Check Point Threat Reputation

本文說明如何將 Check Point Reputation Service 與 Google Security Operations 整合。

應用實例

威脅情報服務。

在 Google Security Operations 中設定 Check Point Threat Reputation 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
執行個體名稱 字串 不適用 否 要設定整合的執行個體名稱。
說明 字串 不適用 否 執行個體的說明。
API 根層級 字串 rep.checkpoint.com 是 指定 Check Point Reputation Service API 根網址。
API 金鑰 密碼 不適用 是 指定 Check Point Reputation Service API 金鑰。
驗證 SSL 核取方塊 已取消勾選 否 如果啟用，系統會驗證連至 Check Point Reputation Service 伺服器的 SSL 憑證是否有效。
遠端執行 核取方塊 已取消勾選 否 勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。

動作

乒乓

說明

使用 Google SecOps Content Hub 整合設定頁面提供的參數，測試與 Check Point Reputation Service 的連線能力。

參數

不適用

應對手冊用途範例

這項動作可用於在 Google SecOps Content Hub 頁面的整合設定頁面測試連線能力，並可手動執行，不適用於教戰手冊。

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功： 「Successfully connected to the Check Point Reputation Service with the provided connection parameters!」

動作應失敗並停止執行應對手冊：

如果系統回報重大錯誤，例如憑證錯誤或連線能力中斷：

「無法連線至 Check Point Reputation Service！錯誤為 {0}".format(exception.stacktrace)

 一般

取得檔案雜湊信譽

說明

根據 Check Point 信譽服務的資訊，充實 Google SecOps 檔案雜湊實體。動作接受 md5、sha1 和 sha256 格式的檔案雜湊。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
門檻 整數 0 是 如果實體傳回的風險值高於指定門檻，則將實體標示為可疑。
要建立洞察資料嗎？ 核取方塊 已取消勾選 否 指定是否要根據動作結果建立 Google SecOps Insight。

應對手冊用途範例

使用 Check Point Reputation Service 的資訊，充實 Google SecOps filehash 實體：在處理可能的惡意軟體感染警示時，使用者可以從 Check Point Reputation Service 取得與警示相關的特定 filehash 充實資料，以便進行調查。

執行日期

這項動作會對 FILEHASH (md5/sha1/sha256) 實體執行。

動作執行結果

實體資料充實

除了回應的「status」節點外，這項動作應使用 API 回應中的所有值來充實實體。

深入分析
洞察邏輯 類型 Title (String) 訊息
如果勾選對應的核取方塊，則建立。 實體 Check Point Threat Reputation

Classification：API 回應中的值

Confidence：API 回應中的值

Severity：API 回應中的值

風險：API 回應中的值
指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果

動作應傳回與運算式建立工具相容的 JSON 結果。

{
    "response": [
        {
            "status": {
                "code": 2001,
                "label": "SUCCESS",
                "message": "Succeeded to generate reputation"
            },
            "resource": "2c527d980eb30daa789492283f9bf69e",
            "reputation": {
                "classification": "Riskware",
                "severity": "Medium",
                "confidence": "High"
            },
            "risk": 50,
            "context": {
                "malware_family": "Mimikatz",
                "protection_name": "HackTool.Win32.Mimikatz.TC.lc",
                "malware_types": [
                    "Riskware"
                ],
                "metadata": {
                    "company_name": "gentilkiwi (Benjamin DELPY)",
                    "product_name": "mimikatz",
                    "copyright": "Copyright (c) 2007 - 2017 gentilkiwi (Benjamin DELPY)",
                    "original_name": "mimikatz.exe"
                }
            }
        }
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且至少有一個提供的實體已擴充： "Successfully enriched entities: {0}".format([entity.Identifier]).

如果無法擴充所有提供的實體：「未擴充任何實體。」

如果無法在 Check Point Reputation Service 中找到資料來充實特定實體：「Action was not able to find Check Point Reputation Service info to enrich the following entities: {0}」.format([entity.identifier])

動作應失敗並停止執行應對手冊：

如果系統回報重大錯誤，例如憑證錯誤或連線能力中斷：

「無法連線至 Check Point Reputation Service！錯誤為 {0}".format(exception.stacktrace)

 一般
資料表

資料表名稱：{0}.format(entity.Identifier) 的 Check Point 信譽服務結果

表格欄：

  • 分類
  • 可信度
  • 嚴重性
  • 風險
  • 惡意軟體系列 - context.malware_family
  • 檔案名稱 - context.protection_name
  • 惡意軟體類型 - context.malware_types (可為多個以半形逗號分隔的值)
  • 公司名稱 - metadata.company_name
  • 產品名稱 - metadata.product_name
  • 著作權 - metadata.copyright
  • 原始檔案名稱 - metadata.original_name
 實體

取得 IP 信譽

說明

根據 Check Point 信譽服務的資訊，擴充 Google SecOps IP 實體。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
門檻 整數 0 是 如果實體傳回的風險值高於指定門檻，則將實體標示為可疑。
要建立洞察資料嗎？ 核取方塊 已取消勾選 否 指定是否要根據動作結果建立 Google SecOps Insight。

應對手冊用途範例

使用 Check Point Threat Reputation 服務的資訊，充實 Google SecOps IP 實體：在處理可能感染惡意軟體的警示時，使用者可以從 Check Point Threat Reputation 服務取得與該警示相關的特定 IP 充實資料，以便進行調查。

執行日期

這項動作會對 IP 實體執行。

動作執行結果

實體資料充實

除了回應的「status」節點外，這項動作應使用 API 回應中的所有值來充實實體。

深入分析
洞察邏輯 類型 Title (String) 訊息
如果勾選對應的核取方塊，則建立。 實體 Check Point Threat Reputation

Classification：API 回應中的值

Confidence：API 回應中的值

Severity：API 回應中的值

風險：API 回應中的值
指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果

動作應傳回與運算式建立工具相容的 JSON 結果。

{
    "response": [
        {
            "status": {
                "code": 2001,
                "label": "SUCCESS",
                "message": "Succeeded to generate reputation"
            },
            "resource": "8.8.8.8",
            "reputation": {
                "classification": "Benign",
                "severity": "N/A",
                "confidence": "High"
            },
            "risk": 0,
            "context": {
                "location": {
                    "countryCode": "US",
                    "countryName": "United States",
                    "region": null,
                    "city": null,
                    "postalCode": null,
                    "latitude": 37.751007,
                    "longitude": -97.822,
                    "dma_code": 0,
                    "area_code": 0,
                    "metro_code": 0
                },
                "asn": 15169,
                "as_owner": "Google LLC"
            }
        }
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且至少有一個提供的實體已擴充： "Successfully enriched entities: {0}".format([entity.Identifier]).

如果無法擴充所有提供的實體：「未擴充任何實體。」

如果無法在 Check Point Reputation Service 中找到資料來充實特定實體：「Action was not able to find Check Point Reputation Service info to enrich the following entities: {0}」.format([entity.identifier])

動作應失敗並停止執行應對手冊：

如果系統回報重大錯誤，例如憑證錯誤或連線能力中斷：

print "Failed to connect to the Check Point Reputation Service! 錯誤為 {0}".format(exception.stacktrace)

 一般
資料表

資料表名稱：{0}.format(entity.Identifier) 的 Check Point Threat Reputation 結果

表格欄：

  • 分類
  • 可信度
  • 嚴重性
  • 風險
  • 國家/地區代碼 - context.countryCode
  • 國家/地區 - context.countryName
  • 區域 - context.region
  • 城市 - context.city
  • 郵遞區號 - context.postalCode
  • 緯度 -context.latitude
  • 經度 - context.longitude
  • DMA 代碼 - context.dma_code
  • 區碼 -context.area_code
  • 都會區代碼 -context.metro_code
  • ASN
  • 擁有者
 實體

取得主機信譽

說明

根據 Check Point 信譽服務的資訊，擴充 Google SecOps 主機實體。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
門檻 整數 0 是 如果實體傳回的風險值高於指定門檻，則將實體標示為可疑。
要建立洞察資料嗎？ 核取方塊 已取消勾選 否 指定是否要根據動作結果建立 Google SecOps Insight。

應對手冊用途範例

使用 Check Point Threat Reputation 服務的資訊，充實 Google SecOps 主機實體：在處理可能感染惡意軟體的警示時，使用者可從 Check Point Threat Reputation 服務取得與警示相關的特定主機充實資料，以便進行調查。

執行日期

這項動作會對主機名稱實體執行。

動作執行結果

實體資料充實

除了回應的「status」節點外，這項動作應使用 API 回應中的所有值來充實實體。

深入分析
洞察邏輯 類型 Title (String) 訊息
如果勾選對應的核取方塊，則建立。 實體 Check Point Threat Reputation

Classification：API 回應中的值

Confidence：API 回應中的值

Severity：API 回應中的值

風險：API 回應中的值
指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果

動作應傳回與運算式建立工具相容的 JSON 結果。

{
    "response": [
        {
            "status": {
                "code": 2001,
                "label": "SUCCESS",
                "message": "Succeeded to generate reputation"
            },
            "resource": "ynet.co.il",
            "reputation": {
                "classification": "Benign",
                "severity": "N/A",
                "confidence": "High"
            },
            "risk": 0,
            "context": {
                "categories": [
                    {
                        "id": 24,
                        "name": "News / Media"
                    }
                ],
                "indications": [
                    "The domain has good reputation",
                    "The domain is popular among websites with good reputation",
                    "The domain is popular in the world",
                    "The domain's Alexa rank is 1262",
                    "Check Point's URL Filtering category is News / Media",
                    "VirusTotal vendors detected benign URLs of the domain"
                ],
                "vt_positives": 0,
                "alexa_rank": 1262,
                "safe": true,
                "creation_date": "2001:01:07 00:00:00"
            }
        }
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且至少有一個提供的實體已擴充： "Successfully enriched entities: {0}".format([entity.Identifier]).

如果無法擴充所有提供的實體：「未擴充任何實體。」

如果無法在 Check Point Reputation Service 中找到資料來充實特定實體：「Action was not able to find Check Point Reputation Service info to enrich the following entities: {0}」.format([entity.identifier])

動作應失敗並停止執行應對手冊：

如果 回報重大錯誤，例如憑證錯誤或連線中斷：

「無法連線至 Check Point Reputation Service！錯誤為 {0}".format(exception.stacktrace)

 一般
資料表

資料表名稱：{0}.format(entity.Identifier) 的 Check Point Threat Reputation 結果

表格欄：

  • 分類
  • 可信度
  • 嚴重性
  • 風險
  • 類別 - context.categories
  • Indications - context.indications
  • Virus Total 陽性計數
  • Alexa 排名
  • 安全嗎？
  • 建立日期
 實體

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。