Esta página foi traduzida pela API Cloud Translation.

Rapid7 InsightIDR

Versão da integração: 7.0

Casos de uso

Usar dados do InsightIDR para enriquecer o alerta processado do Google Security Operations.

Configurar a integração do Rapid7 InsightIDR no Google SecOps

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Raiz da API	String	https://[region].api.insight.rapid7.com	Sim	Especifique a raiz da API a ser usada para a conexão.
Chave de API	Senha	N/A	Sim	Especifique a chave de API a ser usada para a conexão.
Verificar SSL	Caixa de seleção	Selecionado	Não	Especifique se o certificado configurado na raiz da API precisa ser validado.

Ações

Ping

Descrição

Teste a conectividade com o serviço Rapid7 InsightIDR usando os parâmetros fornecidos na página de configuração da integração, na guia "Marketplace" do Google Security Operations.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução de um playbook: Se for bem-sucedido:print "Successfully connected to the Rapid7 InsightIDR service with the provided connection parameters!" A ação precisa falhar e interromper a execução de um playbook: Se houver um erro crítico, como credenciais incorretas ou perda de conectividade:imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido:print "Successfully connected to the Rapid7 InsightIDR service with the provided connection parameters!"

A ação precisa falhar e interromper a execução de um playbook:

Se houver um erro crítico, como credenciais incorretas ou perda de conectividade:imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)

Geral

Listar investigações

Descrição

Lista as investigações do Rapid7 InsightIDR com base nos parâmetros de entrada de ação especificados.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Período	Número inteiro	4	Não	Especifique um período em horas para buscar descobertas.
Limite de registros	Número inteiro	20	Não	Especifique quantos registros podem ser retornados pela ação.
Incluir investigações encerradas?	Caixa de seleção	Desmarcado	Não	Especifique se você quer incluir investigações encerradas nos resultados.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Resultado do JSON

{
    "data": [
        {
            "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
            "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
            "status": "OPEN",
            "source": "ALERT",
            "assignee": {
                "name": "Tip Labops",
                "email": "tip.labops@siemplify.co"
            },
            "alerts": [
                {
                    "type": "Malicious Hash On Asset",
                    "type_description": "A malicious hash was found on an asset.",
                    "first_event_time": "2020-12-02T13:16:14.197Z"
                }
            ],
            "created_time": "2020-12-02T13:18:16.758Z"
        },
    ]
}

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: if successful: print "Rapid7 InsightIDR investigations found" if is_success=False, por exemplo, nenhuma investigação foi encontrada: print "Nenhuma investigação foi retornada". A ação precisa falhar e interromper a execução do playbook : se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral
CSV	Nome da tabela:Rapid7 InsightIDR Investigations Colunas da tabela: Título Status Origem Usuário atribuído (Assignee.email) Alertas (lista CSV de valores "alerts.type") Hora da criação	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

if successful: print "Rapid7 InsightIDR investigations found"

if is_success=False, por exemplo, nenhuma investigação foi encontrada: print "Nenhuma investigação foi retornada".

A ação precisa falhar e interromper a execução do playbook
: se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)

Geral

CSV

Nome da tabela:Rapid7 InsightIDR Investigations

Colunas da tabela:

Título

Status

Origem

Usuário atribuído (Assignee.email)

Alertas (lista CSV de valores "alerts.type")

Hora da criação

Geral

Definir status da investigação

Descrição

Defina o status da investigação específica do Rapid7 InsightIDR.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID da investigação	String	N/A	Sim	ID da investigação para atualizar o status. O ID precisa estar no formato 8ec8e324-4522-4a6e-9838-81496a0cadb0
Status	DDL	" "	Sim	Novo status da investigação.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Resultado do JSON

{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "CLOSED",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: if successful:print "Rapid7 InsightIDR Investigation {0} status changed to {1}".format(investigation_id, status) if is_success=False, por exemplo, a investigação com o ID fornecido não foi encontrada: print "Failed to update Rapid7 InsightIDR investigation status. O erro é: {0}".format(error from response) A ação precisa falhar e interromper a execução do playbook : se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

if successful:print "Rapid7 InsightIDR Investigation {0} status changed to {1}".format(investigation_id, status)

if is_success=False, por exemplo, a investigação com o ID fornecido não foi encontrada: print "Failed to update Rapid7 InsightIDR investigation status. O erro é: {0}".format(error from response)

Geral

Definir o responsável pela investigação

Descrição

Defina o destinatário da investigação específica do Rapid7 InsightIDR.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID da investigação	String	N/A	Sim	ID da investigação para atualizar o status. O ID precisa estar no formato 8ec8e324-4522-4a6e-9838-81496a0cadb0.
E-mail do usuário atribuído	String	N/A	Sim	E-mail de um novo usuário atribuído à investigação.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Resultado do JSON

{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "OPEN",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: Se for bem-sucedido:imprima "O atribuidor da investigação {0} do Rapid7 InsightIDR foi alterado para {1}".format(investigation_id, assignee) if is_success=False, por exemplo, a investigação com o ID fornecido não foi encontrada: print "Failed to update Rapid7 InsightIDR investigation assignee. O erro é: {0}".format(error from response) A ação precisa falhar e interromper a execução do playbook : se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

Se for bem-sucedido:imprima "O atribuidor da investigação {0} do Rapid7 InsightIDR foi alterado para {1}".format(investigation_id, assignee)

if is_success=False, por exemplo, a investigação com o ID fornecido não foi encontrada: print "Failed to update Rapid7 InsightIDR investigation assignee. O erro é: {0}".format(error from response)

Geral

Listar consultas salvas

Descrição

Lista as consultas salvas do Rapid7 InsightIDR.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Limite de registros	Número inteiro	20	Não	Especifique quantos registros podem ser retornados pela ação.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Resultado do JSON

{
    "saved_queries": [
        {
            "id": "00000000-0003-71fd-0000-000000000000",
            "name": "test3",
            "leql": {
                "statement": "where(destination_asset = \"hw-srv2016-rpd7.rapid7.local\" AND destination_user = \"administrator\")",
                "during": {
                    "time_range": "Last 1 Hour",
                    "to": null,
                    "from": null
                }
            },
            "logs": [
                "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
                "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
                "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
                "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
                "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
            ]
        },
    ]
}

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: if successful:print "Rapid7 InsightIDR saved queries found" if is_success=True, but no saved queries were found: print "No saved queries were returned." A ação precisa falhar e interromper a execução do playbook : se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral
CSV	Nome da tabela:consultas salvas do Rapid7 InsightIDR Colunas da tabela: ID Name Orientação Intervalo de tempo Horário de início Horário de término Registros	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

if successful:print "Rapid7 InsightIDR saved queries found"

if is_success=True, but no saved queries were found: print "No saved queries were returned."

Geral

CSV

Nome da tabela:consultas salvas do Rapid7 InsightIDR

Colunas da tabela:

ID
Name

Orientação

Intervalo de tempo

Horário de início

Horário de término

Registros

Geral

Criar consulta salva

Descrição

Cria uma consulta salva do Rapid7 InsightIDR com base nos parâmetros de entrada de ação especificados.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome	String	N/A	Sim	Nome da nova consulta salva.
Orientação	String	N/A	Sim	Uma instrução a ser executada na consulta, que precisa seguir a sintaxe LEQL. Por exemplo: where(foo=bar).
Período	Número inteiro	4	Sim	Especifique um período em horas para que a consulta busque dados.
Registros	String	N/A	Não	A consulta de nomes de registros precisa ser executada. O parâmetro aceita vários valores como uma string separada por vírgulas.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Resultado do JSON

{
    "saved_query": {
        "id": "00000000-0003-7216-0000-000000000000",
        "name": "MySearch4",
        "leql": {
            "statement": "where(bar=foo)",
            "during": {
                "time_range": null,
                "to": 1450557608000,
                "from": 1450557604000
            }
        },
        "logs": [
            "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
            "043584c7-113e-4ffc-a6b8-ea0be1a4f501"
        ]
    }
}

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: Se for bem-sucedido:imprima "New Rapid7 InsightIDR saved query created: {0}".format(new query id from response) if is_success=False, for example syntax of query was incorrect: print "Failed to create Rapid7 InsightID saved query. O erro é: {0}".format(error from response) A ação precisa falhar e interromper a execução do playbook : se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

Se for bem-sucedido:imprima "New Rapid7 InsightIDR saved query created: {0}".format(new query id from response)

if is_success=False, for example syntax of query was incorrect: print "Failed to create Rapid7 InsightID saved query. O erro é: {0}".format(error from response)

Geral

Excluir consulta salva

Descrição

Exclui a consulta salva do Rapid7 InsightIDR.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID da consulta salva	String	N/A	Sim	ID da consulta salva a ser excluída no formato 00000000-0003-7218-0000-000000000000

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: Se for bem-sucedido:print "A consulta salva do Rapid7 InsightIDR {0} foi excluída".format(ID da consulta) if is_success=False, por exemplo, um ID de consulta errado foi fornecido: print "Failed to delete Rapid7 InsightID saved query. O erro é: {0}".format(error from response) A ação precisa falhar e interromper a execução do playbook : se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

Se for bem-sucedido:print "A consulta salva do Rapid7 InsightIDR {0} foi excluída".format(ID da consulta)

if is_success=False, por exemplo, um ID de consulta errado foi fornecido: print "Failed to delete Rapid7 InsightID saved query. O erro é: {0}".format(error from response)

Geral

Executar consulta salva

Descrição

Execute uma consulta salva do Rapid7 InsightIDR.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID da consulta salva	String	N/A	Sim	ID da consulta salva a ser excluída no formato 00000000-0003-7218-0000-000000000000

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Resultado do JSON

{
    "logs": [
        "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
        "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
        "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
        "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
        "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
    ],
    "events": [
        {
            "sequence_number": 3237167368573841408,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:32.408Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071a3b\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61228\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071432.408008-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573841408?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573841408"
        },
        {
            "sequence_number": 3237167368573845504,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.433Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071708\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61226\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.433772-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573845504?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573845504"
        },
        {
            "sequence_number": 3237167368573849600,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.430Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716eb\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61225\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.430750-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573849600?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573849600"
        },
        {
            "sequence_number": 3237167368573853696,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.427Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716d1\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61224\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.427604-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573853696?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573853696"
        },

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: Se for bem-sucedida:print "Rapid7 InsightIDR saved query {0} executed successfully".format(query id) if is_success=False, por exemplo, um ID de consulta errado foi fornecido: print "Failed to delete Rapid7 InsightID saved query. O erro é: {0}".format(error from response) A ação precisa falhar e interromper a execução do playbook: se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

Se for bem-sucedida:print "Rapid7 InsightIDR saved query {0} executed successfully".format(query id)

if is_success=False, por exemplo, um ID de consulta errado foi fornecido: print "Failed to delete Rapid7 InsightID saved query. O erro é: {0}".format(error from response)

A ação precisa falhar e interromper a execução do playbook:
se houver um erro crítico, como credenciais incorretas ou perda de conectividade, imprima "Não foi possível se conectar ao serviço Rapid7 InsightIDR! O erro é {0}".format(exception.stacktrace)

Geral

Atualizar investigação

Descrição

Atualize a investigação no Rapid7 InsightIDR.

Parâmetros

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID da investigação	String	NA	Sim	Especifique o ID da investigação que precisa ser atualizada.
Status	DDL	Selecione uma opção. Valores possíveis: Abrir Em investigação Fechado	Não	Especifique o status da investigação.
ID da consulta salva	String	Selecione uma opção. Valores possíveis: Benigno Malicioso Não aplicável	Não	Especifique a disposição da investigação.

Nome de exibição do parâmetro

Tipo

Valor padrão

É obrigatório

Descrição

ID da investigação

String

Sim

Especifique o ID da investigação que precisa ser atualizada.

Status

DDL

Selecione uma opção.

Valores possíveis:

Abrir
Em investigação
Fechado

Não

Especifique o status da investigação.

ID da consulta salva

String

Selecione uma opção.

Valores possíveis:

Benigno
Malicioso
Não aplicável

Não

Especifique a disposição da investigação.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor
is_success	is_success=False
is_success	is_success=True

Resultado do JSON

{
    "rrn": "rrn:investigation:eu:d16635a5-8a81-410c-8c33-67a4fbf26eb4:investigation:PAQBBKR4941D",
    "organization_id": "d16635a5-8a81-410c-8c33-67a4fbf26eb4",
    "title": "Suspicious Process - Malicious Hash On Asset",
    "source": "ALERT",
    "status": "OPEN",
    "priority": "HIGH",
    "last_accessed": "2022-10-12T13:08:37.650Z",
    "created_time": "2022-10-12T13:08:37.650Z",
    "disposition": "NOT_APPLICABLE",
    "assignee": null,
    "first_alert_time": "2022-10-12T13:08:37.643Z",
    "latest_alert_time": "2022-10-12T13:11:43.018Z"
}

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não pode falhar nem interromper a execução do playbook: Se as informações retornadas forem (is_success=true): "A investigação com o ID {investigation id} foi atualizada no Rapid7 InsightIDR." A ação deve falhar e interromper a execução do playbook: Se um erro crítico, como credenciais incorretas, falta de conexão com o servidor ou outro, for informado: "Erro ao executar a ação "Atualizar investigação". Motivo: {0}''.format(error.Stacktrace)" Se o alerta não for encontrado:erro ao executar a ação "Atualizar investigação". Motivo: a investigação com o ID {investigation id} não foi encontrada no Rapid7 InsightIDR. Verifique a ortografia." Se "Status" e"Encaminhamento" forem "Selecione um": "Erro ao executar a ação "Atualizar investigação". Motivo: pelo menos um dos parâmetros "Status" ou "Disposição" precisa ter um valor.	Geral

Tipo de resultado

Valor / Descrição

Tipo

Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

Se as informações retornadas forem (is_success=true): "A investigação com o ID {investigation id} foi atualizada no Rapid7 InsightIDR."

A ação deve falhar e interromper a execução do playbook:

Se um erro crítico, como credenciais incorretas, falta de conexão com o servidor ou outro, for informado: "Erro ao executar a ação "Atualizar investigação". Motivo: {0}''.format(error.Stacktrace)"

Se o alerta não for encontrado:erro ao executar a ação "Atualizar investigação". Motivo: a investigação com o ID {investigation id} não foi encontrada no Rapid7 InsightIDR. Verifique a ortografia."

Se "Status" e"Encaminhamento" forem "Selecione um": "Erro ao executar a ação "Atualizar investigação". Motivo: pelo menos um dos parâmetros "Status" ou "Disposição" precisa ter um valor.

Geral

Conectores

Rapid7 InsightIDR: conector de investigações

Descrição

Esse conector é criado usando endpoints de API em versão prévia. Extrai informações sobre investigações do Rapid7 InsightIDR.

Parâmetros do conector

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do campo do produto	String	data_type	Sim	Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento	String	source	Sim	Insira o nome do campo de origem para recuperar o nome do campo de evento.
Nome do campo de ambiente	String	""	Não	Descreve o nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente será o padrão.
Padrão de regex do ambiente	String	.*	Não	Um padrão de regex a ser executado no valor encontrado no campo "Nome do campo de ambiente". O padrão é ".*" para capturar tudo e retornar o valor sem alterações. Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex. Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite do script (segundos)	Número inteiro	180	Sim	Limite de tempo limite para o processo Python que executa o script atual.
Raiz da API	String	https://{instance}.api.insight.rapid7.com	Sim	Raiz da API da instância do Rapid7 InsightIDR.
Chave de API	String	N/A	Sim	Chave de API da conta do Rapid7 InsightIDR.
Fontes	CSV	ALERT,USER	Não	Fontes usadas para buscar investigações. Valores possíveis: User, Alert. Se nada for fornecido, o conector vai ingerir investigações das duas fontes.
Menor prioridade a ser buscada	String	Médio	Não	A prioridade mais baixa que precisa ser usada para buscar investigações. Valores possíveis: "Baixa", "Média", "Alta" e "Crítica". Se nada for especificado, o conector vai ingerir alertas de todas as gravidades.
Máximo de horas para trás	Número inteiro	1	Não	Número de horas de onde buscar investigações.
Número máximo de alertas a serem buscados	Número inteiro	20	Não	Número de alertas a serem processados por iteração de conector. Padrão: 20.
Usar lista dinâmica como lista de proibições	Caixa de seleção	Selecionado	Sim	Se ativada, a lista dinâmica será usada como uma lista de proibições.
Verificar SSL	Caixa de seleção	Selecionado	Sim	Se ativada, verifique se o certificado SSL da conexão com o servidor Darktrace é válido.
Endereço do servidor proxy	String	N/A	Não	O endereço do servidor proxy a ser usado.
Nome de usuário do proxy	String	N/A	Não	O nome de usuário do proxy para autenticação.
Senha do proxy	Senha	N/A	Não	A senha do proxy para autenticação.

Regras de conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.