TruSTAR

Questo documento fornisce indicazioni su come integrare TruSTAR con Google SecOps.

Casi d'uso

Eseguire azioni di arricchimento.

Configura l'integrazione di TruSTAR in Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Root API Stringa https://api.trustar.co Sì Root API TruSTAR
Chiave API Stringa N/D Sì Chiave API TruSTAR
API secret Password Sì API secret TruSTAR
Verifica SSL Casella di controllo Selezionata Sì Se abilitata, verifica che il certificato SSL per la connessione al server TruSTAR sia valido.

Dove trovare il token API e l'API secret

  1. Vai alla pagina https://station.trustar.co/settings/api
  2. Copia "ID client" e "Client secret" e inseriscili nella configurazione dell'integrazione
  3. Esegui l'esecuzione del test.

Azioni

Dindin

Descrizione

Testa la connettività a TruSTAR con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:
se l'esito è positivo: "Connessione al server TruSTAR con i parametri di connessione forniti riuscita."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:
se non riesce: "Impossibile connettersi al server TruSTAR! Error is {0}".format(exception.stacktrace)

 Generale

Arricchisci le entità

Descrizione

Arricchisci le entità utilizzando le informazioni di TruSTAR. Entità supportate: tutte.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Soglia del livello di sicurezza DDL

Bassa

Valori predefiniti:

Innocuo

Bassa

Media

Alta

 Sì Specifica quale deve essere il livello di sicurezza più basso affinché l'entità venga contrassegnata come sospetta.
Filtro enclave CSV No Specifica un elenco separato da virgole di nomi di enclave da utilizzare durante l'arricchimento.

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "indicatorType": "URL",
    "value": "http://esmne052.top/downfiles/lv.exe",
    "correlationCount": 0,
    "priorityLevel": "NOT_FOUND",
    "noteCount": 0,
    "sightings": 3,
    "firstSeen": 1617901588427,
    "lastSeen": 1617923344643,
    "enclaveIds": [
        "b850e851-27e3-4cc2-9269-69ac0aad63b1",
        "85313bc9-deb4-4022-ac03-923adcee9298",
        "cf777992-5dde-4d08-aef2-5e7c13951f54"
    ],
    "tags": [
        {
            "guid": "385a631d-fe0a-4657-ab4b-b201d48bf58c",
            "name": "api-tag",
            "enclaveId": "85313bc9-deb4-4022-ac03-923adcee9298"
        }
    ],
    "source": "",
    "notes": [],
    "guid": "URL|http://esmne052.top/downfiles/lv.exe",
    "summaries": [
        {
            "reportId": "970da023-e974-4223-80be-4b83c85583d9",
            "updated": 1617900133000,
            "enclaveId": "cf777992-5dde-4d08-aef2-5e7c13951f54",
            "source": {
                "key": "virustotal",
                "name": "VirusTotal"
            },
            "type": "URL",
            "value": "http://esmne052.top/downfiles/lv.exe",
            "score": {
                "name": "Positives/Total Scans",
                "value": "12/85"
            },
            "attributes": [
                {
                    "name": "Scan Date",
                    "value": 1617900133000
                },
                {
                    "name": "Websites with Positive Detections",
                    "value": [
                        "AegisLab WebGuard",
                        "AlienVault",
                        "CRDF",
                        "ESET",
                        "Emsisoft",
                        "Fortinet",
                        "G-Data",
                        "Kaspersky",
                        "Spamhaus",
                        "URLhaus",
                        "VX Vault",
                        "benkow.cc"
                    ]
                }
            ],
            "severityLevel": 1
        },
    ]
}
Arricchimento delle entità
Nome del campo di arricchimento Logica - Quando applicarle
avvistamenti Se disponibile in JSON
first_seen Se disponibile in JSON
last_seen Se disponibile in JSON
Tag Se disponibile in JSON
origine Se disponibile in JSON
security_level Se disponibile in JSON
report_link Se disponibile in JSON
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
if enriched some(is_success = true): "Successfully enriched the following entities using TruSTAR:\n".format(entity.identifier)

Se non ha arricchito alcuni elementi (is_success = true): "Action wasn't able to enrich the following entities using TruSTAR:\n".format(entity.identifier)

Se non sono state arricchite tutte le entità (is_success = false): "Nessuna entità è stata arricchita".

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:
in caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Reason: {0}''.format(error.Stacktrace)

Se una delle enclave non è stata trovata: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Motivo: le seguenti enclave non sono state trovate: {0}. Controlla l'ortografia o utilizza l'azione "Elenca enclave" per trovare le enclave valide.''.format(enclave names)

 Generale
Tabella entità Le stesse colonne della tabella di arricchimento, ma senza prefisso. Entità

Descrizione

Ricevi informazioni sugli IOC correlati alle entità fornite. Entità supportate: tutte.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Numero massimo di IOC da restituire Numero intero 50 No Specifica il numero di IoC da restituire. Valore predefinito: 50. Massimo: 1000.
Filtro enclave CSV No Specifica un elenco separato da virgole di nomi di enclave da utilizzare durante l'arricchimento.

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "{indicatorType_1}": ["{value_1}"],
    "{indicatorType_2}": ["{value_2}"]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se è stato trovato almeno un IOC(is_success = true): "Successfully returned related IOCs for the provided entities in TruSTAR".

Se non sono stati trovati IOC(is_success=false) "No related IOCs were found for the provided entities in TruSTAR".

L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Get Related IOCs". Reason: {0}''.format(error.Stacktrace)

Se la risposta non è 200: "Error executing action "Get Related IOCs". Reason: {0}''.format(message)

Se una delle enclave non è stata trovata: "Errore durante l'esecuzione dell'azione "Recupera IOC correlati". Motivo: le seguenti enclave non sono state trovate: {0}. Controlla l'ortografia o utilizza l'azione "Elenca enclave" per trovare le enclave valide.''.format(enclave names)

 Generale

Tabella della bacheca casi

Nome: Statistiche

Colonne:

Tipo

Conteggio

Generale

Descrizione

Ricevi informazioni sui report relativi alle entità. Entità supportate: tutte.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Crea insight Casella di controllo Sì No Se attivata, l'azione creerà un insight contenente informazioni sui report correlati alle entità.
Includi il corpo del report nell'insight Casella di controllo No No Se l'opzione è attiva, l'insight conterrà informazioni sul corpo della segnalazione. Nota: il corpo del report può essere di dimensioni molto grandi.
Filtro enclave CSV No Specifica un elenco separato da virgole di nomi di enclave da utilizzare durante l'arricchimento.
Numero massimo di report da restituire Numero intero No Specifica il numero di report da restituire. Valore predefinito: 10. Massimo: 25.

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "id": "b8decde8-a68e-4961-aa0b-e07474e394b0",
    "created": 1615928416710,
    "updated": 1615928416710,
    "title": "35201",
    "distributionType": "ENCLAVE",
    "submissionStatus": "PROCESSED",
    "timeBegan": 1615928416187,
    "reportBody": "Event # 1\n   Source IP: 4.2.2.2\n   Destination IP: 10.250.250.25\n   Raw Event: <114>Mar 16 22:04:21 SyslogAlertForwarder: |6863274412612564368|Signature|2021-03-16 22:04:20 GMT+02:00|\"DNS: Microsoft SMTP Service DNS resolver overflow\"|0x40302f00|High|ms-smtp-dns-resolver-overflow|Medium|My Company|BDCFailover|3A-3B|4.2.2.2|53|10.250.250.25|1027|Inbound|buffer-overflow",
    "externalTrackingId": "qradar-offence-35201",
    "enclaveIds": [
        "28177710-9cb8-aa2f-29e8-135c14365e80"
    ],
    "tags": [
        {
            "guid": "sense offense",
            "name": "sense offense",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "host logout",
            "name": "host logout",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "service stopped",
            "name": "service stopped",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "object access success",
            "name": "object access success",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "process creation success",
            "name": "process creation success",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "information",
            "name": "information",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "user privilege",
            "name": "user privilege",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "user login failure",
            "name": "user login failure",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        }
    ]
}
Insight sulle entità

Esempio di insight Ottieni report correlati

Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se viene trovato un report (is_success = true): "Successfully returned related reports for the provided entities in TruSTAR".

Se non vengono trovati report (is_success=false) "No related reports were found in TruSTAR"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Get Related Reports". Reason: {0}''.format(error.Stacktrace)

Se non viene visualizzata una risposta 200: "Errore durante l'esecuzione dell'azione "Recupera report correlati". Reason: {0}''.format(message)

Se una delle enclave non è stata trovata: "Errore durante l'esecuzione dell'azione "Recupera report correlati". Motivo: le seguenti enclave non sono state trovate: {0}. Controlla l'ortografia o utilizza l'azione "Elenca enclave" per trovare le enclave valide.''.format(enclave names)

 Generale
Bacheca casi

Title: Report correlati

Colonne:

Titolo

Tag

Generale

Elenca enclave

Descrizione

Elenca le enclave disponibili in TruSTAR.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Logica di filtro DDL

Uguale

DDL

Uguale

Contiene

 No Specifica la logica di filtro da applicare.
Valore filtro Stringa No Specifica il valore da utilizzare nel filtro.
Numero massimo di enclave da restituire Numero intero 50 No Specifica il numero di enclave da restituire. Valore predefinito: 50.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[
    {
        "name": "COVID-19 OSINT Community Enclave",
        "templateName": "COVID-19",
        "workflowSupported": false,
        "read": true,
        "create": false,
        "update": false,
        "id": "b0a7be7b-a847-4597-9e1d-20ae18c344ea",
        "type": "OPEN"
    },
    {
        "name": "Hybrid Analysis Public Feed",
        "templateName": "Open Source",
        "workflowSupported": false,
        "read": true,
        "create": false,
        "update": false,
        "id": "2eeccced-c740-4ad9-aa5c-82744cd1f6aa",
        "type": "OPEN"
    }
]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se viene trovata un'enclave (is_success = true): "Successfully returned available enclaves in TruSTAR".

Se non vengono trovate enclave (is_success=false): "No related enclaves were found in TruSTAR"

L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook:
in caso di errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Elenca enclave". Reason: {0}''.format(error.Stacktrace)

 Generale
Bacheca casi

Title: Report correlati

Colonne:

Nome

Leggi

Creazione

Aggiorna

ID

Tipo

 Generale

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.