urlscan.io

Integrationsversion: 24.0

urlscan.io für die Verwendung mit Google Security Operations konfigurieren

API-Schlüssel

  1. Melden Sie sich in Ihrem urlscan.io-Konto an, um Ihren API-Schlüssel zu erhalten.

  2. Klicken Sie im Abschnitt Profil der Seite auf die Schaltfläche API-Schlüssel hinzufügen.

  3. Fügen Sie eine Beschreibung hinzu, wofür Sie den API-Schlüssel verwenden möchten, und klicken Sie auf API-Schlüssel erstellen.

  4. Ihr neuer API-Schlüssel wurde generiert. Kopieren Sie den API-Schlüssel, damit Sie ihn der Google SecOps-Konfiguration für urlscan.io hinzufügen können.

Netzwerk

Funktion Standardport Richtung Protokoll
API Mehrfachwerte Ausgehend apikey

urlscan.io-Integration in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Aktionen

Ping

Beschreibung

Verbindung testen

Parameter

–

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Aktionsergebnisse

Entitätsanreicherung
Statistiken

–

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A

URL-Prüfung

Beschreibung

Sie können eine URL einreichen, die gescannt werden soll, und die Scandetails abrufen.

Parameter

Parametername Typ Pflichtfeld Standardwert Beschreibung
Sichtbarkeit

DDL
möglich
:öffentlich, nicht gelistet, privat.

Nein Öffentlich Scans auf urlscan.io haben eine von drei Sichtbarkeitsstufen. Achten Sie darauf, dass Sie die richtige Stufe für Ihren Antrag verwenden.
Grenzwert integer Nein -1 Markiert die Entität als verdächtig, wenn der Wert der Urteile gleich oder höher als der angegebene Grenzwert ist. Der Standardwert ist -1. In diesem Fall wird jede gescannte URL als verdächtig eingestuft.
Insight erstellen Boolesch Nein Ja Wenn diese Option aktiviert ist, wird durch die Aktion ein Insight mit Informationen zu Entitäten erstellt.
Nur verdächtige Statistiken Boolesch Nein Nein Wenn diese Option aktiviert ist, werden nur Informationen zu verdächtigen Einheiten erstellt. Hinweis: Der Parameter „Create Insight“ muss aktiviert sein.
Screenshot zu Insight hinzufügen Boolesch Nein Nein Wenn diese Option aktiviert ist, wird dem Insight ein Screenshot der Website hinzugefügt, sofern verfügbar.

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • IP-Adresse
  • Domain
  • URL

Aktionsergebnisse

Entitätsanreicherung
Name Schlüssel
real_url tasks/url
visibility visibility
requests_count len(data/requests)
Cookies CSV-Datei mit Daten/Cookies/Namen
related_links CSV-Datei mit Daten/Links/href
main_country Seite/Land
main_domain Seite/Domain
main_ip page/ip
main_asn page/asnname
main_server Seite/Server
related_ips_count len(lists/ips)
related_domains_count len(lists/domains)
related_countries CSV-Listen/Länder
overall_score verdicts/overall/score
Kategorien verdicts/overall/categories
Tags verdicts/overall/tags
schädlich verdicts/overall/malicious
Statistiken

–

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "EntityResult":
        {
            "task":
            {
                "domURL": "https://urlscan.io/dom/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "screenshotURL": "https://urlscan.io/screenshots/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b.png",
                "uuid": "7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b",
                "url": "http://markossolomon.com/f1q7qx.php",
                "visibility": "public",
                "source": "12a3ddaf",
                "time": "2019-01-31T15:19:55.267Z",
                "reportURL": "https://urlscan.io/result/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3396.87 Safari/537.36",
                "method": "api"
            },
            "stats":
            {
                "malicious": 0,
                "uniqCountries": 1,
                "totalLinks": 3,
                "secureRequests": 14,
                "securePercentage": 93,
                "adBlocked": 0,
                "IPv6Percentage": 50
            },
            "page":
            {
                "city": "Los Angeles",
                "domain": "markossolomon.com",
                "asn": "AS22612",
                "url": "http://markossolomon.com/f1q7qx.php",
                "ip": "1.1.1.1",
                "asnname": "NAMECHEAP-NET - Namecheap, Inc., US",
                "server": "nginx",
                "country": "US",
                "ptr": ""
            },
            "lists":
            {
                "linkDomains": ["www.namecheap.com",
                                "ap.www.namecheap.com"],
                "countries": ["US"],
                "asns": ["22612"],
                "servers": ["cloudflare",
                            "nginx"],
                "ips": ["198.54.117.244"],
                "urls": ["http://markossolomon.com/f1q7qx.php"],
                "domains": ["nc-img.com"],
                "hashes": ["f31c0889d28c7d713f237a8cea8cfbc5cb4cba63fad767666cce2bbc99746d1a"],
                "certificates": [{
                    "subjectName": "nc-img.com",
                    "validFrom": 1534204800,
                    "validTo": 1565827199,
                    "issuer": "COMODO RSA Domain Validation Secure Server CA"
                }]
            }},
        "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
    }
]

Nach Scans suchen

Beschreibung

Suchen Sie mit Attributen wie Domains, IPs, AS-Nummern (Autonomous System), Hashes usw. nach vorhandenen urlscan.io-Scans. Mit der Aktion werden öffentliche Scans, die von beliebigen Personen durchgeführt wurden, sowie nicht gelistete und private Scans gefunden, die von Ihnen oder Ihren Teams durchgeführt wurden.

Parameter

Parametername Typ Pflichtfeld Standardwert Beschreibung
Maximale Scans Ganzzahl Nein 100 Anzahl der Scans, die pro Entität zurückgegeben werden sollen. Standard: 100, maximal: 10.000 (je nach Abo).

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • IP-Adresse
  • Hostnamen
  • URLs
  • Dateiname
  • Hashes

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
{"entity_identifier": "www.unitedneighborsfcu.com",
"entity_results":[
  {
        "indexedAt": "2020-12-09T12:16:43.329Z",
        "task": {
            "visibility": "public",
            "method": "automatic",
            "domain": "www.unitedneighborsfcu.com",
            "time": "2020-12-09T12:16:23.168Z",
            "source": "certstream-suspicious",
            "uuid": "96310829-fed4-4d61-9fb0-39eb2952719f",
            "url": "https://www.unitedneighborsfcu.com"
        },
        "stats": {
            "uniqIPs": 6,
            "consoleMsgs": 0,
            "uniqCountries": 3,
            "dataLength": 1938842,
            "encodedDataLength": 1568193,
            "requests": 28
        },
        "page": {
            "country": "US",
            "server": "Microsoft-IIS/10.0",
            "domain": "www.unitedneighborsfcu.com",
            "ip": "8.21.114.55",
            "mimeType": "text/html",
            "asnname": "LEVEL3, US",
            "asn": "AS3356",
            "url": "https://www.unitedneighborsfcu.com/",
            "status": "200"
        },
        "_id": "96310829-fed4-4d61-9fb0-39eb2952719f",
        "sort": [1607516183168, "96310829-fed4-4d61-9fb0-39eb2952719f"],
        "result": "https://urlscan.io/api/v1/result/96310829-fed4-4d61-9fb0-39eb2952719f/",
        "screenshot": "https://urlscan.io/screenshots/96310829-fed4-4d61-9fb0-39eb2952719f.png"
  }
  ]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

  • if find scans for some of the entities (is_success = true): print "Successfully listed scans for the following entities:\n".format(entity.identifier)
  • Wenn für einige der Entitäten keine Scans gefunden wurden (is_success = true): print "Action wasn't able to list scans for the following entities:\n".format(entity.identifier)
  • Wenn keine Scans für alle Entitäten gefunden wurden(is_success = false): Gib „Action wasn't able to list scans for the available entities“ aus.
  • Wenn keine Entitäten vorhanden sind: Gib „No suitable entities were found in the current scope.“ aus.

    Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
    Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, keiner Verbindung zum Server usw. Gib „Error executing action 'Search for Scans'. Grund: {0}''.format(error.Stacktrace).
 Allgemein
Tabelle „Fall-Repository“

Titel: „{entity identifier} – Suchergebnisse“

Spalten:

Scan-ID

URL

Datum des Scans

Größe

IPS

Eindeutige Länder

Land

Scantyp

 Allgemein
Link zum Fall-Repository Titel: „urlscan.io Web Report + (Entitäts-ID)“. Allgemein
Anhang im Fall‑Repository Hier wird der Screenshot angezeigt. Allgemein

Vollständige Scandetails abrufen

Beschreibung

Vollständige Scandetails nach Scan-ID abrufen

Parameter

Parametername Typ Pflichtfeld Standardwert Beschreibung
Scan-ID String Ja – Rufen Sie den Scanbericht mit der Scan-ID ab. Durch Kommas getrennte Werte.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
['Effective URL'] = response['page']['url']
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

  • if find some scan ids (is_success = true): print "Successfully fetched results for the following scans: {scan ids}
  • Wenn einige nicht gefunden wurden (is_success = true): print "Action wasn't able to fetch results for the following scans: {scan ids}
  • Wenn nicht alle gefunden wurden (is_success = false): print "Action wasn't able to fetch results. Die angegebenen Scan-IDs sind nicht über urlscan.io verfügbar.“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

  • Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server usw.:Gib „Fehler beim Ausführen der Aktion ‚Get Scan Full Details‘“ aus. Grund: {0}''.format(error.Stacktrace)
 Allgemein
Link zum Fall-Repository Titel: „urlscan.io Web Report + (Scan-ID)“ Allgemein
Anhang im Fall‑Repository Hier wird der Screenshot angezeigt. Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten