Recorded Future

במסמך הזה מוסבר איך לשלב את Recorded Future עם Google SecOps.

תרחישים לדוגמה

  1. תעדוף נקודות חולשה.
  2. חקירה, העשרה ותגובה של אינדיקטורים לאיומים.

הגדרה של Recorded Future לעבודה עם Google Security Operations

הרשאת מוצר

טוקן API משמש לאימות ספציפי למשתמש ומקושר לפריסה הארגונית של המשתמשים.

רשת

תפקיד יציאת ברירת מחדל כיוון פרוטוקול
API ערכים מרובים להעברת נתונים apitoken

הגדרת שילוב של Recorded Future ב-Google SecOps

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המופע שרוצים להגדיר עבורו שילוב.
תיאור String לא רלוונטי לא תיאור המופע.
כתובת ה-URL של ה-API Sring https://api.recordedfuture.com כן הכתובת של מופע Recorded Future.
מפתח API String לא רלוונטי כן נוצר במסוף של Recorded Future.
אימות SSL תיבת סימון התיבה לא מסומנת לא מסמנים את תיבת הסימון הזו אם החיבור שלכם ל-Recorded Future דורש אימות SSL.
הרצה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להריץ את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש (הסוכן) מרחוק.

פעולות

העשרת IOC

תיאור

אחזור מידע על מספר ישויות מסוגים שונים מ-Google SecOps.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף דירוג הסיכונים מספר שלם 25 כן מייצג את ציון הסיכון המינימלי לכל ישות כדי לסמן אותה כחשודה.

ריצה

הפעולה צריכה לקחת כל אחת מהישויות הבאות ולשלוח אותן להעשרה באמצעות Recorded Future:

  • כתובת IP
  • כתובת URL
  • Filehash
  • CVE
  • DOomain

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה מקור (מפתח JSON) לוגיקה – מתי להחיל
isSuspicious אם חורגים מפרמטר הסף כשהנתונים זמינים בפורמט JSON
RF_id Results[ ].Entity.id כשהנתונים זמינים בפורמט JSON
RF_name Results[ ].Entity.name כשהנתונים זמינים בפורמט JSON
RF_type Results[ ].Entity.type כשהנתונים זמינים בפורמט JSON
RF_descrription Results[ ].Entity.description כשהנתונים זמינים בפורמט JSON
RF_risk_level Results[ ].Risk.level כשהנתונים זמינים בפורמט JSON
RF_risk_score Results[ ].Risk.score כשהנתונים זמינים בפורמט JSON
RF_number_of_matched_rules Results[ ].Risk.Rule.count כשהנתונים זמינים בפורמט JSON
RF_most_critical_rule Results[ ].Risk.Rule.mostCritical כשהנתונים זמינים בפורמט JSON
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "results": [
            {
                "entity": {
                    "id": "J_IWqd",
                    "name": "CVE-2012-1723",
                    "type": "CyberVulnerability",
                    "description": "Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE 7 update 4 and earlier, 6 update 32 and earlier, 5 update 35 and earlier, and 1.4.2_37 and earlier allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors related to Hotspot."
                },
                "risk": {
                    "level": 5.0,
                    "rule": {
                        "count": 9,
                        "mostCritical": "Exploited in the Wild by Recently Active Malware",
                        "maxCount": 22,
                        "evidence": {
                            "linkedToCyberExploit": {
                                "count": 55.0,
                                "timestamp": "2019-06-18T13:19:28.000Z",
                                "description": "2682 sightings on 55 sources including: Guided Collection, fakegogle.blogspot.com, netdna-cdn.com, GitHub, Ver007 APT Tools. Most recent tweet: KAV/Checkpoint CVE-2012-1723 Generic Exploit Kit. Most recent link (Jun 18, 2019): https://twitter.com/EskimoTrolled/statuses/1140972295894249472",
                                "rule": "Linked to Historical Cyber Exploit",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "recentMalwareActivity": {
                                "count": 1.0,
                                "timestamp": "2020-10-07T00:00:00.000Z",
                                "description": "66 sightings on 1 source: Recorded Future Malware Hunting. Activity seen on 12 out of the last 28 days with 255 all-time daily sightings. Exploited in the wild by 11 malware families including <e id=LXUcJk>ExpJava</e>, <e id=K05qo4>JavaKC</e>, <e id=KeKuaF>Maljava</e>. Last observed on Oct 7, 2020. Sample hash: <e id=hash:7c0ed2b98af4076c64ec84f7ea38b05ea2432ec0337b963756ffced54a6f69c4>7c0ed2b98af4076c64ec84f7ea38b05ea2432ec0337b963756ffced54a6f69c4</e>.",
                                "rule": "Exploited in the Wild by Recently Active Malware",
                                "mitigation": "",
                                "level": 5.0
                            },
                            "linkedToRAT": {
                                "count": 26.0,
                                "timestamp": "2020-08-03T00:00:00.000Z",
                                "description": "174 sightings on 26 sources including: Guided Collection, GitHub, medium.com, MarketWatch, SYS-CON Media. 4 related malwares: Uroburos Rootkit, Blackhole, Icefog, Zeroaccess. Most recent link (Aug 3, 2020): https://reportcybercrime.com/the-epic-turla-snake-uroburos-attacks/",
                                "rule": "Historically Linked to Remote Access Trojan",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "linkedToExploitKit": {
                                "count": 13.0,
                                "timestamp": "2019-07-30T01:01:59.793Z",
                                "description": "62 sightings on 13 sources including: Guided Collection, medium.com, GitHub, Avast Blog, TechNet Blogs. 12 related malwares including Nuclear Pack Exploit Kit, Blackhole, Angler Exploit Kit, Blacole, Egypack. Most recent link (Jul 30, 2019): http://blog.malwaremustdie.org/2012/09/monitoring-blackhole-exploit-kit.html",
                                "rule": "Historically Linked to Exploit Kit",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "nistCritical": {
                                "count": 1.0,
                                "timestamp": "2020-10-01T03:03:20.930Z",
                                "description": "1 sighting on 1 source: Recorded Future Vulnerability Analysis. CVSS v2 Score (10) calculated using NIST reported CVSS Base Score (10) and Recorded Future Temporal Metrics. Base vector string: AV:N/AC:L/Au:N/C:C/I:C/A:C. Temporal vector string: E:H/RL:X/RC:C.",
                                "rule": "NIST Severity: Critical",
                                "mitigation": "",
                                "level": 4.0
                            },
                            "pocVerifiedRemote": {
                                "count": 1.0,
                                "timestamp": "2012-07-11T00:00:00.000Z",
                                "description": "1 sighting on 1 source: ExploitDB. 1 execution type: Remote. Most recent link (Jul 11, 2012): https://www.exploit-db.com/exploits/19717",
                                "rule": "Historical Verified Proof of Concept Available Using Remote Execution",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "linkedToIntrusionMethod": {
                                "count": 9.0,
                                "timestamp": "2019-06-18T13:19:28.000Z",
                                "description": "140 sightings on 9 sources including: fakegogle.blogspot.com, Guided Collection, GitHub, McAfee, @xjfftw. 16 related malwares including BrobanDel, Fanny Worm, Ransomware, Banking Trojan, Artemis. Most recent tweet: @PortSwigger Was wondering if you knew why @Virustotal was flagging BS Pro on multiple AVs when scanning the unpacked JAR? KAV/Checkpoint CVE-2012-1723 Generic Exploit Kit. Most recent link (Jun 18, 2019): https://twitter.com/EskimoTrolled/statuses/1140972295894249472",
                                "rule": "Historically Linked to Malware",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "linkedToRecentCyberExploit": {
                                "count": 1.0,
                                "timestamp": "2020-10-05T17:19:29.000Z",
                                "description": "35 sightings on 1 source: VirusTotal. Most recent link (Oct 5, 2020): https://www.virustotal.com/gui/file/1a3fa1cac28dffe79752df9bc92932d8b40b6d562d98e3315af7875d2f944edf/",
                                "rule": "Linked to Recent Cyber Exploit",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "scannerUptake": {
                                "count": 5.0,
                                "timestamp": "2019-10-01T02:58:24.000Z",
                                "description": "29 sightings on 5 sources: Guided Collection, GitHub, VirusTotal, ReversingLabs, PasteBin. Most recent link (Oct 1, 2019): https://www.virustotal.com/gui/file/911c69c02f5194ccbb5703869c4478e7ff68232ebb78affe98cb86de5b146b20",
                                "rule": "Historically Linked to Penetration Testing Tools",
                                "mitigation": "",
                                "level": 1.0
                            }
                        },
                        "summary": [
                            {
                                "count": 1.0,
                                "level": 2.0
                            },
                            {
                                "count": 1.0,
                                "level": 5.0
                            },
                            {
                                "count": 1.0,
                                "level": 4.0
                            },
                            {
                                "count": 6.0,
                                "level": 1.0
                            }
                        ]
                    },
                    "context": {
                        "malware": {
                            "rule": {
                                "count": 1,
                                "maxCount": 2
                            },
                            "score": 90.0
                        },
                        "public": {
                            "rule": {
                                "maxCount": 22
                            },
                            "summary": [
                                {
                                    "count": 1.0,
                                    "level": 2.0
                                },
                                {
                                    "count": 1.0,
                                    "level": 5.0
                                },
                                {
                                    "count": 1.0,
                                    "level": 4.0
                                },
                                {
                                    "count": 6.0,
                                    "level": 1.0
                                }
                            ],
                            "mostCriticalRule": "Exploited in the Wild by Recently Active Malware",
                            "score": 99.0
                        }
                    },
                    "score": 99.0
                }
            },
            {
                "entity": {
                    "id": "url:http://www.plexipr.com/vAHzWX.php",
                    "name": "http://www.plexipr.com/vAHzWX.php",
                    "type": "URL"
                },
                "risk": {
                    "level": 4.0,
                    "rule": {
                        "count": 3,
                        "mostCritical": "C&C URL",
                        "maxCount": 29,
                        "evidence": {
                            "cncUrl": {
                                "count": 1.0,
                                "timestamp": "2020-10-12T02:55:38.670Z",
                                "description": "1 sighting on 1 source: Abuse.ch: Ransomware C&C URL Blocklist.",
                                "rule": "C&C URL",
                                "mitigation": "",
                                "level": 4.0
                            },
                            "maliciousSiteDetected": {
                                "count": 1.0,
                                "timestamp": "2019-09-13T18:53:31.000Z",
                                "description": "9 sightings on 1 source: Recorded Future URL Analysis.",
                                "rule": "Historically Detected Malicious Browser Exploits",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "malwareSiteDetected": {
                                "count": 1.0,
                                "timestamp": "2019-09-13T18:53:31.000Z",
                                "description": "9 sightings on 1 source: Recorded Future URL Analysis.",
                                "rule": "Historically Detected Malware Distribution",
                                "mitigation": "",
                                "level": 1.0
                            }
                        },
                        "summary": [
                            {
                                "count": 1.0,
                                "level": 4.0
                            },
                            {
                                "count": 2.0,
                                "level": 1.0
                            }
                        ]
                    },
                    "context": {
                        "malware": {
                            "rule": {
                                "count": 0,
                                "maxCount": 4
                            },
                            "score": 0.0
                        },
                        "public": {
                            "rule": {
                                "maxCount": 26
                            },
                            "summary": [
                                {
                                    "count": 1.0,
                                    "level": 4.0
                                },
                                {
                                    "count": 2.0,
                                    "level": 1.0
                                }
                            ],
                            "mostCriticalRule": "C&C URL",
                            "score": 91.0
                        },
                        "c2": {
                            "score": 90.0,
                            "rule": {
                                "maxCount": 1,
                                "count": 1
                            }
                        },
                        "phishing": {
                            "score": 0.0,
                            "rule": {
                                "maxCount": 3,
                                "count": 0
                            }
                        }
                    },
                    "score": 91.0
                }
            },
            {
                "entity": {
                    "id": "hash:44d88612fea8a8f36de82e1278abb02f",
                    "name": "44d88612fea8a8f36de82e1278abb02f",
                    "type": "Hash"
                },
                "risk": {
                    "level": 3.0,
                    "rule": {
                        "count": 4,
                        "mostCritical": "Positive Malware Verdict",
                        "maxCount": 13,
                        "evidence": {
                            "linkedToVuln": {
                                "count": 1.0,
                                "timestamp": "2019-09-21T12:00:07.000Z",
                                "description": "1 sighting on 1 source: dfir.pro. 2 related cyber vulnerabilities: CVE-2018-11776, CWE-20. Most recent link (Sep 21, 2019): http://dfir.pro/index.php?link_id=98319",
                                "rule": "Linked to Vulnerability",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "linkedToVector": {
                                "count": 2.0,
                                "timestamp": "2018-08-06T20:50:41.819Z",
                                "description": "3 sightings on 2 sources: PyPI Recent Updates, Malwr.com. 2 related attack vectors: ShellCode, Phishing. Most recent link (Aug 6, 2018): https://pypi.org/project/python-virustotal/0.0.1a0/",
                                "rule": "Linked to Attack Vector",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "linkedToMalware": {
                                "count": 4.0,
                                "timestamp": "2020-10-02T14:11:26.000Z",
                                "description": "40 sightings on 4 sources: GitHub, PyPI Recent Updates, VirusTotal, Malwr.com. 3 related malwares: EICAR-AV-Test, Eicar_test_file, EICAR Test String. Most recent link (Oct 2, 2020): https://www.virustotal.com/gui/file/275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f/",
                                "rule": "Linked to Malware",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "positiveMalwareVerdict": {
                                "count": 4.0,
                                "timestamp": "2020-10-10T00:34:03.497Z",
                                "description": "21 sightings on 4 sources: VirusTotal, Malwr.com, ReversingLabs, PolySwarm. Most recent link (Apr 8, 2020): https://www.virustotal.com/gui/file/275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f",
                                "rule": "Positive Malware Verdict",
                                "mitigation": "",
                                "level": 3.0
                            }
                        },
                        "summary": [
                            {
                                "count": 3.0,
                                "level": 2.0
                            },
                            {
                                "count": 1.0,
                                "level": 3.0
                            }
                        ]
                    },
                    "context": {
                        "malware": {
                            "rule": {
                                "count": 1,
                                "maxCount": 2
                            },
                            "score": 80.0
                        },
                        "public": {
                            "rule": {
                                "maxCount": 11
                            },
                            "summary": [
                                {
                                    "count": 3.0,
                                    "level": 2.0
                                },
                                {
                                    "count": 1.0,
                                    "level": 3.0
                                }
                            ],
                            "mostCriticalRule": "Positive Malware Verdict",
                            "score": 83.0
                        }
                    },
                    "score": 83.0
                }
            },
            {
                "entity": {
                    "id": "ip:66.240.205.34",
                    "name": "66.240.205.34",
                    "type": "IpAddress"
                },
                "risk": {
                    "level": 2.0,
                    "rule": {
                        "count": 13,
                        "mostCritical": "Recent Multicategory Blacklist",
                        "maxCount": 53,
                        "evidence": {
                            "cncServer": {
                                "count": 1.0,
                                "timestamp": "2020-09-23T01:46:30.620Z",
                                "description": "17 sightings on 1 source: GitHub. Most recent link (Jul 23, 2019): https://gist.github.com/techhelplist/2a208ae6fc9859f2ff3282d3ff893b46",
                                "rule": "Historical C&C Server",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "recentMultiBlacklist": {
                                "count": 2.0,
                                "timestamp": "2020-10-08T01:30:47.833Z",
                                "description": "13 sightings on 2 sources: AbuseIP Database, AlienVault: IP Reputation Data. Most recent link (Oct 7, 2020): https://www.abuseipdb.com/check/66.240.205.34",
                                "rule": "Recent Multicategory Blacklist",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "honeypot": {
                                "count": 8.0,
                                "timestamp": "2020-06-19T00:58:26.000Z",
                                "description": "979 sightings on 8 sources including: @atma_es, @WebironBots, @gosint2, @HoneyFog, @HoneyPyLog. Most recent tweet: BFB-attack detected from 66.240.205.34 to Portscan on 19.06.2020 02:58:19. Most recent link (Jun 19, 2020): https://twitter.com/EIS_BFB/statuses/1273782158067404803",
                                "rule": "Historical Honeypot Sighting",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "linkedIntrusion": {
                                "count": 4.0,
                                "timestamp": "2019-08-05T19:06:11.000Z",
                                "description": "37 sightings on 4 sources: GitHub, Recorded Future URL Analysis, ReversingLabs, @EIS_BFB. 5 related intrusion methods: Browser Targeted Code Injection, Web Application Exploitation, Brute Force Blocking (BFB), Cross site scripting, Trojan. Most recent tweet: BFB-attack detected from 66.240.205.34 to Portscan on 05.08.2019 21:06:05.",
                                "rule": "Historically Linked to Intrusion Method",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "recentDhsAis": {
                                "count": 1.0,
                                "timestamp": "2020-10-09T12:44:44.895Z",
                                "description": "3 sightings on 1 source: DHS Automated Indicator Sharing. 3 reports including NCCIC:STIX_Package-00e3c8ca-0a3c-4a70-9edc-534ea7b51474, from Infoblox Inc, Information Technology Sector, NCCIC:STIX_Package-00e3c8ca-0a3c-4a70-9edc-534ea7b51474 (Oct 9, 2020).",
                                "rule": "Recently Reported by DHS AIS",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "linkedToCyberAttack": {
                                "count": 2.0,
                                "timestamp": "2019-06-15T09:01:52.000Z",
                                "description": "483 sightings on 2 sources: @HoneyPyLog, @EIS_BFB. Most recent tweet: honeydbz: #Citrix-ICA-Browser Possible Citrix-ICA-Browser attack from 66.240.205.34 https://t.co/Wpmfyo4di1. Most recent link (Jun 15, 2019): https://twitter.com/HoneyPyLog/statuses/1139820304996478976",
                                "rule": "Historically Linked to Cyber Attack",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "dhsAis": {
                                "count": 1.0,
                                "timestamp": "2020-09-14T11:12:55.000Z",
                                "description": "22 sightings on 1 source: DHS Automated Indicator Sharing. 22 reports including NCCIC:STIX_Package-427425f9-cd82-49bc-a4b4-c609aaeddd7d, from Infoblox Inc, Information Technology Sector, NCCIC:STIX_Package-427425f9-cd82-49bc-a4b4-c609aaeddd7d (Sep 14, 2020).",
                                "rule": "Historically Reported by DHS AIS",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "recentLinkedIntrusion": {
                                "count": 1.0,
                                "timestamp": "2020-10-11T22:30:12.000Z",
                                "description": "14 sightings on 1 source: Recorded Future URL Analysis. 3 related intrusion methods: Browser Targeted Code Injection, Web Application Exploitation, Cross site scripting.",
                                "rule": "Recently Linked to Intrusion Method",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "historicalThreatListMembership": {
                                "count": 2.0,
                                "timestamp": "2020-10-11T23:18:11.344Z",
                                "description": "Previous sightings on 2 sources: University of Science and Technology of China Black IP List, Project Turris Attempted Access Greylist. Observed between Jul 1, 2019, and Jan 28, 2020.",
                                "rule": "Historically Reported in Threat List",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "rfTrending": {
                                "count": 1.0,
                                "timestamp": "2020-08-03T15:09:58.796Z",
                                "description": "1 sighting on 1 source: Recorded Future Analyst Community Trending Indicators. Recently viewed by many analysts in many organizations in the Recorded Future community.",
                                "rule": "Trending in Recorded Future Analyst Community",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "maliciousPacketSource": {
                                "count": 1.0,
                                "timestamp": "2020-10-11T23:18:11.344Z",
                                "description": "1 sighting on 1 source: CINS: CI Army List.",
                                "rule": "Malicious Packet Source",
                                "mitigation": "",
                                "level": 2.0
                            },
                            "multiBlacklist": {
                                "count": 1.0,
                                "timestamp": "2017-04-28T10:00:20.345Z",
                                "description": "7 sightings on 1 source: AbuseIP Database. Most recent link (Apr 28, 2017): https://www.abuseipdb.com/check/66.240.205.34?page=10",
                                "rule": "Historical Multicategory Blacklist",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "spam": {
                                "count": 1.0,
                                "timestamp": "2019-04-16T13:04:45.428Z",
                                "description": "284 sightings on 1 source: Daily Botnet Statistics. Most recent link (Apr 16, 2019): http://botnet-tracker.blogspot.com/2019/04/suspected-bot-list-2019-04-06.html",
                                "rule": "Historical Spam Source",
                                "mitigation": "",
                                "level": 1.0
                            }
                        },
                        "summary": [
                            {
                                "count": 4.0,
                                "level": 2.0
                            },
                            {
                                "count": 9.0,
                                "level": 1.0
                            }
                        ]
                    },
                    "context": {
                        "public": {
                            "rule": {
                                "maxCount": 50
                            },
                            "summary": [
                                {
                                    "count": 3.0,
                                    "level": 2.0
                                },
                                {
                                    "count": 9.0,
                                    "level": 1.0
                                }
                            ],
                            "mostCriticalRule": "Recent Multicategory Blacklist",
                            "score": 59.0
                        },
                        "c2": {
                            "score": 0.0,
                            "rule": {
                                "maxCount": 2,
                                "count": 0
                            }
                        },
                        "phishing": {
                            "score": 0.0,
                            "rule": {
                                "maxCount": 1,
                                "count": 0
                            }
                        }
                    },
                    "score": 59.0
                }
            },
            {
                "entity": {
                    "id": "idn:passbolt.siemplify.co",
                    "name": "passbolt.siemplify.co",
                    "type": "InternetDomainName"
                },
                "risk": {
                    "level": 0.0,
                    "rule": {
                        "count": 0,
                        "mostCritical": "",
                        "summary": [],
                        "maxCount": 47
                    },
                    "context": {
                        "malware": {
                            "rule": {
                                "count": 0,
                                "maxCount": 2
                            },
                            "score": 0.0
                        },
                        "public": {
                            "rule": {
                                "maxCount": 41
                            },
                            "summary": [],
                            "mostCriticalRule": "",
                            "score": 0.0
                        },
                        "c2": {
                            "score": 0.0,
                            "rule": {
                                "maxCount": 2,
                                "count": 0
                            }
                        },
                        "phishing": {
                            "score": 0.0,
                            "rule": {
                                "maxCount": 2,
                                "count": 0
                            }
                        }
                    },
                    "score": 0.0
                }
            },
            {
                "entity": {
                    "id": "url:http://bolizarsospos.com/703hjdr3ez72",
                    "name": "http://bolizarsospos.com/703hjdr3ez72",
                    "type": "URL"
                },
                "risk": {
                    "level": 4.0,
                    "rule": {
                        "count": 3,
                        "mostCritical": "C&C URL",
                        "maxCount": 29,
                        "evidence": {
                            "cncUrl": {
                                "count": 1.0,
                                "timestamp": "2020-10-12T02:46:13.823Z",
                                "description": "1 sighting on 1 source: Abuse.ch: Ransomware C&C URL Blocklist.",
                                "rule": "C&C URL",
                                "mitigation": "",
                                "level": 4.0
                            },
                            "maliciousSiteDetected": {
                                "count": 1.0,
                                "timestamp": "2019-12-07T23:10:05.000Z",
                                "description": "4 sightings on 1 source: Recorded Future URL Analysis.",
                                "rule": "Historically Detected Malicious Browser Exploits",
                                "mitigation": "",
                                "level": 1.0
                            },
                            "malwareSiteDetected": {
                                "count": 1.0,
                                "timestamp": "2019-12-07T23:10:05.000Z",
                                "description": "4 sightings on 1 source: Recorded Future URL Analysis.",
                                "rule": "Historically Detected Malware Distribution",
                                "mitigation": "",
                                "level": 1.0
                            }
                        },
                        "summary": [
                            {
                                "count": 1.0,
                                "level": 4.0
                            },
                            {
                                "count": 2.0,
                                "level": 1.0
                            }
                        ]
                    },
                    "context": {
                        "malware": {
                            "rule": {
                                "count": 0,
                                "maxCount": 4
                            },
                            "score": 0.0
                        },
                        "public": {
                            "rule": {
                                "maxCount": 26
                            },
                            "summary": [
                                {
                                    "count": 1.0,
                                    "level": 4.0
                                },
                                {
                                    "count": 2.0,
                                    "level": 1.0
                                }
                            ],
                            "mostCriticalRule": "C&C URL",
                            "score": 91.0
                        },
                        "c2": {
                            "score": 90.0,
                            "rule": {
                                "maxCount": 1,
                                "count": 1
                            }
                        },
                        "phishing": {
                            "score": 0.0,
                            "rule": {
                                "maxCount": 3,
                                "count": 0
                            }
                        }
                    },
                    "score": 91.0
                }
            }
        ]
    },
    "counts": {
        "returned": 6,
        "total": 6
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:
אם הפעולה הצליחה ולפחות אחת מהישויות שסופקו הועשרה (is_success = true):
הדפסה של 'Successfully enriched the following entities in Recorded Future: \n {0}'.format(entity.identifier list)

If fail to enrich specific entities(is_success = true):
Print "Action was not able to enrich the following entities in Recorded Future: \n {0}".format([entity.identifier])

אם לא בוצע обогащение של ישויות (is_success=false):

‫Print "No entities were enriched."

הפעולה צריכה להיכשל ולהפסיק את ההרצה של תוכנית הפעולה:
אם התגובה נכשלה:

הודעת השגיאה 'הייתה שגיאה בביצוע הפעולה Enrich IOC' מודפסת. הסיבה: {0}''.format(error.Stacktrace)

אם מקבלים קוד HTTP 401 – אין הרשאה:

ההודעה 'לא מורשה – צריך לבדוק את טוקן ה-API ולנסות שוב' מודפסת

 כללי

העשרת CVE

תיאור

הפעולה מאפשרת למשתמש לשלוח CVE כדי לחפש מידע על מודיעין איומי סייבר שמסכם את המוניטין של ה-CVE.

פרמטרים

פרמטרים סוג ערך ברירת המחדל חובה תיאור
סף דירוג הסיכונים String 25 כן

מייצג את ציון הסיכון המינימלי של תוכנות זדוניות עבור CVE שצריך לסמן כזדוני. סף ניקוד הסיכון חייב להיות ערך מספרי. הטווח הוא 0-99. בהמשך מופיעות רמות הרצועה:

זדוני מאוד: 90-99

זדוני: 65-89

חשוד: 25-64

חריג: 5-24

אין תוכן זדוני: 0.

תרחישים לדוגמה

אנליסט אבטחה מריץ הערכת אבטחה בתשתית טכנולוגיית המידע שלו. המשתמש מגלה מהממצאים שמערכת המידע שלו פגיעה לנקודת חולשה מזוהה, שמזהה ה-CVE שלה ידוע. לאנליסט חסרים פרטים נוספים על הפגיעות והוא רוצה לגלות את המוניטין שלה. המשתמש יכול להשתמש ב-Recorded Future כדי לחפש את המוניטין של הפגיעות ב-CVE.

ריצה

הפעולה הזו מופעלת בישות CVE.

תוצאות הפעולה

העשרה של ישויות

הישויות מסומנות כחשודות (True) אם הן חורגות מסף. אחרת: False.

שם שדה ההעשרה לוגיקה – מתי להחיל
הפניה האחרונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
כללים שהופעלו הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
הפניה הראשונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
דירוג סיכונים הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות
חוּמרה תיאור
אזהרה תיווצר תובנה של אזהרה כדי לעדכן לגבי הסטטוס הזדוני של הגיבוב המועשר. התובנה תיווצר כשמספר המנועים שזוהו יהיה שווה לסף המינימלי החשוד שנקבע לפני הסריקה או גבוה ממנו.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_risky נכון/לא נכון is_risky:False
תוצאת JSON
[
    {
        "EntityResult":
        {
            "Last Reference": "2019-10-04T18:19:19.044Z",
            "Triggered Rules": "7/51",
            "First Reference": "16-05-25T11:47:06.812Z",
            "Risk Score": "45"
        },
        "Entity": "CVE-2019-9925"
    }
]

העשרת גיבוב (hash)

תיאור

הפעולה מאפשרת למשתמש לשלוח גיבוב כדי לחפש מידע על מודיעין איומי סייבר שמסכם את המוניטין של הגיבוב.

פרמטרים

פרמטרים סוג ערך ברירת המחדל תיאור
סף דירוג הסיכונים String 25

מייצג את ציון הסיכון המינימלי של תוכנות זדוניות עבור CVE שצריך לסמן כזדוני. סף ניקוד הסיכון חייב להיות ערך מספרי. הטווח הוא 0-99. בהמשך מופיעות רמות הרצועה:

זדוני מאוד: 90-99

זדוני: 65-89

חשוד: 25-64

חריג: 5-24

אין תוכן זדוני: 0.

תרחישים לדוגמה

יש חשד שקובץ מסוים בנקודת קצה נגוע בווירוס. משתמש שולח את הגיבוב של הקובץ באמצעות Recorded Future, כדי לקבל את המוניטין שלו באמצעות חיפוש.

ריצה

הפעולה הזו מופעלת בישות Filehash.

תוצאות הפעולה

העשרה של ישויות

הישויות מסומנות כחשודות (True) אם הן חורגות מסף. אחרת: False.

שם שדה ההעשרה לוגיקה – מתי להחיל
הפניה האחרונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
כללים שהופעלו הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
הפניה הראשונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
דירוג סיכונים הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
אלגוריתם גיבוב (hash) הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות
חוּמרה תיאור
אזהרה תיווצר תובנה של אזהרה כדי ליידע על הסטטוס הזדוני של הגיבוב המועשר. התובנה תיווצר כשציון הסיכון יהיה שווה לסף המינימלי של ציון הסיכון החשוד או גבוה ממנו.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_risky נכון/לא נכון is_risky:False
תוצאת JSON
[
     {
         "EntityResult":
         {
             "Last Reference": "2019-10-04T18:19:19.044Z",
             "Triggered Rules": "7/51",
             "First Reference": "16-05-25T11:47:06.812Z",
             "Risk Score": "45",
             "Hash Algorithm": "MD5"
         },
         "Entity": "MD5"
     }
]

מארח העשרה

תיאור

הפעולה מאפשרת למשתמש לשלוח שם מארח כדי לחפש מידע על מודיעין איומי סייבר, שמסכם את המוניטין של המארח.

פרמטרים

פרמטרים סוג ערך ברירת המחדל תיאור
סף דירוג הסיכונים String 25

מייצג את ציון הסיכון המינימלי של תוכנות זדוניות עבור CVE שצריך לסמן כזדוני. סף ניקוד הסיכון חייב להיות ערך מספרי. הטווח הוא 0-99. בהמשך מופיעות רמות הרצועה:

זדוני מאוד: 90-99

זדוני: 65-89

חשוד: 25-64

חריג: 5-24

אין תוכן זדוני: 0.

תרחישים לדוגמה

משתמש מקבל אימייל שמפנה אותו להעתק של הדומיין שלו בדומיין אינטרנט. הדומיין טוען שהוא של רשם הדומיין שמבקש מהמשתמש להזין פרטי כניסה כדי לקבל גישה, בזמן שהדומיין המזויף נועד לדיוג. המשתמש יכול להשתמש ב-Recorded Future כדי לחפש את המוניטין של הדומיין.

ריצה

הפעולה הזו מופעלת בישות Hostname (שם מארח).

תוצאות הפעולה

העשרה של ישויות

הישויות מסומנות כחשודות (True) אם הן חורגות מסף. אחרת: False.

שם שדה ההעשרה לוגיקה – מתי להחיל
הפניה האחרונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
כללים שהופעלו הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
הפניה הראשונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
דירוג סיכונים הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות
חוּמרה תיאור
אזהרה תיווצר תובנה של אזהרה כדי לעדכן לגבי הסטטוס הזדוני של הגיבוב המועשר. התובנה תיווצר כשמספר המנועים שזוהו יהיה שווה לסף המינימלי החשוד שנקבע לפני הסריקה או גבוה ממנו.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_risky נכון/לא נכון is_risky:False
תוצאת JSON
[
    {
        "EntityResult":
        {
            "Last Reference": "2019-10-04T18:19:19.044Z",
            "Triggered Rules": "7/51",
            "First Reference": "16-05-25T11:47:06.812Z",
            "Risk Score": "45",
            "Geo-City": "Beijing",
            "Geo-Country": "China",
            "Org": "DigitalOcean",
            "Asn": "AS393406"
        },
        "Entity": "8.8.8.8"
    }
]

הוספת פרטים לכתובת IP

תיאור

הפעולה מאפשרת למשתמש לשלוח כתובת IP כדי לחפש מידע על מודיעין איומי סייבר, שמסכם את המוניטין של כתובות ה-IP.

פרמטרים

פרמטרים סוג ערך ברירת המחדל תיאור
סף דירוג הסיכונים String 25

מייצג את ציון הסיכון המינימלי של תוכנות זדוניות עבור CVE שצריך לסמן כזדוני. סף ניקוד הסיכון חייב להיות ערך מספרי. הטווח הוא 0-99. בהמשך מופיעות רמות הרצועה:

זדוני מאוד: 90-99

זדוני: 65-89

חשוד: 25-64

חריג: 5-24

אין תוכן זדוני: 0.

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

העשרה של ישויות

הישויות מסומנות כחשודות (True) אם הן חורגות מסף. אחרת: False.

שם שדה ההעשרה לוגיקה – מתי להחיל
הפניה האחרונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
כללים שהופעלו הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
הפניה הראשונה הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
דירוג סיכונים הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
מיקום גיאוגרפי – עיר הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
מדינה גיאוגרפית הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
‎ארגון הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Asn הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות
חוּמרה תיאור
אזהרה תיווצר תובנה של אזהרה כדי לעדכן לגבי הסטטוס הזדוני של הגיבוב המועשר. התובנה תיווצר כשמספר המנועים שזוהו יהיה שווה לסף המינימלי החשוד שנקבע לפני הסריקה או גבוה ממנו.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_risky נכון/לא נכון is_risky:False
תוצאת JSON
[
    {
        "EntityResult":
        {
            "Last Reference": "2019-10-04T18:19:19.044Z",
            "Triggered Rules": "7/51",
            "First Reference": "16-05-25T11:47:06.812Z",
            "Risk Score": "45",
            "Geo-City": "Beijing",
            "Geo-Country": "China",
            "Org": "DigitalOcean",
            "Asn": "AS393406"
        },
        "Entity": "8.8.8.8"
    }
]

כתובת URL להעשרה

תיאור

הפעולה מאפשרת למשתמש לשלוח כתובת URL כדי לחפש מידע על מודיעין איומי סייבר, שמסכם את המוניטין של כתובת ה-URL.

פרמטרים

פרמטרים סוג ערך ברירת המחדל תיאור
סף דירוג הסיכונים מחרוזת 25

מייצג את ציון הסיכון המינימלי של תוכנות זדוניות עבור CVE שצריך לסמן כזדוני. סף ניקוד הסיכון חייב להיות ערך מספרי. הטווח הוא 0-99. בהמשך מופיעות רמות הרצועה:

זדוני מאוד: 90-99

זדוני: 65-89

חשוד: 25-64

חריג: 5-24

אין תוכן זדוני: 0.

תרחישים לדוגמה

משתמש פותח את תיבת הדואר שלו ומוצא אימייל חשוד עם הוראות שמפנות אותו לכתובת URL מסוימת כדי לבצע שינוי סיסמה חשוב או עדכון תוכנה. המשתמש יכול להשתמש ב-Recorded Future כדי לחפש את המוניטין של כתובת ה-URL.

ריצה

הפעולה הזו מופעלת בישות של כתובת ה-URL.

תוצאות הפעולה

העשרה של ישויות

הישויות מסומנות כחשודות (True) אם הן חורגות מסף. אחרת: False.

שם שדה ההעשרה לוגיקה – מתי להחיל
כללים שהופעלו הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
דירוג סיכונים הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תובנות
חוּמרה תיאור
אזהרה תיווצר תובנה של אזהרה כדי לעדכן לגבי הסטטוס הזדוני של הגיבוב המועשר. התובנה תיווצר כשמספר המנועים שזוהו יהיה שווה לסף המינימלי החשוד שנקבע לפני הסריקה או גבוה ממנו.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_risky נכון/לא נכון is_risky:False
תוצאת JSON
[
    {
        "EntityResult":
        {
            "Triggered Rules": "7\/51",
            "Risk Score": "45"
        },
        "Entity": "8.8.8.8"
    }
]

קבלת פרטי התראה

תיאור

שליפת מידע על התראה ספציפית והחזרת התוצאות לפנייה.

אפשר להשתמש בפעולה כדי לקבל מידע נוסף על התראות של Recorded Future – מסמכים, ישויות קשורות, הוכחות וכו'.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה התראה String לא רלוונטי כן מציינים את המזהה של ההתראה שרוצים לאחזר את הפרטים שלה.

ריצה

הפעולה הזו לא אמורה לפעול על ישויות, אלא רק על Google SecOps TicketId – שיהיה Recorded future alertID.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "review": {
            "assignee": null,
            "noteAuthor": null,
            "note": null,
            "status": "no-action",
            "noteDate": null
        },
        "entities": [
            {
                "entity": {
                    "id": "idn:gmail.com.sabsepehlelic.com",
                    "name": "gmail.com.sabsepehlelic.com",
                    "type": "InternetDomainName"
                },
                "risk": {
                    "criticalityLabel": "Suspicious",
                    "score": null,
                    "documents": [
                        {
                            "references": [
                                {
                                    "fragment": "A certificate for the domain gmail.com.sabsepehlelic.com has been registered",
                                    "entities": [
                                        {
                                            "id": "idn:gmail.com.sabsepehlelic.com",
                                            "name": "gmail.com.sabsepehlelic.com",
                                            "type": "InternetDomainName"
                                        }
                                    ],
                                    "language": "eng"
                                }
                            ],
                            "source": {
                                "id": "beD_4-",
                                "name": "New Certificate Registrations",
                                "type": "Source"
                            },
                            "url": null,
                            "title": "Certificate Registration"
                        }
                    ],
                    "evidence": [
                        {
                            "mitigationString": "",
                            "timestamp": "2020-09-28T02:36:23.924Z",
                            "criticalityLabel": "Suspicious",
                            "evidenceString": "1 sighting on 1 source: New Certificate Registrations. Certificate registered on Sep 28, 2020.",
                            "rule": "Newly Registered Certificate With Potential for Abuse - DNS Sandwich",
                            "criticality": 2
                        },
                        {
                            "mitigationString": "",
                            "timestamp": "2020-09-28T02:36:25.000Z",
                            "criticalityLabel": "Suspicious",
                            "evidenceString": "Identified by Recorded Future as potential typosquatting: DNS Sandwich similarity found between gmail.com.sabsepehlelic.com and 1 possible target: gmail.com.",
                            "rule": "Recent Typosquat Similarity - DNS Sandwich",
                            "criticality": 2
                        }
                    ],
                    "criticality": 2
                },
                "trend": {},
                "documents": []
            },
            {
                "entity": {
                    "id": "idn:www.gmail.com.sabsepehlelic.com",
                    "name": "www.gmail.com.sabsepehlelic.com",
                    "type": "InternetDomainName"
                },
                "risk": {
                    "criticalityLabel": "Suspicious",
                    "score": null,
                    "documents": [
                        {
                            "references": [
                                {
                                    "fragment": "A certificate for the domain www.gmail.com.sabsepehlelic.com has been registered",
                                    "entities": [
                                        {
                                            "id": "idn:www.gmail.com.sabsepehlelic.com",
                                            "name": "www.gmail.com.sabsepehlelic.com",
                                            "type": "InternetDomainName"
                                        }
                                    ],
                                    "language": "eng"
                                }
                            ],
                            "source": {
                                "id": "beD_4-",
                                "name": "New Certificate Registrations",
                                "type": "Source"
                            },
                            "url": null,
                            "title": "Certificate Registration"
                        }
                    ],
                    "evidence": [
                        {
                            "mitigationString": "",
                            "timestamp": "2020-09-28T02:36:23.924Z",
                            "criticalityLabel": "Suspicious",
                            "evidenceString": "1 sighting on 1 source: New Certificate Registrations. Certificate registered on Sep 28, 2020.",
                            "rule": "Newly Registered Certificate With Potential for Abuse - DNS Sandwich",
                            "criticality": 2
                        },
                        {
                            "mitigationString": "",
                            "timestamp": "2020-09-28T02:36:25.000Z",
                            "criticalityLabel": "Suspicious",
                            "evidenceString": "Identified by Recorded Future as potential typosquatting: DNS Sandwich similarity found between www.gmail.com.sabsepehlelic.com and 1 possible target: gmail.com.",
                            "rule": "Recent Typosquat Similarity - DNS Sandwich",
                            "criticality": 2
                        }
                    ],
                    "criticality": 2
                },
                "trend": {},
                "documents": []
            }
        ],
        "url": "https://app.recordedfuture.com/live/sc/notification/?id=feRS3x",
        "rule": {
            "url": "https://app.recordedfuture.com/live/sc/ViewIdkobra_view_report_item_alert_editor?view_opts=%7B%22reportId%22%3A%22eOFFb0%22%2C%22bTitle%22%3Atrue%2C%22title%22%3A%22Infrastructure+and+Brand+Risk%2C+Potential+Typosquatting+Watch+List+Domains%22%7D&state.bNavbar=false",
            "name": "Infrastructure and Brand Risk, Potential Typosquatting Watch List Domains",
            "id": "eOFFb0"
        },
        "triggered": "2020-09-28T10:13:40.466Z",
        "id": "feRS3x",
        "counts": {
            "references": 2,
            "entities": 2,
            "documents": 1
        },
        "title": "Infrastructure and Brand Risk, Potential Typosquatting Watch List Domains ...",
        "type": "ENTITY"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של תרחיש השימוש:
אם הפעולה הצליחה (is_success = true):
הדפסה של 'Successfully fetched the following Alert ID details from Recorded Future: \n {0}".format(AlertID)

הפעולה תיכשל ותפסיק את ההפעלה של ספר ההפעלה:
שימו לב – Recorded Future תחזיר קוד 404 במקרים שבהם מזהה ההתראה לא נמצא או חסר. אבל, קוד 404 עשוי גם להצביע על בעיות אחרות. לכן:
אם יש לנו דרך להבחין בין המקרים :

  • אם מזהה ההתראה לא נמצא – מוצגת ההודעה 'מזהה ההתראה המבוקש לא נמצא ב-Recorded Future'. צריך לבדוק את מזהה ההתראה ולנסות שוב"
  • אם התרחשה בעיה אחרת ב-HTTP – המערכת תדפיס את ההודעה 'שגיאה בהפעלת הפעולה 'קבלת פרטי ההתראה''. הסיבה: {0}''.format(error.Stacktrace)

אם אין לנו דרך להבחין בין המקרים :

  • הודעת השגיאה Print "Requested Alert ID wasn't found in Recorded Future, or something went wrong in executing action "Get Alert's Details". הסיבה: {0}''.format(error.Stacktrace)

אם מקבלים קוד HTTP 401 – אין הרשאה:

ההדפסה נכשלה עם השגיאה 'לא מורשה – צריך לבדוק את טוקן ה-API ולנסות שוב'

 כללי

תיאור

הפעולה מאפשרת למשתמש לשלוח CVE כדי לחפש את כל הישויות שקשורות ל-CVE. אפשר לאסוף מידע חשוב מאוד, שהוא מידע גולמי שחשוב לקבלת החלטות, ממידע ההקשר שסופק.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

במהלך הערכת פגיעות של המערכת, אנליסט מבין שהמערכת שלו פגיעה ל-CVE. האנליסט מבצע פעולת חיפוש ומגלה שה-CVE הוא זדוני. האנליסט מחליט לקבל מידע על ישויות קשורות כדי ללמוד עוד על הטכנולוגיות והווקטורים שבהם נעשה שימוש על ידי ה-CVE.

ריצה

הפעולה הזו מופעלת בישות CVE.

תוצאות הפעולה

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_successful נכון/לא נכון is_successful:False

תיאור

שולחים שאילתה ל-RecordedFuture כדי לקבל ישויות שקשורות לגיבוב.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

משתמש מזהה גיבוב זדוני בהסגר של האנטי וירוס באחת מנקודות הקצה בארגון שלו. הם רוצים לקבל מידע נוסף על הגיבוב כדי שיוכלו למצוא דרך לצמצם את הסיכון. בעזרת Recorded future הוא יכול לקבל מידע נוסף על האיום.

ריצה

הפעולה הזו מופעלת בישות Filehash.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_successful נכון/לא נכון is_successful:False

תיאור

הפעולה מאפשרת למשתמש לשלוח מארח כדי לחפש את כל הישויות שקשורות למארח. אפשר לאסוף מידע חשוב מאוד מפרטי ההקשר שסופקו, שהם מידע גולמי שחשוב לקבלת החלטות.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

משתמש מזהה גיבוב זדוני באחת מנקודות הקצה בהסגר של האנטי וירוס בארגון שלו. המשתמש רוצה לקבל מידע נוסף על הגיבוב שיעזור לו למצוא דרך לצמצם את הסיכון. באמצעות Recorded Future הוא יכול לקבל מידע נוסף על האיום.

ריצה

הפעולה הזו מופעלת בישות Hostname (שם מארח).

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_successful נכון/לא נכון is_successful:False

תיאור

הפעולה מאפשרת למשתמש לשלוח כתובת IP כדי לחפש את כל הישויות שקשורות לכתובת ה-IP. המידע שנאסף מאפשר למשתמשים לקבל תובנות חשובות לגבי זהות התוקפים, מה המניעים והיכולות שלהם ומהם הסימנים לפריצה במערכות שלהם. המידע הזה מאפשר למשתמשים לקבל החלטה מושכלת לגבי האבטחה.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

חומת אש של אפליקציית אינטרנט (WAF) יוצרת רשומה ביומן לגבי תנועת אינטרנט חשודה מכתובת IP. אחרי שהאנליסט מאשר את הרשומה ביומן, כתובת ה-IP נשלחת ל-Recorded Future כדי להעשיר את הנתונים ולנסות לגלות את המוניטין שלה. אם נמצא שכתובת ה-IP מסוכנת, פלייבוק יחסום אותה.

ריצה

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_successful נכון/לא נכון is_successful:False

פינג

תיאור

בדיקת הקישוריות.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_successful נכון/לא נכון is_successful:False

הוספת הערה של אנליסט

תיאור

הוספת הערת אנליסט לישויות שהועשרו בעבר ב-Google SecOps, לישויות של Recorded Future. הפעולה תוסיף את ההערה לישויות הרלוונטיות בהיקף.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
כותרת ההערה String כותרת ההערה כן מציינים את הכותרת של ההערה
טקסט ההערה String טקסט ההערה כן מציינים את הטקסט של ההערה
מקור ההערה String לא רלוונטי כן

מציינים את מזהה ה-RF של מקור ההערה. בכלי API Explorer מוצגים מזהי ה-RF שהמשתמש יכול לגשת אליהם, שהאסימון API שלו מופעל. לדוגמה, VWKdVr הוא מזהה ה-RF של הערת אנליסט והוא זמין רק למשתמשים באותו חשבון ארגוני ב-Recorded Future.

נושא

DDL

(ראו טבלה בהמשך)

 ללא לא במידת הצורך, מציינים את הנושא הרלוונטי של ההערה מהרשימה.
להעשיר את הישות? תיבת סימון סימן אישור כן מציינים אם הפעולה צריכה להוסיף לישות את הפלט של 'העשרת IOC'.

ערכי DDL בשדה 'נושא'

הטקסט שיוצג המחרוזת לשליחה בבקשה
ללא (ברירת מחדל) לא לשלוח כלום
פרופיל המשתמש TXSFt2
דוח אנליסט על פי דרישה VlIhvH
Cyber Threat Analysis TXSFt1
דוח מהיר TXSFt0
אינדיקטור TXSFt4
לצורך מידע UrMRnT
פרופיל של תוכנה זדונית או כלי UX0YlU
פרופיל המקור UZmDut
ליד שקשור לאיום TXSFt3
אירוע מודיעיני שאומת TXSFt5
Weekly Threat Landscape VlIhvG
כלל YARA VTrvnW
ריצה

הפעולה הזו מופעלת בסוגי הישויות הבאים:

  • כתובת IP
  • כתובת URL
  • Filehash
  • CVE
  • דומיין
תוצאות הפעולה
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
RF_doc_id אם הנתונים זמינים בפורמט JSON.
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההפעלה של ספר ההפעלה:
אם לפחות אחת מהישויות שסופקו נמצאה ב-RF, או שכבר היה לה מזהה RF, וההערה נוספה בהצלחה:
"Successfully published analyst note with the following entities in Recorded Future: (entity.identifier list)

אם לא נמצאה לפחות ישות אחת ב-Recorded Future כשמריצים את Enrich IOC: "הישויות הבאות לא קיימות ב-Recorded Future -{non_existing_entities}

הפעולה אמורה להיכשל :

אם לאף ישות לא היה RF_ID , והן לא נמצאו ב-enrich IOC:

‫"Recorded Future לא הצליח למצוא אף אחת מהישויות שסופקו ב-Enrich IOC, ולכן לא הצליח לפרסם את הערת האנליסט".

הפעולה אמורה להיכשל ולהפסיק את ההפעלה של ה-Playbook:
אם הפעולה לא הצליחה: print "Error executing action "Publish Analyst Note". Reason: (error.Stacktrace)

אם מקבלים קוד HTTP 401 – לא מורשה – "לא מורשה – צריך לבדוק את אסימון ה-API ולנסות שוב"

 כללי

עדכון ההתראה

תיאור

עדכון ההתראה ב-Recorded Future.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה התראה String לא רלוונטי כן מציינים את המזהה של ההתראה שצריך לעדכן.
סטטוס DDL

יש לבחור טווח

ערכים אפשריים:

לא הוקצה

הקצאה

בהמתנה

נדחתה

חדש

הסתיים

סימון לצורך שיפור

 לא מציינים את הסטטוס החדש של ההתראה.
הקצאה ל String לא מציינים למי להקצות את ההתראה. אפשר לציין מזהה, שם משתמש, גיבוב משתמש או כתובת אימייל.
נתונים String מציינים הערה שצריך לעדכן בהתראה.
ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של ה-Playbook:
אם העדכון הצליח (is_success = true): "Successfully updated alert {id} in Recorded Future.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של ה-Playbook:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Update Alert". הסיבה: {0}''.format(error.Stacktrace)

אם רשימת השגיאות לא ריקה: "Error executing action "Update Alert". Reason: {0}''.format(error/reason)

אם הערך של Status הוא Select One ולא צוין אף אחד מהערכים האחרים:

"שגיאה בהפעלת הפעולה 'עדכון התראה'. סיבה: צריך לספק ערך לפחות לאחד מפרמטרי הפעולה.

כללי

מחברים

‫Recorded Future – מחבר התראות אבטחה

תיאור

שליפת התראות אבטחה מ-Recorded Future.

רשימת היתרים ורשימת חסומים פועלות עם שמות הכללים של Recorded Future.

הגדרה של מחבר התראות האבטחה של Recorded Future ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String כותרת כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String מזהה כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.

שם השדה בסביבה

 String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.

תבנית ביטוי רגולרי של הסביבה

 String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
כתובת URL של ממשק API String https://api.recordedfuture.com כן ה-API Root של מופע Recorded Future.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של Recorded Future.
מספר השעות המקסימלי לאחזור נתונים אחורה מספר שלם 1 לא מספר השעות שממנו יאוחזרו האירועים.
מספר ההתראות המקסימלי לאחזור מספר שלם 100 לא כמה התראות לעבד בכל איטרציה של המחבר.
חוּמרה String בינוני כן

רמת החומרה תהיה אחת מהערכים הבאים: נמוכה, בינונית, גבוהה, קריטית.
הערך הזה יוקצה להתראות של Google SecOps שנוצרו מהמחבר הזה.

קבלת פרטי ההתראה תיבת סימון התיבה לא מסומנת כן

אפשר לקבל את הפרטים המלאים של ההתראה מ-Recorded Future.
הערה: כל שאילתה 'עולה' קרדיט אחד של Recorded Future API.
שימוש ברשימת ההיתרים כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, רשימת ההיתרים תשמש כרשימת חסימות.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Recorded Future תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של Connectors

תמיכה ב-Proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.