Mengintegrasikan VirusTotal dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan VirusTotal dengan Google Security Operations (Google SecOps).

Versi integrasi: 39.0

Integrasi ini menggunakan VirusTotal API v2.

Integrasi ini menggunakan satu atau beberapa komponen open source. Anda dapat mendownload salinan kode sumber lengkap yang di-zip dari integrasi ini dari bucket Cloud Storage.

Sebelum memulai

Untuk menggunakan integrasi VirusTotal, konfigurasikan kunci API.

Untuk mengonfigurasi kunci API, selesaikan langkah-langkah berikut:

  1. Login ke portal VirusTotal.
  2. Di bagian nama pengguna Anda, klik Kunci API.
  3. Salin kunci API yang dibuat untuk menggunakannya di parameter integrasi.
  4. Klik Simpan.

Parameter integrasi

Integrasi VirusTotal memerlukan parameter berikut:

Parameter Deskripsi
Api Key

Wajib.

Kunci API untuk mengakses VirusTotal.
Verify SSL

Opsional.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke VirusTotal.

Tidak dipilih secara default.

Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan di tahap berikutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan tertunda dari Workdesk Anda dan Melakukan tindakan manual.

Mendapatkan Laporan Domain

Gunakan tindakan Get Domain Report untuk mengambil laporan domain dari VirusTotal untuk entitas yang diberikan dan memperkaya entitas tersebut dalam platform Google SecOps.

Tindakan ini berjalan di entity Google SecOps berikut:

  • User
  • Hostname

Input tindakan

Tidak ada.

Output tindakan

Tindakan Get Domain Report memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Hasil JSON Tersedia
Hasil skrip Tersedia
Tabel pengayaan entitas

Tindakan Get Domain Report dapat memperkaya kolom berikut:

Nama kolom pengayaan Logika yang berlaku
Forcepoint ThreatSeeker category Menampilkan apakah ada dalam hasil JSON.
BitDefender domain info Menampilkan apakah ada dalam hasil JSON.
Categories Menampilkan apakah ada dalam hasil JSON.
BitDefender Category Menampilkan apakah ada dalam hasil JSON.
Alexa Category Menampilkan apakah ada dalam hasil JSON.
Alexa domain info Menampilkan apakah ada dalam hasil JSON.
Websense ThreatSeeker category Menampilkan apakah ada dalam hasil JSON.
TrendMicro category Menampilkan apakah ada dalam hasil JSON.
Opera domain info Menampilkan apakah ada dalam hasil JSON.
Webutation domain info Menampilkan apakah ada dalam hasil JSON.
verbose_msg Menampilkan apakah ada dalam hasil JSON.
whois Menampilkan apakah ada dalam hasil JSON.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Domain Report:

[
    {
        "EntityResult": {
            "detected_downloaded_samples": [],
            "undetected_downloaded_samples": [{
                "date": "2018-08-08 22:48:28",
                "positives": 0,
                "sha256": "ef1955ae757c8b966c83248350331bd3a30f658ced11f387f8ebf05ab3368629",
                "total": 59
            }],
            "resolutions": [{
                "last_resolved": "2019-01-13 03:31:09",
                "ip_address": "192.0.2.1"
            }],
            "Opera domain info": "The URL domain/host was seen to host badware at some point in time",
            "domain_siblings": [],
            "BitDefender domain info": "This URL domain/host was seen to host badware at some point in time",
            "whois": "Domain Name: EXAMPLE.CO.IN, nUpdated Date: 2018-05-22T09:30:37Z, nCreation Date: 2003-06-23T14:02:33Z, nRegistry Expiry Date: 2019-06-23T14:02:33Z, nDomain Status: clientDeleteProhibited, nDomain Status: clientTransferProhibited, nDomain Status: clientUpdateProhibited, nRegistrant Country: US, nName Server: NS1.EXAMPLE.COM, nName Server: NS2.EXAMPLE.COM, nName Server: NS3.EXAMPLE.COM, nName Server: NS4.EXAMPLE.COM, nDNSSEC: unsigned",
            "Alexa domain info": "example.co.in is one of the top 100 sites in the world and is in the Search_Engines category",
            "verbose_msg": "Domain found in dataset",
            "BitDefender category": "searchengines",
            "undetected_referrer_samples": [{
                "date": "2019-02-05 13:20:39",
                "positives": 0,
                "sha256": "3baf9f2a2d2b152193d2af602378b71e40d381e835b0aa3111851b2f29e64f38",
                "total": 71
            }],
            "whois_timestamp": 1548379042,
            "WOT domain info": {
                "Vendor reliability": "Excellent",
                "Child safety": "Excellent",
                "Trustworthiness": "Excellent",
                "Privacy": "Excellent"
            },
            "detected_referrer_samples": [{
                "date": "2019-02-05 01:11:35",
                "positives": 1,
                "sha256": "097ea19b440441248b157698e2b23555cdf6117491b5f49f7ec8e492550cb02c",
                "total": 70
            }],
            "Forcepoint ThreatSeeker category": "search engines and portals",
            "Alexa category": "search_engines",
            "detected_communicating_samples": [{
                "date": "2019-01-28 23:58:13",
                "positives": 30,
                "sha256": "e65faa1283f8941d98dc23ff6822be228a24cb4489a5e5b01aeee749bf851658",
                "total": 70
            }],
            "TrendMicro category": "search engines portals",
            "categories": [
                "searchengines", "search engines and portals"
            ],
            "undetected_urls": [[
                "http://example.co.in/example", "daed97b2c77f0f72c9e4ee45506e3e1bc4e34d7b8846246877a02779bb85dd5b", 0, 70, "2019-02-04 14:58:23"
            ]],
            "response_code": 1,
            "Webutation domain info": {
                "Safety score": 100,
                "Adult content": "no",
                "Verdict": "safe"
            },
            "subdomains": [
                "www.example.co.in"
            ],
            "Websense ThreatSeeker category": "search engines and portals",
            "detected_urls": [{
                "url": "http://example.co.in/urlURL",
                "positives": 2,
                "total": 66,
                "scan_date": "2018-01-13 00:38:35"
            }],
            "Alexa rank": 100,
            "undetected_communicating_samples": [{
                "date": "2018-11-17 03:19:28",
                "positives": 0,
                "sha256": "e2a6ab7d594490c62bd3bb508dc38d7191ad48977da4d8dcce08dcb8af0070e9",
                "total": 68
            }],
            "pcaps": [
           "97e4a17068ce3ed01ed1c25c3d263fc0145e5ecc53b7db6f2ba84496b53d4a65"
            ]},
        "Entity": "example.co.in"
    }
]
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Domain Report:

Nama hasil skrip Nilai
is_success True atau False

Pindai Hash

Gunakan tindakan Pindai Hash untuk memindai hash file dengan VirusTotal, menandai entitas sebagai mencurigakan, dan menampilkan insight, jika skor risiko cocok dengan nilai minimum tertentu.

Tindakan ini dijalankan pada entity Filehash Google SecOps.

Input tindakan

Tindakan Scan Hash memerlukan parameter berikut:

Parameter Deskripsi
Threshold

Wajib.

Nilai minimum untuk menandai deteksi sebagai mencurigakan.

Jika deteksi mesin berbahaya mencapai atau melampaui nilai minimum yang ditetapkan, tindakan tersebut akan menandai entitas sebagai mencurigakan.
Rescan after days

Opsional.

Jumlah hari setelah tanggal pemindaian terbaru untuk memindai ulang entitas.

Output tindakan

Tindakan Scan Hash memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Insight Tersedia
Hasil JSON Tersedia
Hasil skrip Tersedia
Tabel pengayaan entitas

Tindakan Scan Hash dapat memperkaya kolom berikut:

Nama kolom pengayaan Logika yang berlaku
permalink Menampilkan apakah ada dalam hasil JSON.
sha1 Menampilkan apakah ada dalam hasil JSON.
resource Menampilkan apakah ada dalam hasil JSON.
Scan date Menampilkan apakah ada dalam hasil JSON.
Scan ID Menampilkan apakah ada dalam hasil JSON.
verbose_msg Menampilkan apakah ada dalam hasil JSON.
total Menampilkan apakah ada dalam hasil JSON.
positives Menampilkan apakah ada dalam hasil JSON.
sha256 Menampilkan apakah ada dalam hasil JSON.
md5 Menampilkan apakah ada dalam hasil JSON.
Detecting Engines Menampilkan apakah ada dalam hasil JSON.
Insight

Tindakan Scan Hash dapat menampilkan insight berikut:

Keparahan Deskripsi
Warn

Tindakan ini membuat insight peringatan untuk memberi tahu tentang status hash yang diperkaya yang berbahaya.

Tindakan ini hanya membuat insight saat jumlah mesin yang terdeteksi sama dengan atau melebihi nilai minimum mencurigakan yang Anda tetapkan sebelum pemindaian.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Pindai Hash:

[
    {
        "EntityResult": {
            "permalink": "https://www.virustotal.com/file/HASH/analysis/ANALYSIS_ID/",
            "sha1": "3395856ce81f2b7382dee72602f798b642f14140",
            "resource": "HASH",
            "response_code": 1,
            "scan_date": "2019-02-05 15:41:52",
            "scan_id": "HASH-ANALYSIS_ID",
            "verbose_msg": "Scan finished, information embedded",
            "total": 60,
            "positives": 54,
            "sha256": "HASH",
            "md5": "44d88612fea8a8f36de82e1278abb02f",
            "scans": {
                "Bkav": {
                    "detected": true,
                    "version": "192.0.2.1",
                    "result": "Trojan",
                    "update": "20190201"
                },
                "MicroWorld-eScan": {
                    "detected": true,
                    "version": "14.0.297.0",
                    "result": "Test-File",
                    "update": "20190205"
                }}},
        "Entity": "HASH"
    }
]
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Pindai Hash:

Nama hasil skrip Nilai
is_risky True atau False

Memindai IP

Gunakan tindakan Pindai IP untuk mengumpulkan informasi yang baru-baru ini dilihat VirusTotal di IP tertentu.

Tindakan ini dijalankan pada entity IP Address Google SecOps.

Input tindakan

Tindakan Pindai IP memerlukan parameter berikut:

Parameter Deskripsi
Threshold

Opsional.

Nilai minimum untuk menandai alamat IP sebagai mencurigakan.

Jika deteksi mesin berbahaya mencapai atau melampaui nilai minimum yang ditetapkan, tindakan akan menandai alamat IP sebagai mencurigakan.

Nilai defaultnya adalah 25.

Output tindakan

Tindakan Scan IP memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Insight Tersedia
Hasil JSON Tersedia
Hasil skrip Tersedia
Tabel pengayaan entitas

Tindakan Pindai IP dapat memperkaya kolom berikut:

Nama kolom pengayaan Logika yang berlaku
Country Menampilkan apakah ada dalam hasil JSON.
Related Domains Menampilkan apakah ada dalam hasil JSON.
Last Scan Date Menampilkan apakah ada dalam hasil JSON.
verbose_msg Menampilkan apakah ada dalam hasil JSON.
Resolutions Menampilkan apakah ada dalam hasil JSON.
Insight

Tindakan Pindai IP dapat menampilkan insight berikut:

Keparahan Deskripsi
Warn

Tindakan ini membuat insight peringatan untuk menginformasikan status berbahaya alamat IP yang diperkaya.

Tindakan ini hanya membuat insight jika jumlah mesin yang terdeteksi sama dengan atau melebihi nilai minimum mencurigakan yang Anda tetapkan sebelum pemindaian.
Nama insight Isi
Entity Insight
  • Negara: country
  • Contoh Perujuk Berbahaya: len(detected_referrer_samples)
  • Contoh yang Didownload Berbahaya: len(detected_downloaded_samples)
  • Contoh Komunikasi Berbahaya: len(detected_communicating_samples)
  • URL berbahaya: len(detected_urls)
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Pindai IP:

[
    {
        "EntityResult": {
            "asn": 4436,
            "undetected_urls": [[
                "http://example.com", "2ed06796f95e7c1xxxxxbd68d81754acf535c999e901bfe2cf9c45612396f66", 0, 66, "2022-11-23 06:51:49"
            ]],
            "undetected_downloaded_samples": [{
                "date": "2018-07-09 07:53:30",
                "positives": 0,
                "sha256": "6a0bf66ddc73d7e64eb2ff0dd3512c5378c0c63c2ad4e13c0e1429fe",
                "total": 60
            }],
            "country": "country",
            "response_code": 1,
            "as_owner": "Example, Inc.",
            "verbose_msg": "IP address in dataset",
            "detected_downloaded_samples": [{
                "date": "2023-05-20 08:38:00",
                "positives": 6,
                "sha256": "9cf5c07c99c3342d83b241c25850da0bf231ee150cb962cab1e8399cb",
                "total": 57
            }],
            "resolutions": [{
                "last_resolved": "2023-05-13 00:00:00",
                "hostname": "40515350444dff68-2f7735d5ad283fa41a203a082d9a8f25.example.com"
            }],
            "detected_urls": [{
                "url": "http://example.com",
                "positives": 2,
                "total": 67,
                "scan_date": "2023-05-20 07:16:45"
            }]},
            "Entity": "192.0.2.1"
        }
    ]
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Pindai IP:

Nama hasil skrip Nilai
is_success True atau False

Pindai URL

Gunakan tindakan Pindai URL untuk memindai URL dengan VirusTotal.

Tindakan ini dijalankan pada entity URL Google SecOps.

Input tindakan

Tindakan Pindai URL memerlukan parameter berikut:

Parameter Deskripsi
Threshold

Wajib.

Nilai minimum untuk menandai deteksi sebagai mencurigakan.

Jika deteksi mesin berbahaya mencapai atau melampaui nilai minimum yang ditetapkan, tindakan tersebut akan menandai entitas sebagai mencurigakan.
Rescan after days

Opsional.

Jumlah hari setelah tanggal pemindaian terbaru untuk memindai ulang entitas.

Output tindakan

Tindakan Pindai URL memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Insight Tersedia
Hasil JSON Tersedia
Hasil skrip Tersedia
Tabel pengayaan entitas

Tindakan Pindai URL dapat memperkaya kolom berikut:

Nama kolom pengayaan Logika yang berlaku
Scan date Menampilkan apakah ada dalam hasil JSON.
Scan ID Menampilkan apakah ada dalam hasil JSON.
risk_score Menampilkan apakah ada dalam hasil JSON.
Total Menampilkan apakah ada dalam hasil JSON.
Online Link Menampilkan apakah ada dalam hasil JSON.
Scanned Url Menampilkan apakah ada dalam hasil JSON.
resource Menampilkan apakah ada dalam hasil JSON.
Detecting Engines Menampilkan apakah ada dalam hasil JSON.
Risk Score Menampilkan apakah ada dalam hasil JSON.
Last Scan Date Menampilkan apakah ada dalam hasil JSON.
verbose_msg Menampilkan apakah ada dalam hasil JSON.
File Scan ID Menampilkan apakah ada dalam hasil JSON.
Insight

Tindakan Pindai URL dapat menampilkan insight berikut:

Keparahan Deskripsi
Warn

Tindakan ini membuat insight peringatan untuk memberi tahu tentang status URL yang diperkaya dan berpotensi berbahaya.

Tindakan ini hanya membuat insight jika jumlah mesin yang terdeteksi sama dengan atau melebihi nilai minimum mencurigakan yang Anda tetapkan sebelum pemindaian.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Pindai URL:

[
    {
        "EntityResult": {
            "permalink": "https://www.virustotal.com/url/URL_HASH/analysis/ANALYSIS_ID/",
            "resource": "http://example.php",
            "url": "http://example.php",
            "response_code": 1,
            "scan_date": "2019-02-04 05:28:54",
            "scan_id": "URL_HASH-ANALYSIS_ID",
            "verbose_msg": "Scan finished, scan information embedded in this object",
            "filescan_id": null,
            "positives": 5,
            "total": 67,
            "scans": {
                "CLEAN MX": {
                    "detected": false,
                    "result": "clean site"
                },
                "DNS8": {
                    "detected": false,
                    "result": "clean site"
                }}},
        "Entity": "http://example.php"
    }
]
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Pindai URL:

Nama hasil skrip Nilai
is_risky True atau False

Mengupload dan Memindai File

Gunakan tindakan Upload and Scan File untuk mengupload dan memindai file dengan VirusTotal.

Tindakan ini berjalan di semua entity Google SecOps.

Input tindakan

Tindakan Upload and Scan File memerlukan parameter berikut:

Parameter Deskripsi
Threshold

Wajib.

Jumlah minimum deteksi positif dari pemindai VirusTotal untuk menganggap file berisiko dan memicu insight.

Nilai defaultnya adalah 3.
File Paths

Wajib.

Daftar jalur yang dipisahkan koma untuk diupload dan dipindai.
Linux Server Address

Opsional.

Alamat server Linux jarak jauh tempat file berada, seperti 192.0.2.1.
Linux User

Opsional.

Nama pengguna untuk melakukan autentikasi di server Linux jarak jauh.
Linux Password

Opsional.

Sandi untuk mengautentikasi di server Linux jarak jauh.

Output tindakan

Tindakan Upload dan Pindai File memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Insight Tersedia
Hasil JSON Tersedia
Hasil skrip Tersedia
Tabel pengayaan entitas

Tindakan Upload dan Pindai File dapat memperkaya kolom berikut:

Nama kolom pengayaan Logika yang berlaku
resource Menampilkan apakah ada dalam hasil JSON.
Scan date Menampilkan apakah ada dalam hasil JSON.
Scan ID Menampilkan apakah ada dalam hasil JSON.
permalink Menampilkan apakah ada dalam hasil JSON.
Total Menampilkan apakah ada dalam hasil JSON.
Md5 Menampilkan apakah ada dalam hasil JSON.
Sha1 Menampilkan apakah ada dalam hasil JSON.
Sha256 Menampilkan apakah ada dalam hasil JSON.
positives Menampilkan apakah ada dalam hasil JSON.
total Menampilkan apakah ada dalam hasil JSON.
Detecting Engines Menampilkan apakah ada dalam hasil JSON.
verbose_msg Menampilkan apakah ada dalam hasil JSON.
Insight

Tindakan Upload dan Pindai File dapat menampilkan insight berikut:

Keparahan Deskripsi
Warn

Tindakan ini membuat insight peringatan untuk memberi tahu tentang status file yang diperkaya dan berpotensi berbahaya.

Tindakan ini hanya membuat insight jika jumlah mesin yang terdeteksi sama dengan atau melebihi nilai minimum mencurigakan yang Anda tetapkan sebelum pemindaian.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Upload dan Pindai File:

{
    "file_path": {
        "scan_id": "FILE_ID-ANALYSIS_ID",
        "sha1": "ec44b2af88e602e3981db0b218ecb5d59dc0dfec",
        "resource": "FILE_ID-ANALYSIS_ID",
        "response_code": 1,
        "scan_date": "2019-02-05 15:55:50",
        "permalink": "https://www.virustotal.com/file/FILE_ID/analysis/ANALYSIS_ID/",
        "verbose_msg": "Scan finished, information embedded",
        "total": 58,
        "positives": 0,
        "sha256": "FILE_ID",
        "md5": "848d57fbd8e29afa08bd3f58dd30f902",
        "scans": {
            "Bkav": {
                "detected": false,
                "version": "192.0.2.1",
                "result": null,
                "update": "20190201"
            },
            "MicroWorld-eScan": {
                "detected": false,
                "version": "14.0.297.0",
                "result": null,
                "update": "20190205"
            }
        }
    }
}
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Upload dan Pindai File:

Nama hasil skrip Nilai
is_risky True atau False

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.