den Daten abgerufen werden sollen.
Logs	String	–	Nein	Die Abfrage für Lognamen sollte ausgeführt werden. Der Parameter akzeptiert mehrere Werte als durch Kommas getrennten String.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "saved_query": {
        "id": "00000000-0003-7216-0000-000000000000",
        "name": "MySearch4",
        "leql": {
            "statement": "where(bar=foo)",
            "during": {
                "time_range": null,
                "to": 1450557608000,
                "from": 1450557604000
            }
        },
        "logs": [
            "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
            "043584c7-113e-4ffc-a6b8-ea0be1a4f501"
        ]
    }
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg:print "New Rapid7 InsightIDR saved query created: {0}".format(new query id from response) Wenn is_success=False ist, z. B. weil die Syntax der Abfrage falsch war:print "Failed to create Rapid7 InsightID saved query. Fehler: {0}".format(error from response) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden bei kritischem Fehler, z. B. falsche Anmeldedaten oder Verbindungsverlust: print "Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein

Gespeicherte Abfrage löschen

Beschreibung

Gespeicherte Rapid7 InsightIDR-Abfrage löschen

Hinweis: Die Aktion funktioniert nicht mit Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
ID der gespeicherten Abfrage	String	–	Ja	ID der zu löschenden gespeicherten Abfrage im Format 00000000-0003-7218-0000-000000000000

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg:print "Rapid7 InsightIDR saved query {0} was deleted successfully".format(query id) if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. Fehler: {0}".format(error from response) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden bei kritischem Fehler, z. B. falsche Anmeldedaten oder Verbindungsverlust: print "Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein

Gespeicherte Abfrage ausführen

Beschreibung

Führen Sie eine gespeicherte Rapid7 InsightIDR-Abfrage aus.

Hinweis: Die Aktion funktioniert nicht mit Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
ID der gespeicherten Abfrage	String	–	Ja	ID der zu löschenden gespeicherten Abfrage im Format 00000000-0003-7218-0000-000000000000

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "logs": [
        "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
        "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
        "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
        "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
        "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
    ],
    "events": [
        {
            "sequence_number": 3237167368573841408,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:32.408Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071a3b\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61228\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071432.408008-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573841408?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573841408"
        },
        {
            "sequence_number": 3237167368573845504,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.433Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071708\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61226\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.433772-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573845504?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573845504"
        },
        {
            "sequence_number": 3237167368573849600,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.430Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716eb\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61225\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.430750-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573849600?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573849600"
        },
        {
            "sequence_number": 3237167368573853696,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.427Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716d1\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61224\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.427604-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573853696?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573853696"
        },

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Bei Erfolg:print "Rapid7 InsightIDR saved query {0} executed successfully".format(query id) if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. Fehler: {0}".format(error from response) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden bei kritischem Fehler, z. B. falsche Anmeldedaten oder Verbindungsverlust: „Failed to connect to the Rapid7 InsightIDR service! Fehler: {0}".format(exception.stacktrace)	Allgemein

Prüfung aktualisieren

Beschreibung

Untersuchung in Rapid7 InsightIDR aktualisieren.

Hinweis :Diese Aktion basiert auf API-Endpunkten, die sich in der Vorabversion befinden.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Prüfungs-ID	String	–	Ja	Geben Sie die ID der Untersuchung an, die aktualisiert werden muss.
Status	DDL	Wählen Sie eine Option aus. Mögliche Werte: Öffnen Wird untersucht Geschlossen	Nein	Geben Sie den Status für die Untersuchung an.
ID der gespeicherten Abfrage	String	Wählen Sie eine Option aus. Mögliche Werte: Gutartig Schädlich Nicht zutreffend	Nein	Geben Sie die Disposition für die Untersuchung an.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "rrn": "rrn:investigation:eu:d16635a5-8a81-410c-8c33-67a4fbf26eb4:investigation:PAQBBKR4941D",
    "organization_id": "d16635a5-8a81-410c-8c33-67a4fbf26eb4",
    "title": "Suspicious Process - Malicious Hash On Asset",
    "source": "ALERT",
    "status": "OPEN",
    "priority": "HIGH",
    "last_accessed": "2022-10-12T13:08:37.650Z",
    "created_time": "2022-10-12T13:08:37.650Z",
    "disposition": "NOT_APPLICABLE",
    "assignee": null,
    "first_alert_time": "2022-10-12T13:08:37.643Z",
    "latest_alert_time": "2022-10-12T13:11:43.018Z"
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabemeldung*	Aktion darf nicht fehlschlagen und die Playbook-Ausführung darf nicht beendet werden: Wenn zurückgegebene Informationen (is_success=true): „Successfully updated investigation with ID {investigation id} in Rapid7 InsightIDR.“ (Die Untersuchung mit der ID {investigation id} wurde in Rapid7 InsightIDR erfolgreich aktualisiert.) Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn ein kritischer Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Update Investigation‘. Grund: {0}''.format(error.Stacktrace) Wenn die Benachrichtigung nicht gefunden wird:Fehler beim Ausführen der Aktion „Prüfung aktualisieren“. Grund: Die Untersuchung mit der ID {investigation id} wurde in Rapid7 InsightIDR nicht gefunden. Bitte überprüfen Sie die Rechtschreibung.“ Wenn „Status“ und „Verfügung“ auf „Auswählen“ festgelegt sind: „Fehler beim Ausführen der Aktion ‚Untersuchung aktualisieren‘. Grund: Mindestens einer der Parameter „Status“ oder „Verfügung“ sollte einen Wert haben.“	Allgemein

Connectors

Rapid7 InsightIDR – Investigations Connector

Beschreibung

Dieser Connector basiert auf API-Endpunkten, die sich in der Vorabversion befinden. Informationen zur Untersuchung aus Rapid7 InsightIDR abrufen.

Hinweis: Der dynamische Listenfilter funktioniert mit dem Parameter „title“.

Connector-Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	data_type	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds	String	source	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Feldname der Umgebung	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	.*	Nein	Ein regulärer Ausdruck, der auf den Wert im Feld „Name des Umgebungsfelds“ angewendet wird. Der Standardwert ist „.*“, um alle Werte zu erfassen und unverändert zurückzugeben. Damit kann der Nutzer das Feld „environment“ über Regex-Logik bearbeiten. Wenn das reguläre Ausdrucksmuster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden)	Ganzzahl	180	Ja	Zeitlimit für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.
API-Stamm	String	https://{instance}.api.insight.rapid7.com	Ja	API-Stammverzeichnis der Rapid7 InsightIDR-Instanz.
API-Schlüssel	String	–	Ja	API-Schlüssel des Rapid7 InsightIDR-Kontos.
Quellen	CSV	ALERT,USER	Nein	Quellen, die zum Abrufen von Analysen verwendet werden. Mögliche Werte: „User“, „Alert“. Wenn nichts angegeben ist, werden Untersuchungen aus beiden Quellen aufgenommen.
Niedrigste Priorität für Abruf	String	Mittel	Nein	Die niedrigste Priorität, die zum Abrufen von Untersuchungen verwendet werden muss. Mögliche Werte: Niedrig, Mittel, Hoch, Kritisch. Wenn nichts angegeben ist, werden Warnungen mit allen Schweregraden aufgenommen.
Maximale Stunden zurück	Ganzzahl	1	Nein	Anzahl der Stunden, ab denen Untersuchungen abgerufen werden sollen.
Max. Anzahl der abzurufenden Benachrichtigungen	Ganzzahl	20	Nein	Anzahl der Warnungen, die pro Connector-Iteration verarbeitet werden sollen. Standard: 20.
Dynamische Liste als Sperrliste verwenden	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Darktrace-Server gültig ist.
Proxyserveradresse	String	–	Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String	–	Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort	–	Nein	Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxy.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten