urlscan.io

Versione integrazione: 24.0

Configurare urlscan.io per funzionare con Google Security Operations

Chiave API

  1. Per ottenere la chiave API, accedi al tuo account urlscan.io.

  2. Fai clic sul pulsante Aggiungi chiave API nella sezione Profilo della pagina.

  3. Aggiungi una descrizione dell'utilizzo della chiave API e fai clic su Crea chiave API.

  4. È stata generata la nuova chiave API. Assicurati di copiare la chiave API in modo da poterla aggiungere alla configurazione di Google SecOps per urlscan.io.

Rete

Funzione Porta predefinita Direzione Protocollo
API Multivalori In uscita apikey

Configura l'integrazione di urlscan.io in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, vedi Configurare le integrazioni.

Azioni

Dindin

Descrizione

Testa la connettività.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità
Approfondimenti

N/D

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
N/A

Controllo URL

Descrizione

Invia un URL da analizzare e visualizza i dettagli dell'analisi.

Parametri

Nome parametro Tipo È obbligatorio Valore predefinito Descrizione
Visibilità

DDL
possible:
public, unlisted, private.

No pubblica Le scansioni su urlscan.io hanno uno dei tre livelli di visibilità, assicurati di utilizzare il livello appropriato per l'invio.
Soglia integer No -1 Contrassegna l'entità come sospetta se il punteggio dei verdetti è uguale o superiore alla soglia specificata. Il valore predefinito è -1, in questo caso consideriamo ogni URL scansionato come sospetto.
Crea approfondimento Booleano No Sì Se attivata, l'azione creerà un insight contenente informazioni sulle entità.
Solo approfondimenti sospetti Booleano No No Se abilitata, l'azione creerà approfondimenti solo per le entità sospette. Nota: il parametro "Crea insight" deve essere attivato.
Aggiungere uno screenshot all'insight Booleano No No Se attivata, l'azione aggiungerà uno screenshot del sito web all'approfondimento, se disponibile.

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

  • Indirizzo IP
  • Dominio
  • URL

Risultati dell'azione

Arricchimento delle entità
Nome Key (Chiave)
real_url tasks/url
visibilità visibilità
requests_count len(data/requests)
cookie CSV di dati/cookie/nome
related_links CSV di dati/link/href
main_country pagina/paese
main_domain pagina/dominio
main_ip page/ip
main_asn pagina/asnname
main_server pagina/server
related_ips_count len(lists/ips)
related_domains_count len(lists/domains)
related_countries Elenchi/paesi CSV
overall_score verdicts/overall/score
categorie verdicts/overall/categories
Tag verdicts/overall/tags
dannose verdicts/overall/malicious
Approfondimenti

N/D

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "EntityResult":
        {
            "task":
            {
                "domURL": "https://urlscan.io/dom/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "screenshotURL": "https://urlscan.io/screenshots/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b.png",
                "uuid": "7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b",
                "url": "http://markossolomon.com/f1q7qx.php",
                "visibility": "public",
                "source": "12a3ddaf",
                "time": "2019-01-31T15:19:55.267Z",
                "reportURL": "https://urlscan.io/result/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3396.87 Safari/537.36",
                "method": "api"
            },
            "stats":
            {
                "malicious": 0,
                "uniqCountries": 1,
                "totalLinks": 3,
                "secureRequests": 14,
                "securePercentage": 93,
                "adBlocked": 0,
                "IPv6Percentage": 50
            },
            "page":
            {
                "city": "Los Angeles",
                "domain": "markossolomon.com",
                "asn": "AS22612",
                "url": "http://markossolomon.com/f1q7qx.php",
                "ip": "1.1.1.1",
                "asnname": "NAMECHEAP-NET - Namecheap, Inc., US",
                "server": "nginx",
                "country": "US",
                "ptr": ""
            },
            "lists":
            {
                "linkDomains": ["www.namecheap.com",
                                "ap.www.namecheap.com"],
                "countries": ["US"],
                "asns": ["22612"],
                "servers": ["cloudflare",
                            "nginx"],
                "ips": ["198.54.117.244"],
                "urls": ["http://markossolomon.com/f1q7qx.php"],
                "domains": ["nc-img.com"],
                "hashes": ["f31c0889d28c7d713f237a8cea8cfbc5cb4cba63fad767666cce2bbc99746d1a"],
                "certificates": [{
                    "subjectName": "nc-img.com",
                    "validFrom": 1534204800,
                    "validTo": 1565827199,
                    "issuer": "COMODO RSA Domain Validation Secure Server CA"
                }]
            }},
        "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
    }
]

Cerca scansioni

Descrizione

Cerca scansioni esistenti di urlscan.io in base ad attributi quali domini, IP, numeri di sistemi autonomi (AS), hash e così via. L'azione troverà scansioni pubbliche eseguite da chiunque, nonché scansioni non in elenco e private eseguite da te o dai tuoi team.

Parametri

Nome parametro Tipo È obbligatorio Valore predefinito Descrizione
Numero massimo di scansioni Numero intero No 100 Numero di scansioni da restituire per entità. Predefinito: 100, massimo: 10.000 (a seconda dell'abbonamento).

Run On

Questa azione viene eseguita sulle seguenti entità:

  • Indirizzo IP
  • Nomi host
  • URL
  • Nome del file
  • Hash

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{"entity_identifier": "www.unitedneighborsfcu.com",
"entity_results":[
  {
        "indexedAt": "2020-12-09T12:16:43.329Z",
        "task": {
            "visibility": "public",
            "method": "automatic",
            "domain": "www.unitedneighborsfcu.com",
            "time": "2020-12-09T12:16:23.168Z",
            "source": "certstream-suspicious",
            "uuid": "96310829-fed4-4d61-9fb0-39eb2952719f",
            "url": "https://www.unitedneighborsfcu.com"
        },
        "stats": {
            "uniqIPs": 6,
            "consoleMsgs": 0,
            "uniqCountries": 3,
            "dataLength": 1938842,
            "encodedDataLength": 1568193,
            "requests": 28
        },
        "page": {
            "country": "US",
            "server": "Microsoft-IIS/10.0",
            "domain": "www.unitedneighborsfcu.com",
            "ip": "8.21.114.55",
            "mimeType": "text/html",
            "asnname": "LEVEL3, US",
            "asn": "AS3356",
            "url": "https://www.unitedneighborsfcu.com/",
            "status": "200"
        },
        "_id": "96310829-fed4-4d61-9fb0-39eb2952719f",
        "sort": [1607516183168, "96310829-fed4-4d61-9fb0-39eb2952719f"],
        "result": "https://urlscan.io/api/v1/result/96310829-fed4-4d61-9fb0-39eb2952719f/",
        "screenshot": "https://urlscan.io/screenshots/96310829-fed4-4d61-9fb0-39eb2952719f.png"
  }
  ]
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • if find scans for some of the entities (is_success = true): print "Successfully listed scans for the following entities:\n".format(entity.identifier)
  • Se non sono state trovate scansioni per alcune entità (is_success = true): stampa "Action wasn't able to list scans for the following entities:\n".format(entity.identifier)
  • Se non sono state trovate scansioni per tutte le entità(is_success = false), stampa "L'azione non è riuscita a elencare le scansioni per le entità disponibili".
  • Se non ci sono entità: stampa "Non sono state trovate entità adatte nell'ambito attuale.

    L'azione deve non riuscire e interrompere l'esecuzione di un playbook:
    se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: stampa "Errore durante l'esecuzione dell'azione "Cerca scansioni". Motivo: {0}''.format(error.Stacktrace).
 Generale
Tabella Bacheca casi

Titolo: "{entity identifier} - Search Results" (risultati di ricerca)

Colonne:

ID scansione

URL

Data scansione

Dimensioni

IPS

Paesi unici

Paese

Tipo di scansione

 Generale
Link alla bacheca richieste Titolo: "Report web urlscan.io + (ID entità). Generale
Allegato della bacheca richieste Contiene lo screenshot. Generale

Visualizzare tutti i dettagli della scansione

Descrizione

Recuperare i dettagli completi della scansione in base all'ID scansione

Parametri

Nome parametro Tipo È obbligatorio Valore predefinito Descrizione
ID scansione Stringa Sì N/D Recupera il report di scansione utilizzando l'ID scansione. Valori separati da virgole.

Run On

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
['Effective URL'] = response['page']['url']
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • if find some scan ids (is_success = true): print "Successfully fetched results for the following scans: {scan ids}
  • Se non sono stati trovati alcuni (is_success = true): stampa "Action wasn't able to fetch results for the following scans: {scan ids}
  • If didn't find all (is_success = false): print "Action wasn't able to fetch results. Gli ID scansione forniti non sono disponibili tramite urlscan.io"

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: stampa "Errore durante l'esecuzione dell'azione "Ottieni dettagli completi della scansione". Motivo: {0}''.format(error.Stacktrace)
 Generale
Link alla bacheca richieste Titolo: "Report web di urlscan.io + (ID scansione). Generale
Allegato della bacheca richieste Contiene lo screenshot. Generale

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.