Check Point Threat Reputation

本文档介绍了如何将 Check Point Reputation Service 与 Google Security Operations 集成。

使用场景

威胁情报服务。

在 Google Security Operations 中配置 Check Point Threat Reputation 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
实例名称 字符串 不适用 否 您要为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 rep.checkpoint.com 是 指定 Check Point Reputation Service API 根网址。
API 密钥 密码 不适用 是 指定 Check Point Reputation Service API 密钥。
验证 SSL 复选框 尚未核查 否 如果启用此设置，系统会验证与 Check Point Reputation Service 服务器连接的 SSL 证书是否有效。
远程运行 复选框 尚未核查 否 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。

操作

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 Check Point Reputation Service 的连接性。

参数

不适用

Playbook 应用场景示例

该操作用于在 Google SecOps Content Hub 页面中的集成配置页面上测试连接性，并且可以作为人工处置措施执行，而不能在 playbook 中使用。

运行时间

该操作不会对实体执行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功： “已使用提供的连接参数成功连接到 Check Point 信誉服务！”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误或连接中断），请执行以下操作：

“未能连接到 Check Point Reputation Service！错误为 {0}”。format(exception.stacktrace)

 常规

获取文件哈希信誉

说明

根据 Check Point Reputation Service 中的信息，丰富 Google SecOps 文件哈希实体。操作接受 md5、sha1 和 sha256 格式的文件哈希。

参数

参数显示名称 类型 默认值 为必填项 说明
阈值 整数 0 是 如果实体的返回风险值高于给定阈值，则将实体标记为可疑。
要创建分析洞见吗？ 复选框 尚未核查 否 指定是否应根据操作结果创建 Google SecOps Insight。

Playbook 应用场景示例

使用 Check Point Reputation Service 中的信息丰富 Google SecOps filehash 实体：在处理可能的恶意软件感染提醒期间，用户可以从 Check Point Reputation Service 中获取与提醒相关的特定 filehash 的丰富数据，以便进行调查。

运行时间

此操作在 FILEHASH (md5/sha1/sha256) 实体上运行。

操作执行结果

实体丰富化

该操作应使用 API 响应中的所有值（响应的“status”节点除外）来丰富实体。

数据分析
Insight Logic 类型 Title（字符串） 消息
如果选中了相应复选框，则创建。 实体 Check Point Threat Reputation

分类：API 响应中的值

置信度：API 响应中的值

严重程度：API 响应中的值

风险：API 响应中的值
脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果

操作应返回与表达式构建器兼容的 JSON 结果。

{
    "response": [
        {
            "status": {
                "code": 2001,
                "label": "SUCCESS",
                "message": "Succeeded to generate reputation"
            },
            "resource": "2c527d980eb30daa789492283f9bf69e",
            "reputation": {
                "classification": "Riskware",
                "severity": "Medium",
                "confidence": "High"
            },
            "risk": 50,
            "context": {
                "malware_family": "Mimikatz",
                "protection_name": "HackTool.Win32.Mimikatz.TC.lc",
                "malware_types": [
                    "Riskware"
                ],
                "metadata": {
                    "company_name": "gentilkiwi (Benjamin DELPY)",
                    "product_name": "mimikatz",
                    "copyright": "Copyright (c) 2007 - 2017 gentilkiwi (Benjamin DELPY)",
                    "original_name": "mimikatz.exe"
                }
            }
        }
    ]
}
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少有一个提供的实体已扩充： "Successfully enriched entities: {0}".format([entity.Identifier])。

如果未能扩充所有提供的实体：“未扩充任何实体。”

如果未能在 Check Point Reputation Service 中找到数据来丰富特定实体： "Action was not able to find Check Point Reputation Service info to enrich the following entities: {0}".format([entity.identifier])

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误或连接中断），请执行以下操作：

“未能连接到 Check Point Reputation Service！错误为 {0}”。format(exception.stacktrace)

 常规
表

表名称：{0}.format(entity.Identifier) 的 Check Point 信誉服务结果

表格列：

  • 分类
  • 置信度
  • 严重级别
  • 风险
  • 恶意软件系列 - context.malware_family
  • 文件名 - context.protection_name
  • 恶意软件类型 - context.malware_types（可以是多个以英文逗号分隔的值）
  • 公司名称 - metadata.company_name
  • 商品名称 - metadata.product_name
  • 版权 - metadata.copyright
  • 原始文件名 - metadata.original_name
 实体

获取 IP 声誉

说明

根据 Check Point Reputation Service 中的信息丰富 Google SecOps IP 实体。

参数

参数显示名称 类型 默认值 为必填项 说明
阈值 整数 0 是 如果实体的返回风险值高于给定阈值，则将实体标记为可疑。
要创建分析洞见吗？ 复选框 尚未核查 否 指定是否应根据操作结果创建 Google SecOps Insight。

Playbook 应用场景示例

使用 Check Point Threat Reputation 服务中的信息丰富 Google SecOps IP 实体：在处理可能的恶意软件感染提醒期间，用户可以从 Check Point Threat Reputation 服务中获取与相关提醒关联的特定 IP 的丰富数据，以便进行调查。

运行时间

此操作在 IP 实体上运行。

操作执行结果

实体丰富化

该操作应使用 API 响应中的所有值（响应的“status”节点除外）来丰富实体。

数据分析
Insight Logic 类型 Title（字符串） 消息
如果选中了相应复选框，则创建。 实体 Check Point Threat Reputation

分类：API 响应中的值

置信度：API 响应中的值

严重程度：API 响应中的值

风险：API 响应中的值
脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果

操作应返回与表达式构建器兼容的 JSON 结果。

{
    "response": [
        {
            "status": {
                "code": 2001,
                "label": "SUCCESS",
                "message": "Succeeded to generate reputation"
            },
            "resource": "8.8.8.8",
            "reputation": {
                "classification": "Benign",
                "severity": "N/A",
                "confidence": "High"
            },
            "risk": 0,
            "context": {
                "location": {
                    "countryCode": "US",
                    "countryName": "United States",
                    "region": null,
                    "city": null,
                    "postalCode": null,
                    "latitude": 37.751007,
                    "longitude": -97.822,
                    "dma_code": 0,
                    "area_code": 0,
                    "metro_code": 0
                },
                "asn": 15169,
                "as_owner": "Google LLC"
            }
        }
    ]
}
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少有一个提供的实体已扩充： "Successfully enriched entities: {0}".format([entity.Identifier])。

如果未能扩充所有提供的实体：“未扩充任何实体。”

如果未能在 Check Point Reputation Service 中找到数据来丰富特定实体： "Action was not able to find Check Point Reputation Service info to enrich the following entities: {0}".format([entity.identifier])

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误或连接中断），请执行以下操作：

print "Failed to connect to the Check Point Reputation Service! 错误为 {0}”。format(exception.stacktrace)

 常规
表

表名称：{0}.format(entity.Identifier) 的 Check Point 威胁信誉结果

表格列：

  • 分类
  • 置信度
  • 严重级别
  • 风险
  • 国家/地区代码 - context.countryCode
  • 国家/地区 - context.countryName
  • 区域 - context.region
  • 城市 - context.city
  • 邮政编码 - context.postalCode
  • 纬度 -context.latitude
  • 经度 - context.longitude
  • DMA 代码 - context.dma_code
  • 区号 -context.area_code
  • 都市圈代码 - context.metro_code
  • ASN
  • 所有者
 实体

获取主机信誉

说明

根据 Check Point Reputation Service 中的信息丰富 Google SecOps 主机实体。

参数

参数显示名称 类型 默认值 为必填项 说明
阈值 整数 0 是 如果实体的返回风险值高于给定阈值，则将实体标记为可疑。
要创建分析洞见吗？ 复选框 尚未核查 否 指定是否应根据操作结果创建 Google SecOps Insight。

Playbook 应用场景示例

使用 Check Point Threat Reputation 服务中的信息丰富 Google SecOps 主机实体：在处理可能的恶意软件感染提醒期间，用户可以从 Check Point Threat Reputation 服务中获取与相关提醒关联的特定主机的丰富数据，以便进行调查。

运行时间

此操作在 Hostname 实体上运行。

操作执行结果

实体丰富化

该操作应使用 API 响应中的所有值（响应的“status”节点除外）来丰富实体。

数据分析
Insight Logic 类型 Title（字符串） 消息
如果选中了相应复选框，则创建。 实体 Check Point Threat Reputation

分类：API 响应中的值

置信度：API 响应中的值

严重程度：API 响应中的值

风险：API 响应中的值
脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
JSON 结果

操作应返回与表达式构建器兼容的 JSON 结果。

{
    "response": [
        {
            "status": {
                "code": 2001,
                "label": "SUCCESS",
                "message": "Succeeded to generate reputation"
            },
            "resource": "ynet.co.il",
            "reputation": {
                "classification": "Benign",
                "severity": "N/A",
                "confidence": "High"
            },
            "risk": 0,
            "context": {
                "categories": [
                    {
                        "id": 24,
                        "name": "News / Media"
                    }
                ],
                "indications": [
                    "The domain has good reputation",
                    "The domain is popular among websites with good reputation",
                    "The domain is popular in the world",
                    "The domain's Alexa rank is 1262",
                    "Check Point's URL Filtering category is News / Media",
                    "VirusTotal vendors detected benign URLs of the domain"
                ],
                "vt_positives": 0,
                "alexa_rank": 1262,
                "safe": true,
                "creation_date": "2001:01:07 00:00:00"
            }
        }
    ]
}
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少有一个提供的实体已扩充： "Successfully enriched entities: {0}".format([entity.Identifier])。

如果未能扩充所有提供的实体：“未扩充任何实体。”

如果未能在 Check Point Reputation Service 中找到数据来丰富特定实体： "Action was not able to find Check Point Reputation Service info to enrich the following entities: {0}".format([entity.identifier])

操作应失败并停止 playbook 执行：

如果 报告了严重错误（例如凭据错误或连接中断），请执行以下操作：

“未能连接到 Check Point Reputation Service！错误为 {0}”。format(exception.stacktrace)

 常规
表

表名称：{0}.format(entity.Identifier) 的 Check Point 威胁信誉结果

表格列：

  • 分类
  • 置信度
  • 严重级别
  • 风险
  • Categories - context.categories
  • Indications - context.indications
  • VirusTotal 阳性计数
  • Alexa 排名
  • 安全吗？
  • 创建日期
 实体

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。