Se usó la API de Cloud Translation para traducir esta página.

Rapid7 InsightIDR

Versión de la integración: 7.0

Casos de uso

Usar los datos de InsightIDR para enriquecer la alerta procesada de Google Security Operations

Configura la integración de Rapid7 InsightIDR en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Raíz de la API	String	https://[region].api.insight.rapid7.com	Sí	Especifica la raíz de la API que se usará para la conexión.
Clave de API	Contraseña	N/A	Sí	Especifica la clave de API que se usará para la conexión.
Verificar SSL	Casilla de verificación	Marcado	No	Especifica si se debe validar el certificado configurado en la raíz de la API.

Acciones

Ping

Descripción

Prueba la conectividad con el servicio InsightIDR de Rapid7 con los parámetros proporcionados en la página de configuración de la integración en la pestaña Google Security Operations Marketplace.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de una guía: Si la conexión se realiza correctamente, se imprimirá el mensaje "Successfully connected to the Rapid7 InsightIDR service with the provided connection parameters!". La acción debería fallar y detener la ejecución de la guía: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad, imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la conexión se realiza correctamente, se imprimirá el mensaje "Successfully connected to the Rapid7 InsightIDR service with the provided connection parameters!".

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad, imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)

General

Enumera investigaciones

Descripción

Enumera las investigaciones de Rapid7 InsightIDR según los parámetros de entrada de acción especificados.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Período	Número entero	4	No	Especifica un período en horas para recuperar los hallazgos.
Límite de registros	Número entero	20	No	Especifica cuántos registros puede devolver la acción.
¿Incluir investigaciones cerradas?	Casilla de verificación	Desmarcado	No	Especifica si se deben incluir o no las investigaciones cerradas en los resultados.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Resultado de JSON

{
    "data": [
        {
            "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
            "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
            "status": "OPEN",
            "source": "ALERT",
            "assignee": {
                "name": "Tip Labops",
                "email": "tip.labops@siemplify.co"
            },
            "alerts": [
                {
                    "type": "Malicious Hash On Asset",
                    "type_description": "A malicious hash was found on an asset.",
                    "first_event_time": "2020-12-02T13:16:14.197Z"
                }
            ],
            "created_time": "2020-12-02T13:18:16.758Z"
        },
    ]
}

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: if successful: print "Rapid7 InsightIDR investigations found" if is_success=False, for example no investigations were found: print "No investigations were returned." La acción debe fallar y detener la ejecución del playbook: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)	General
CSV	Nombre de la tabla: Investigaciones de Rapid7 InsightIDR Columnas de la tabla: Título Estado Fuente Usuario asignado (Assignee.email) Alertas (lista en CSV de valores de alerts.type) Fecha de creación	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

if successful: print "Rapid7 InsightIDR investigations found"

if is_success=False, for example no investigations were found: print "No investigations were returned."

La acción debe fallar y detener la ejecución del playbook:
Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)

General

CSV

Nombre de la tabla: Investigaciones de Rapid7 InsightIDR

Columnas de la tabla:

Título

Estado

Fuente

Usuario asignado (Assignee.email)

Alertas (lista en CSV de valores de alerts.type)

Fecha de creación

General

Configurar el estado de la investigación

Descripción

Establece el estado de la investigación específica de Rapid7 InsightIDR.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de investigación	String	N/A	Sí	Es el ID de la investigación para la que se actualizará el estado. El ID debe tener un formato como 8ec8e324-4522-4a6e-9838-81496a0cadb0.
Estado	DDL	" "	Sí	Es el nuevo estado de la investigación.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Resultado de JSON

{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "CLOSED",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: Si la operación se realiza correctamente, imprime "El estado de la investigación {0} de Rapid7 InsightIDR cambió a {1}".format(investigation_id, status) if is_success=False, for example investigation with provided id was not found: print "Failed to update Rapid7 InsightIDR investigation status. El error es: {0}".format(error from response) La acción debe fallar y detener la ejecución del playbook: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si la operación se realiza correctamente, imprime "El estado de la investigación {0} de Rapid7 InsightIDR cambió a {1}".format(investigation_id, status)

if is_success=False, for example investigation with provided id was not found: print "Failed to update Rapid7 InsightIDR investigation status. El error es: {0}".format(error from response)

General

Establecer el usuario asignado de la investigación

Descripción

Establece el asignado para la investigación específica de Rapid7 InsightIDR.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de investigación	String	N/A	Sí	Es el ID de la investigación para la que se actualizará el estado. El ID debe tener el formato 8ec8e324-4522-4a6e-9838-81496a0cadb0.
Correo electrónico del usuario asignado	String	N/A	Sí	Es el correo electrónico del nuevo usuario asignado a la investigación.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Resultado de JSON

{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "OPEN",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: Si se ejecuta correctamente: Imprime "Se cambió el asignado de la investigación {0} de Rapid7 InsightIDR a {1}".format(investigation_id, assignee) if is_success=False, for example investigation with provided id was not found: print "Failed to update Rapid7 InsightIDR investigation assignee. El error es: {0}".format(error from response) La acción debe fallar y detener la ejecución del playbook: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si se ejecuta correctamente: Imprime "Se cambió el asignado de la investigación {0} de Rapid7 InsightIDR a {1}".format(investigation_id, assignee)

if is_success=False, for example investigation with provided id was not found: print "Failed to update Rapid7 InsightIDR investigation assignee. El error es: {0}".format(error from response)

General

Enumera las consultas guardadas

Descripción

Enumera las consultas guardadas de Rapid7 InsightIDR.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Límite de registros	Número entero	20	No	Especifica cuántos registros puede devolver la acción.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Resultado de JSON

{
    "saved_queries": [
        {
            "id": "00000000-0003-71fd-0000-000000000000",
            "name": "test3",
            "leql": {
                "statement": "where(destination_asset = \"hw-srv2016-rpd7.rapid7.local\" AND destination_user = \"administrator\")",
                "during": {
                    "time_range": "Last 1 Hour",
                    "to": null,
                    "from": null
                }
            },
            "logs": [
                "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
                "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
                "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
                "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
                "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
            ]
        },
    ]
}

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: if successful: print "Se encontraron las búsquedas guardadas de Rapid7 InsightIDR" if is_success=True, but no saved queries were found: print "No saved queries were returned." La acción debe fallar y detener la ejecución del playbook: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)	General
CSV	Nombre de la tabla: Consultas guardadas de Rapid7 InsightIDR Columnas de la tabla: ID Nombre Afirmación Intervalo de tiempo Hora de inicio Hora de finalización Registros	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

if successful: print "Se encontraron las búsquedas guardadas de Rapid7 InsightIDR"

if is_success=True, but no saved queries were found: print "No saved queries were returned."

General

CSV

Nombre de la tabla: Consultas guardadas de Rapid7 InsightIDR

Columnas de la tabla:

ID
Nombre

Afirmación

Intervalo de tiempo

Hora de inicio

Hora de finalización

Registros

General

Crear consulta guardada

Descripción

Crea una consulta guardada de Rapid7 InsightIDR en función de los parámetros de entrada de la acción especificada.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre	String	N/A	Sí	Nombre de la nueva búsqueda guardada.
Afirmación	String	N/A	Sí	Es una instrucción para ejecutar en la consulta que debe seguir la sintaxis de LEQL, por ejemplo: where(foo=bar).
Período	Número entero	4	Sí	Especifica un período en horas para el que la consulta debe recuperar datos.
Registros	String	N/A	No	Es la consulta de nombres de registros con la que se debe ejecutar la búsqueda. El parámetro acepta varios valores como una cadena separada por comas.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Resultado de JSON

{
    "saved_query": {
        "id": "00000000-0003-7216-0000-000000000000",
        "name": "MySearch4",
        "leql": {
            "statement": "where(bar=foo)",
            "during": {
                "time_range": null,
                "to": 1450557608000,
                "from": 1450557604000
            }
        },
        "logs": [
            "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
            "043584c7-113e-4ffc-a6b8-ea0be1a4f501"
        ]
    }
}

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: if successful: print "New Rapid7 InsightIDR saved query created: {0}".format(new query id from response) if is_success=False, for example syntax of query was incorrect: print "Failed to create Rapid7 InsightID saved query. El error es: {0}".format(error from response) La acción debe fallar y detener la ejecución del playbook: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

if successful: print "New Rapid7 InsightIDR saved query created: {0}".format(new query id from response)

if is_success=False, for example syntax of query was incorrect: print "Failed to create Rapid7 InsightID saved query. El error es: {0}".format(error from response)

General

Borrar la consulta guardada

Descripción

Borra la consulta guardada de Rapid7 InsightIDR.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de la consulta guardada	String	N/A	Sí	ID de la búsqueda guardada que se borrará, con el formato 00000000-0003-7218-0000-000000000000

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: if successful: print "Rapid7 InsightIDR saved query {0} was deleted successfully".format(query id) if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. El error es: {0}".format(error from response) La acción debe fallar y detener la ejecución del playbook: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "No se pudo conectar al servicio de Rapid7 InsightIDR". Error is {0}".format(exception.stacktrace)	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

if successful: print "Rapid7 InsightIDR saved query {0} was deleted successfully".format(query id)

if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. El error es: {0}".format(error from response)

General

Ejecutar consulta guardada

Descripción

Ejecuta una consulta guardada de Rapid7 InsightIDR.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de la consulta guardada	String	N/A	Sí	ID de la búsqueda guardada que se borrará, con el formato 00000000-0003-7218-0000-000000000000

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Resultado de JSON

{
    "logs": [
        "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
        "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
        "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
        "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
        "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
    ],
    "events": [
        {
            "sequence_number": 3237167368573841408,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:32.408Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071a3b\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61228\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071432.408008-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573841408?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573841408"
        },
        {
            "sequence_number": 3237167368573845504,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.433Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071708\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61226\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.433772-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573845504?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573845504"
        },
        {
            "sequence_number": 3237167368573849600,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.430Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716eb\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61225\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.430750-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573849600?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573849600"
        },
        {
            "sequence_number": 3237167368573853696,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.427Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716d1\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61224\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.427604-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573853696?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573853696"
        },

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: Si la operación se realiza correctamente, imprime "Se ejecutó correctamente la consulta guardada {0} de Rapid7 InsightIDR".format(ID de consulta) if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. El error es: {0}".format(error from response) La acción debería fallar y detener la ejecución del playbook: Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si la operación se realiza correctamente, imprime "Se ejecutó correctamente la consulta guardada {0} de Rapid7 InsightIDR".format(ID de consulta)

if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. El error es: {0}".format(error from response)

La acción debería fallar y detener la ejecución del playbook:
Si se produce un error crítico, como credenciales incorrectas o pérdida de conectividad: Imprime "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)

General

Actualizar investigación

Descripción

Actualiza la investigación en Rapid7 InsightIDR.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de investigación	String	N/A	Sí	Especifica el ID de la investigación que se debe actualizar.
Estado	DDL	Selecciona una opción Valores posibles: Abrir Investigación en curso Cerrado	No	Especifica el estado de la investigación.
ID de la consulta guardada	String	Selecciona una opción Valores posibles: Benigno Malicioso No aplicable	No	Especifica la disposición de la investigación.

Nombre visible del parámetro

Tipo

Valor predeterminado

Es obligatorio

Descripción

ID de investigación

String

N/A

Sí

Especifica el ID de la investigación que se debe actualizar.

Estado

DDL

Selecciona una opción

Valores posibles:

Abrir
Investigación en curso
Cerrado

Especifica el estado de la investigación.

ID de la consulta guardada

String

Selecciona una opción

Valores posibles:

Benigno
Malicioso
No aplicable

Especifica la disposición de la investigación.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor
is_success	is_success=False
is_success	is_success=True

Resultado de JSON

{
    "rrn": "rrn:investigation:eu:d16635a5-8a81-410c-8c33-67a4fbf26eb4:investigation:PAQBBKR4941D",
    "organization_id": "d16635a5-8a81-410c-8c33-67a4fbf26eb4",
    "title": "Suspicious Process - Malicious Hash On Asset",
    "source": "ALERT",
    "status": "OPEN",
    "priority": "HIGH",
    "last_accessed": "2022-10-12T13:08:37.650Z",
    "created_time": "2022-10-12T13:08:37.650Z",
    "disposition": "NOT_APPLICABLE",
    "assignee": null,
    "first_alert_time": "2022-10-12T13:08:37.643Z",
    "latest_alert_time": "2022-10-12T13:11:43.018Z"
}

Muro de casos

Tipo de resultado	Valor o descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de la guía: Si la información devuelta es correcta (is_success=true): "Se actualizó correctamente la investigación con el ID {ID de investigación} en Rapid7 InsightIDR". La acción debería fallar y detener la ejecución de la guía: Si se informa un error crítico, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, se mostrará el mensaje "Error al ejecutar la acción "Update Investigation". Reason: {0}''.format(error.Stacktrace)" Si no se encuentra la alerta: Se produjo un error al ejecutar la acción "Actualizar investigación". Motivo: No se encontró la investigación con el ID {investigation id} en Rapid7 InsightIDR. Revisa la ortografía". Si "Estado" y"Disposición" son "Seleccionar uno": "Error al ejecutar la acción "Actualizar investigación". Motivo: Al menos uno de los parámetros "Estado" o "Disposición" debe tener un valor.	General

Tipo de resultado

Valor o descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de la guía:

Si la información devuelta es correcta (is_success=true): "Se actualizó correctamente la investigación con el ID {ID de investigación} en Rapid7 InsightIDR".

La acción debería fallar y detener la ejecución de la guía:

Si se informa un error crítico, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, se mostrará el mensaje "Error al ejecutar la acción "Update Investigation". Reason: {0}''.format(error.Stacktrace)"

Si no se encuentra la alerta: Se produjo un error al ejecutar la acción "Actualizar investigación". Motivo: No se encontró la investigación con el ID {investigation id} en Rapid7 InsightIDR. Revisa la ortografía".

Si "Estado" y"Disposición" son "Seleccionar uno": "Error al ejecutar la acción "Actualizar investigación". Motivo: Al menos uno de los parámetros "Estado" o "Disposición" debe tener un valor.

General

Conectores

Rapid7 InsightIDR: conector de investigaciones

Descripción

Este conector se compila con extremos de API que se encuentran en la versión preliminar. Extrae información sobre la investigación de Rapid7 InsightIDR.

Parámetros del conector

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del campo del producto	String	data_type	Sí	Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento	String	source	Sí	Ingresa el nombre del campo de origen para recuperar el nombre del campo del evento.
Nombre del campo del entorno	String	""	No	Describe el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo del entorno, se usa el entorno predeterminado.
Patrón de regex del entorno	String	.*	No	Es un patrón de regex que se ejecutará en el valor que se encuentra en el campo "Nombre del campo del entorno". El valor predeterminado es .* para capturar todo y devolver el valor sin cambios. Se usa para permitir que el usuario manipule el campo del entorno a través de la lógica de regex. Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Tiempo de espera de la secuencia de comandos (segundos)	Número entero	180	Sí	Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API	String	https://{instance}.api.insight.rapid7.com	Sí	Es la raíz de la API de la instancia de Rapid7 InsightIDR.
Clave de API	String	N/A	Sí	Es la clave de API de la cuenta de Rapid7 InsightIDR.
Fuentes	CSV	ALERT,USER	No	Son las fuentes que se usan para recuperar investigaciones. Valores posibles: User, Alert. Si no se especifica nada, el conector ingiere investigaciones de ambas fuentes.
Prioridad más baja para recuperar	String	Medio	No	Es la prioridad más baja que se debe usar para recuperar investigaciones. Los valores posibles son: Low, Medium, High y Critical. Si no se especifica nada, el conector ingiere alertas con todos los niveles de gravedad.
Horas máximas hacia atrás	Número entero	1	No	Cantidad de horas desde las que se recuperarán las investigaciones.
Cantidad máxima de alertas para recuperar	Número entero	20	No	Cantidad de alertas que se procesarán en cada iteración del conector. El valor predeterminado es 20.
Usar la lista dinámica como lista negra	Casilla de verificación	Marcado	Sí	Si está habilitada, la lista dinámica se usa como lista negra.
Verificar SSL	Casilla de verificación	Marcado	Sí	Si está habilitada, verifica que el certificado SSL para la conexión al servidor de Darktrace sea válido.
Dirección del servidor proxy	String	N/A	No	Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy	String	N/A	No	Nombre de usuario del proxy con el que se realizará la autenticación.
Contraseña de proxy	Contraseña	N/A	No	Contraseña del proxy para la autenticación.

Reglas del conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.