Trend Micro DDAN

במסמך הזה מוסבר איך לשלב את Trend Micro DDAN עם Google SecOps.

הגדרת השילוב של Trend Micro DDAN ב-Google Security Operations

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
הרמה הבסיסית (root) של ה-API String https://IP_ADDRESS כן שורש ה-API של המכונה של Trend Micro DDAN.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של המכונה של Trend Micro DDAN.
אימות SSL תיבת סימון סימן אישור לא אם ההגדרה מופעלת, המערכת מאמתת שאישור ה-SSL של החיבור ל-Trend Micro DDAN תקין.

פעולות

פינג

בודקים את הקישוריות ל-Trend Micro DDAN באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בדף Google SecOps Content Hub.

ריצה

הפעולה הזו לא פועלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם החיבור הצליח: "החיבור לשרת Trend Micro DDAN בוצע בהצלחה באמצעות פרמטרי החיבור שסופקו".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם החיבור נכשל: "החיבור לשרת Trend Micro DDAN נכשל! השגיאה היא {0}".format(exception.stacktrace)"

 כללי

שליחת הקובץ

שליחת קבצים ב-Trend Micro DDAN.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובות ה-URL של הקבצים CSV לא רלוונטי כן מציינים רשימה מופרדת בפסיקים של כתובות ה-URL שמפנות לקובץ שצריך לנתח.
אחזור של יומן האירועים תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת יומני אירועים שקשורים לקבצים.
אחזור אובייקטים חשודים תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת אובייקטים חשודים.
אחזור צילום מסך של ארגז החול תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מנסה לאחזר צילום מסך של ארגז חול שקשור לקבצים.
שליחת הקובץ מחדש תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה לא בודקת אם הקובץ הזה כבר נשלח בעבר.
מספר מקסימלי של יומני אירועים להחזרה מספר שלם 50 לא מציינים את מספר יומני האירועים שיוחזרו. מקסימום: 200
מספר האובייקטים החשודים המקסימלי שיוחזרו מספר שלם 50 לא ציינו את מספר האובייקטים החשודים שיוחזרו. מקסימום: 200
אחזור אובייקטים חשודים תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת את האובייקט החשוד.
מספר האובייקטים החשודים המקסימלי שיוחזרו מספר שלם 50 לא ציינו את מספר האובייקטים החשודים שיוחזרו. מקסימום: 200

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "REPORTS": {
        "IMAGE_TYPE": {
            "TYPE": "Windows 10"
        },
        "OVERALL_RISK_LEVEL": -19,
        "FILE_ANALYZE_REPORT": {
            "FileSHA1": "2C2218022BC734EFF94290199C2CDC46E9531F9B",
            "FileMD5": "6061C079AFC5B3198F2752F875513E58",
            "FileSHA256": "6CE4952C2EE4D70CBC3B4276007D0815C03FA0E87E209DF7B901D143C06859AA",
            "FileTLSH": "",
            "FileID": "3315_0001",
            "OrigFileName": "https://example.com/",
            "DownloadedFileName": "",
            "MalwareSourceIP": "",
            "MalwareSourceHost": "",
            "ROZRating": -19,
            "CensusPrevalence": -1,
            "GRIDIsKnownGood": -1,
            "AuthenticodeIsGood": 0,
            "IsAllowed": 0,
            "IsDenylisted": 0,
            "OverallROZRating": -19,
            "AnalyzeTime": "2022-11-07 15:39:24",
            "VirusDetected": 0,
            "EngineVersion": "",
            "PatternVersion": "",
            "VirusName": "",
            "TrueFileType": "URL",
            "FileSize": 0,
            "PcapReady": 0,
            "SandcastleClientVersion": "6.0.5511",
            "AnalyzeStartTime": "2022-11-07 15:39:23",
            "ParentChildRelationship": "",
            "DuplicateSHA1": 0,
            "ConnectionMode": "nat",
            "ExternalServiceMode": "Global",
            "DiagInfo": "",
            "RedirectChain": {
                "Connection": {
                    "ID": 1,
                    "URL": "https://example.com",
                    "WRSScore": 71,
                    "WRSCategoryID": 93,
                    "WRSCategoryName": "Newly Observed Domain",
                    "ThreatName": "",
                    "RedirectFrom": ""
                }
            },
            "DroppedFiles": "",
            "USandboxVersion": "5.8.1044"
        },
        "EXTRA_INFO": {
            "VAAnalysisTime": 96,
            "TotalProcessingTime": 97
        }
    },
    "Screenshot": "",
    "EventLog": [
        {
            "EventLog": {
                "Date": "2022-11-07 15:37:49+00",
                "Source": 1,
                "SubmitDate": "2022-11-07 15:37:49.618895+00",
                "ProtocolGroup": "",
                "Protocol": "",
                "VLANId": "",
                "Direction": "",
                "DstIP": "",
                "DstIPStr": "",
                "DstPort": "",
                "DstMAC": "",
                "SrcIP": "",
                "SrcIPStr": "",
                "SrcPort": "",
                "SrcMAC": "",
                "DomainName": "",
                "HostName": "",
                "DetectionName": "",
                "RiskTypeGroup": "",
                "RiskType": "",
                "FileName": "",
                "FileExt": "",
                "TrueFileType": "",
                "FileSize": "",
                "RuleID": "",
                "Description": "Dummy log content",
                "ConfidenceLevel": "",
                "Recipient": "",
                "Sender": "",
                "Subject": "",
                "BOTCmd": "",
                "BOTUrl": "",
                "ChannelName": "",
                "NickName": "",
                "URL": "https://example.com",
                "UserName": "",
                "Authentication": "",
                "UserAgent": "",
                "TargetShare": "",
                "DetectedBy": "",
                "PotentialRisk": "",
                "HasQFile": "",
                "ServerName": "",
                "MessageID": "",
                "EngineVer": "",
                "PatternNum": "",
                "VirusType": "",
                "EngineVirusMajorType": ""
            }
        }
    ],
    "SuspiciousObjects": ""
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הדוח הוחזר (is_success=true): "כתובות ה-URL הבאות נותחו בהצלחה ב-Trend Micro DDAN: ‏SUCCESSFUL_URLS"

אם לא הוחזר דוח לאחד מהם (is_success=true): "הפעולה לא הצליחה להחזיר תוצאות לכתובות ה-URL הבאות ב-Trend Micro DDAN: ‏SUCCESSFUL_URLS"

אם לא הוחזר דוח לכל כתובות ה-URL ‏(is_success=true): "No results for the provided URLs" (אין תוצאות לכתובות ה-URL שצוינו).

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Submit File URL".‎ הסיבה: {0}''.format(error.Stacktrace)"

 כללי

שליחת כתובת ה-URL של הקובץ

שליחת קובץ באמצעות כתובות URL ב-Trend Micro DDAN.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובות ה-URL של הקבצים CSV לא רלוונטי כן מציינים רשימה מופרדת בפסיקים של כתובות ה-URL שמפנות לקובץ שצריך לנתח.
אחזור של יומן האירועים תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת יומני אירועים שקשורים לקבצים.
אחזור אובייקטים חשודים תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת אובייקטים חשודים.
אחזור צילום מסך של ארגז החול תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מנסה לאחזר צילום מסך של ארגז חול שקשור לקבצים.
שליחת הקובץ מחדש תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה לא בודקת אם הקובץ הזה כבר נשלח בעבר.
מספר מקסימלי של יומני אירועים להחזרה מספר שלם 50 לא מציינים את מספר יומני האירועים שיוחזרו. מקסימום: 200
מספר האובייקטים החשודים המקסימלי שיוחזרו מספר שלם 50 לא ציינו את מספר האובייקטים החשודים שיוחזרו. מקסימום: 200
אחזור אובייקטים חשודים תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת את האובייקט החשוד.
מספר האובייקטים החשודים המקסימלי שיוחזרו מספר שלם 50 לא ציינו את מספר האובייקטים החשודים שיוחזרו. מקסימום: 200

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "REPORTS": {
        "IMAGE_TYPE": {
            "TYPE": "Windows 10"
        },
        "OVERALL_RISK_LEVEL": -19,
        "FILE_ANALYZE_REPORT": {
            "FileSHA1": "2C2218022BC734EFF94290199C2CDC46E9531F9B",
            "FileMD5": "6061C079AFC5B3198F2752F875513E58",
            "FileSHA256": "6CE4952C2EE4D70CBC3B4276007D0815C03FA0E87E209DF7B901D143C06859AA",
            "FileTLSH": "",
            "FileID": "3315_0001",
            "OrigFileName": "https://example.com",
            "DownloadedFileName": "",
            "MalwareSourceIP": "",
            "MalwareSourceHost": "",
            "ROZRating": -19,
            "CensusPrevalence": -1,
            "GRIDIsKnownGood": -1,
            "AuthenticodeIsGood": 0,
            "IsAllowed": 0,
            "IsDenylisted": 0,
            "OverallROZRating": -19,
            "AnalyzeTime": "2022-11-07 15:39:24",
            "VirusDetected": 0,
            "EngineVersion": "",
            "PatternVersion": "",
            "VirusName": "",
            "TrueFileType": "URL",
            "FileSize": 0,
            "PcapReady": 0,
            "SandcastleClientVersion": "6.0.5511",
            "AnalyzeStartTime": "2022-11-07 15:39:23",
            "ParentChildRelationship": "",
            "DuplicateSHA1": 0,
            "ConnectionMode": "nat",
            "ExternalServiceMode": "Global",
            "DiagInfo": "",
            "RedirectChain": {
                "Connection": {
                    "ID": 1,
                    "URL": "https://example.com",
                    "WRSScore": 71,
                    "WRSCategoryID": 93,
                    "WRSCategoryName": "Newly Observed Domain",
                    "ThreatName": "",
                    "RedirectFrom": ""
                }
            },
            "DroppedFiles": "",
            "USandboxVersion": "5.8.1044"
        },
        "EXTRA_INFO": {
            "VAAnalysisTime": 96,
            "TotalProcessingTime": 97
        }
    },
    "Screenshot": "{base64 of }",
    "EventLog": [
        {
            "EventLog": {
                "Date": "2022-11-07 15:37:49+00",
                "Source": 1,
                "SubmitDate": "2022-11-07 15:37:49.618895+00",
                "ProtocolGroup": "",
                "Protocol": "",
                "VLANId": "",
                "Direction": "",
                "DstIP": "",
                "DstIPStr": "",
                "DstPort": "",
                "DstMAC": "",
                "SrcIP": "",
                "SrcIPStr": "",
                "SrcPort": "",
                "SrcMAC": "",
                "DomainName": "",
                "HostName": "",
                "DetectionName": "",
                "RiskTypeGroup": "",
                "RiskType": "",
                "FileName": "",
                "FileExt": "",
                "TrueFileType": "",
                "FileSize": "",
                "RuleID": "",
                "Description": "Dummy log content",
                "ConfidenceLevel": "",
                "Recipient": "",
                "Sender": "",
                "Subject": "",
                "BOTCmd": "",
                "BOTUrl": "",
                "ChannelName": "",
                "NickName": "",
                "URL": "https://example.com",
                "UserName": "",
                "Authentication": "",
                "UserAgent": "",
                "TargetShare": "",
                "DetectedBy": "",
                "PotentialRisk": "",
                "HasQFile": "",
                "ServerName": "",
                "MessageID": "",
                "EngineVer": "",
                "PatternNum": "",
                "VirusType": "",
                "EngineVirusMajorType": ""
            }
        }
    ],
    "SuspiciousObjects": ""
}
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הדוח הוחזר (is_success=true): "כתובות ה-URL הבאות נותחו בהצלחה ב-Trend Micro DDAN: ‏SUCCESSFUL_URLS"

אם לא הוחזר דוח לאחד מהם (is_success=true): "הפעולה לא הצליחה להחזיר תוצאות לכתובות ה-URL הבאות ב-Trend Micro DDAN: ‏SUCCESSFUL_URLS"

אם לא הוחזר דוח לכל כתובות ה-URL ‏(is_success=true): "No results for the provided URLs" (אין תוצאות לכתובות ה-URL שצוינו).

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Submit File URL".‎ הסיבה: {0}''.format(error.Stacktrace)"

 כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.