Illusive Networks

本文說明如何將 Illusive Networks 與 Google SecOps 整合。

產品用途

  1. 執行主動動作：執行鑑識掃描、擴充實體、新增/移除誘騙使用者/伺服器。
  2. 將事件擷取至 Simplify。

在 Google Security Operations 設定 Illusive Networks 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 是否為必要 說明
API 根層級 字串 http://x.x.x.x 是 Illusive Networks 執行個體的 API 根目錄。
API 金鑰 密碼 不適用 是

Illusive Networks 的 API 金鑰。
注意：字串「Basic」不應包含在值中。
CA 憑證檔案 字串 否 Base 64 編碼 CA 憑證檔案。
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認連至 Illusive Networks 伺服器的 SSL 憑證有效。

如何產生 API 金鑰

  1. 前往 Illusive Networks 控制台的「Settings」部分
  2. 在「一般」部分，向下捲動至「API 金鑰」部分。
  3. 按一下「新增金鑰」按鈕。
  4. 建議將所有權限新增至 API 金鑰。
  5. 請複製提供的字串，但不要複製「Basic」字串。
  6. 將該值輸入 Google SecOps 整合的「API 金鑰」參數。

如何更新頻率限制

Illusive Networks 的特定端點設有頻率限制。對連接器來說，限制必須夠高，才能擷取所有事件。如要更新頻率限制，請登入管理伺服器，然後前往：C:\Program Files\illusive-Management-Server-3.1.XXX.XXXX\conf\general.properties.txt

在檔案中，您會看到下列屬性：

  • api.incident.rate.limit.maximum.num.requests
  • api.rate.limit.windows.duration.minutes

建議設定如下：

  • api.incident.rate.limit.maximum.num.requests=100
  • api.rate.limit.windows.duration.minutes=1
  • api.monitoring.rate.limit.maximum.num.requests = 100
  • api.forensics.rate.limit.maximum.num.requests = 100

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 Illusive Networks 的連線。

參數

不適用

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

如果成功：「已使用提供的連線參數成功連線至 Illusive Networks 伺服器！」

不成功：(失敗) - 無法連線至 Illusive Networks 伺服器！錯誤為 {0}".format(exception.stacktrace)

 一般

充實實體

說明

使用 Illusive Networks 的資訊充實實體。支援的實體：主機名稱。

參數

參數顯示名稱 類型 預設值 是否為必要 說明
不適用

執行日期

這項動作會在主機實體上執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "machineId": "00428a29-0343-4e13-aa97-3b624739c509",
    "machineName": "HELLO",
    "isHealthy": false,
    "lastDeploymentMethodType": "WMI",
    "distinguishedName": "CN=HELLO,CN=Computers,dc=iln,dc=local",
    "groupName": null,
    "sourceDiscoveryName": "iln.local",
    "collectData": true,
    "policyName": null,
    "assignmentStatus": "ANALYSIS",
    "operatingSystemType": "Windows",
    "operatingSystemName": "Windows Server 2016 Standard Evaluation",
    "operatingSystemVersion": "10.0 (14393)",
    "agentVersion": null,
    "bitness": null,
    "loggedInUserName": null,
    "lastLogonTime": 1613078764501,
    "succeededDeceptionFamilies": 0,
    "shouldBeUninstalledDeceptionFamilies": 0,
    "desiredDeceptionFamilies": 0,
    "deceptionFamiliesPercentages": null,
    "lastExecutionType": "AGENT",
    "machineLastExecutionPhaseType": "CONNECTION",
    "machineLastExecutionPhaseStatus": "FAILURE",
    "machineLastExecutionPhaseErrorMessage": "Unreachable - no ping",
    "mitigationStatusType": null,
    "machineExecutionUnifiedStatus": "FAILURE_CONNECTION",
    "machineLastExecutionPhaseFinishDate": "2021-02-12T10:17:30.623Z",
    "endpointTrapHealthCheckHostStatus": "NotTested",
    "endpointTrapHealthCheckHostStatusLastUpdated": null,
    "failedDeceptionFamilies": 0,
    "inProgressDeceptionFamilies": 0,
    "notDeployedDeceptionFamilies": 0,
    "policyId": null,
    "ghost": false
}
實體資料充實
補充資料欄位名稱 邏輯 - 套用時機
ILLNET_machineName JSON (主機資訊) 格式 (如有)
ILLNET_isHealthy JSON (主機資訊) 格式 (如有)
ILLNET_host JSON (主機資訊) 格式 (如有)
ILLNET_distinguishedName JSON (主機資訊) 格式 (如有)
ILLNET_sourceDiscoveryName JSON (主機資訊) 格式 (如有)
ILLNET_policyName JSON (主機資訊) 格式
ILLNET_operatingSystemName JSON (主機資訊) 格式 (如有)
ILLNET_agentVersion JSON (主機資訊) 格式 (如有)
ILLNET_loggedInUserName JSON (主機資訊) 格式 (如有)
ILLNET_machineExecutionUnifiedStatus JSON (主機資訊) 格式 (如有)
ILLNET_bitness JSON (主機資訊) 格式 (如有)
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行自動化動作：
如果至少有一項資料可用 (is_success = true)：「已成功使用 Illusive Networks 擴充下列實體：\n {entity.identifier}」。

如果至少有一個實體沒有資料 (is_success = true)：「動作無法使用 Illusive Networks 充實下列實體：\n {entity.identifier}」。

如果所有資料都無法使用 (is_success = false)：「沒有實體經過擴充」。

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『充實實體』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)

如果狀態碼為 429：「Error executing action "Enrich Entities". 原因：頻率限制錯誤。請參閱說明文件，瞭解如何提高頻率限制。

 一般
案件總覽表格

名稱：{entity.identifier}

其中只有 2 欄：「鍵」和「值」。

 實體

執行鑑識掃描

說明

在 Illusive Networks 的端點上執行鑑識掃描。適用於 IP 和主機名稱實體。

參數

參數顯示名稱 類型 預設值 是否為必要 說明
附上系統資訊 核取方塊 已勾選 是 如果啟用，動作會傳回系統資訊。
包含預先擷取檔案資訊 核取方塊 已勾選 是 如果啟用，動作會傳回預先擷取檔案的相關資訊。
包含「新增/移除程式」資訊 核取方塊 已勾選 是 如果啟用，動作會傳回新增/移除程式的相關資訊。
包含啟動程序資訊 核取方塊 已勾選 是 如果啟用，動作會傳回啟動程序相關資訊。
包含執行中程序資訊 核取方塊 已勾選 是 如果啟用，動作會傳回執行中程序的資訊。
納入使用者輔助程式資訊 核取方塊 已勾選 是 如果啟用，動作會傳回使用者輔助程式的相關資訊。
包含 Powershell 記錄資訊 核取方塊 已勾選 是 如果啟用，動作會傳回 PowerShell 記錄的相關資訊。

要傳回的項目數量上限

 整數 50 否 指定要傳回的項目數量。如未提供任何內容，動作會傳回所有內容。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "Entity.identifier": {
        "host_info": "{Host_info part}",
        "prefetch_info": "{prefetch_info}",
        "installed_programs_info": "{installed_programs_info}",
        "startup_processes": "{startup_processes}",
        "running_processes": "{running_processes}",
        "user_assist_info": "{user_assist_info}",
        "powershell_history": "{powershell history}"
    }
}
實體資料充實
補充資料欄位名稱 邏輯 - 套用時機
ILLNET_osName JSON (主機資訊) 格式 (如有)
ILLNET_machineType JSON (主機資訊) 格式 (如有)
ILLNET_host JSON (主機資訊) 格式 (如有)
ILLNET_loggedInUser JSON (主機資訊) 格式 (如有)
ILLNET_userProfiles JSON (主機資訊) 格式 (如有)
ILLNET_operatingSystemType JSON (主機資訊) 格式 (如有)
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行 Playbook：
如果至少成功執行一次 (is_success = true)：「已成功在 Illusive Networks 的下列端點執行鑑識掃描：{entity.identifier}」

如果至少有一個不成功：「動作無法從下列端點的鑑識掃描取得任何資訊：{entity.identifier}」

如果全部失敗：「在提供的端點上找不到鑑識資訊。」

非同步訊息：「已開始對下列端點進行鑑識掃描：{entity identifier}。\n

已完成下列端點的鑑識掃描。

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『執行鑑識掃描』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)

如果未啟用任何「include ...」參數：「Error executing action "Run Forensic Scan". 原因：您必須啟用至少一個「Include ...」參數

 一般
案件總覽表格主機資訊

名稱：{entity.identifier}

其中只有 2 欄：「鍵」和「值」。

 實體
Case Wall Table Prefetch_Info

名稱：「{entity.identifier}：預先擷取檔案資訊」

資料欄：

檔案名稱

上次執行時間

檔案修改時間

預先擷取檔案名稱

 一般

案件總覽表格

INSTALLED_PROGRAMS_INFO

名稱：「{entity.identifier}：新增/移除程式資訊」

資料欄：

顯示名稱

檔案名稱

 一般

案件總覽表格

STARTUP_PROCESSES

名稱：「{entity.identifier}：啟動程序」

資料欄：

名稱

Command

位置

使用者

 一般

案件總覽表格

RUNNING_PROCESSES

名稱：「{entity.identifier}：執行中的程序」

資料欄：

使用者

管理員權限

Command

程序 ID

程序名稱

開始時間

 一般

案件總覽表格

USER_ASSIST_INFO

名稱：「{entity.identifier}：使用者協助計畫資訊」

資料欄：

檔案名稱

使用者名稱

上次使用日期

 ****

案件總覽表格

POWER_SHELL_HISTORY

名稱：「{entity.identifier}：Powershell 記錄」

資料欄：

使用者名稱

Command

列出欺騙性項目

說明

列出 Illusive Networks 中可用的欺騙項目。

參數

參數顯示名稱 類型 預設值 是否為必要 說明
欺騙類型 DDL

全部

可能的值：

全部

僅限使用者

僅限伺服器

 是 指定應傳回的欺騙性項目類型。
欺騙性狀態 DDL

全部

可能的值：

全部

僅限已核准、僅限建議

 是 根據狀態指定應傳回的欺騙性項目類型。
要傳回的項目數量上限 整數 50 否 指定要傳回的項目數量。預設值：50。如未指定，動作會傳回所有項目。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "users": [
        {
            "username": "backupad",
            "password": "5437niwY",
            "domainName": "intw-lab.local",
            "policyNames": [
                "Full Protection"
            ],
            "adUser": false,
            "activeUser": false,
            "deceptiveState": "APPROVED"
        },
        {
            "username": "jvillar",
            "password": "ritA1102",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        },
        {
            "username": "gaccess.user",
            "password": "psUiS01",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        },
        {
            "username": "service.user",
            "password": "mAkaYe4",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        }
    ],
    "servers": [
        {
            "host": "10.0.0.2",
            "serviceTypes": [
                "DB"
            ],
            "policyNames": [
                "Full Protection"
            ],
            "adHost": false,
            "deceptiveState": "APPROVED"
        },
        {
            "host": "10.0.0.1",
            "serviceTypes": [
                "DB"
            ],
            "policyNames": [
                "Full Protection"
            ],
            "adHost": false,
            "deceptiveState": "APPROVED"
        }
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行教戰手冊：
如果狀態碼為 200 且有可用資料 (is_success = true)：「已成功傳回 Illusive Networks 的可用欺騙項目」。

如果狀態碼為 200，且沒有可用資料 (is_success=false)：「根據 Illusive Networks 中提供的條件，找不到與欺騙性項目相關的資料。」

如果發生重大錯誤 (例如憑證錯誤、無法連線至伺服器等)，動作應失敗並停止執行教戰手冊：
「執行『列出欺騙性項目』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

名稱：「欺騙性使用者」

資料欄：

使用者名稱

密碼

網域

政策

AD 使用者

使用中

State

一般
案件總覽表格

名稱：「欺騙性伺服器」

資料欄：

主機

服務

政策

廣告伺服器

State

一般

新增欺騙性使用者

說明

在 Illusive Networks 中新增欺騙性使用者。

參數

名稱 預設值 是否為必要 說明
使用者名稱 不適用 是 指定新欺騙性使用者的使用者名稱。
密碼 不適用 是 指定新誘餌使用者的密碼。
DNS 網域 不適用 否 指定新欺騙性使用者的網域名稱。
政策名稱 不適用 否 指定要套用至新誘騙使用者的政策清單，並以半形逗號分隔。如未提供任何值，動作預設會使用所有政策。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

Success (is_success=true) → 成功在 Illusive 網路中新增欺騙性使用者。

案例 1：User Already Exists (fail) - Error executing action "{action name}". 原因：已有欺騙性使用者「{username}」。

案例 2：400 狀態碼 (失敗)：執行「{action name}」動作時發生錯誤。原因：{error message}。

案例 3：一般錯誤 (失敗)：執行「{action name}」動作時發生錯誤。原因：{error traceback}。

 一般

移除欺騙性使用者

說明

從 Illusive Networks 移除欺騙性使用者。

參數

名稱 預設值 是否為必要 說明
使用者名稱 不適用 是 請指定要移除的詐欺使用者名稱。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

成功 → 成功移除 Illusive 網路中的欺騙性使用者。

案例 1：User doesn't exist (is_success=false) - 動作無法移除欺騙性使用者「{username}」。原因：欺騙性使用者「{username}」不存在。

案例 2：一般錯誤 (失敗) - 執行「{action name}」動作時發生錯誤。原因：{error traceback}。

 一般

新增欺騙伺服器

說明

在 Illusive Networks 中新增欺騙伺服器。

參數

名稱 預設值 是否為必要 說明
伺服器名稱 不適用 是 指定新誘騙伺服器的名稱。
服務類型 資料庫 是 請指定新誘餌伺服器的服務類型清單，並以半形逗號分隔。
政策名稱 否 請指定要套用至新誘餌伺服器的政策，並以逗號分隔的清單呈現。如未提供任何值，動作預設會使用所有政策。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

Success (is_success=true) → 成功在 Illusive 網路中新增欺騙性伺服器。

案例 1：伺服器已存在 (失敗) - 執行「{action name}」動作時發生錯誤。原因：已有名為「{server name}」的欺騙性伺服器。

案例 2：400 狀態 (失敗) - 執行「{action name}」動作時發生錯誤。原因：{error message}。

案例 3：一般錯誤 - 執行「{action name}」動作時發生錯誤。原因：{error traceback}。

 一般

移除欺騙性伺服器

說明

移除 Illusive Networks 的欺騙性伺服器。

參數

名稱 預設值 是否為必要 說明
伺服器名稱 不適用 是 指定要移除的欺騙伺服器名稱。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

成功 → 成功移除 Illusive 網路中的欺騙性伺服器。

案例 1：伺服器不存在 (is_success=false) - 動作無法移除欺騙性伺服器「{server name}」。原因：欺騙性伺服器「{server name}」不存在。

案例 2：一般錯誤 - 執行「{action name}」動作時發生錯誤。原因：{error traceback}。

 一般

連接器

Illusive Networks - 事件連接器

說明

從 Illusive Networks 提取事件和相關鑑識時間軸。

在 Google SecOps 設定 Illusive Networks - Incidents 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型> 預設值 為必填項目 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 details_serviceType 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 根層級 字串 http://x.x.x.x 是 Illusive Networks 執行個體的 API 根目錄。
API 金鑰 字串 不適用 是 Illusive Networks 的 API 金鑰。注意：值不應包含「Basic」字串。
警告嚴重性 字串 中 是

根據 Illusive Networks 事件建立的 Google SecOps 警告嚴重性。

可能的值包括：

參考用

低

中

高

重大
往回查看時數上限 整數 1 否 擷取事件的時間範圍 (以小時為單位)。
要擷取的事件數量上限 整數 10 否 每次連接器疊代要處理的事件數量。上限為 1000。
將許可清單當做黑名單使用 核取方塊 已勾選 是 如果啟用，許可清單會當做黑名單使用。
驗證 SSL 核取方塊 已取消勾選 是 如果已啟用，請確認連至 Illusive Networks 伺服器的 SSL 憑證有效。
CA 憑證檔案 字串 不適用 否 Base 64 編碼 CA 憑證檔案。
Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。