IronPort

本文說明如何將 IronPort 與 Google SecOps 整合。

產品權限

AsyncOS API 是角色式系統。API 查詢的範圍取決於使用者角色。具備下列角色的 Cisco Content Security Management 設備使用者可以存取 AsyncOS API：

  • 管理員
  • 運算子
  • 技術人員
  • 唯讀操作員
  • 訪客
  • 網站管理員
  • Web 政策管理員
  • 網址篩選管理員
  • 電子郵件管理員
  • 服務中心使用者

在 Google SecOps 中設定 IronPort 整合

使用 CA 憑證設定 IronPort 整合

如有需要，您可以使用 CA 憑證檔案驗證連線。

開始前，請確認您具備下列項目：

  • CA 憑證檔案
  • 最新 IronPort 整合版本

如要設定與 CA 憑證的整合，請完成下列步驟：

  1. 將 CA 憑證檔案剖析為 Base64 字串。
  2. 開啟整合設定參數頁面。
  3. 將字串插入「CA Certificate File」欄位。
  4. 如要測試整合設定是否成功，請勾選「Verify SSL」(驗證 SSL) 核取方塊，然後按一下「Test」(測試)。

在 Google SecOps 中設定 IronPort 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填 說明
執行個體名稱 字串 不適用 否 要設定整合的執行個體名稱。
說明 字串 不適用 否 執行個體的說明。
IronPort 伺服器位址 字串 x.x.x.x 是 要連線的 IronPort 伺服器位址。
IronPort AsyncOS API 通訊埠 字串 6443 是 要連線的 IronPort AsyncOS API 通訊埠。
Ironport SSH 通訊埠 字串 22 是 要連線的 IronPort SSH 通訊埠。
使用者名稱 字串 不適用 是 要與整合功能搭配使用的 IronPort 帳戶。
通關密語 (密碼) 密碼 不適用 是 帳戶密碼。
CA 憑證檔案 - 剖析為 Base64 字串 字串 不適用 否 不適用
使用 SSL 核取方塊 已勾選 否 指定是否應使用 HTTPS 連線至 AsyncOS API。
驗證 SSL 核取方塊 已取消勾選 否 指定是否要啟用憑證驗證 (會檢查為 AsyncOS API 設定的憑證是否有效)。
遠端執行 核取方塊 已取消勾選 否 勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。

動作

依寄件者取得所有收件者

說明

取得收到特定寄件者電子郵件的收件者清單。

參數

參數顯示名稱 類型 預設值 是否為必要 說明
寄件者 字串 不適用 是 要篩選的寄件者電子郵件地址。
搜尋過去 X 的電子郵件 整數 7 是 指定要搜尋電子郵件的時間範圍。請注意，這個值應根據 IronPort 處理的電子郵件數量設定，如果提供的值過大，動作可能會逾時。
設定搜尋電子郵件期間 DDL 天 是 指定是否要依天數或小時數搜尋電子郵件。
要傳回的收件者數量上限 整數 20 是 指定動作應傳回的收件者數量。
頁面大小 整數 100 是 指定動作在搜尋電子郵件時使用的頁面大小。

應對手冊用途範例

根據動作中提供的寄件者電子郵件地址，搜尋電子郵件收件者。

執行日期

這項動作不會對實體執行。

動作執行結果

實體資料充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
結果 不適用 不適用
JSON 結果
​{
    "attributes": {
        "direction": "",
        "hostName": "",
        "senderGroup": "N/A",
        "sender": "reporting@smtp.inside-ironport.local",
        "replyTo": "N/A",
        "timestamp": "20 May 2020 01:00:04 (GMT +00:00)",
        "serialNumber": "42225C72BFBA18A2257D-C143F31DFB78",
        "mid": [
            229
        ],
        "senderIp": "N/A",
        "icid": 0,
        "messageStatus": {
            "229": "Delivered"
        },
        "mailPolicy": [],
        "isCompleteData": "N/A",
        "verdictChart": {
            "229": "00000000"
        },
        "senderDomain": "N/A",
        "recipient": [
            "test.user1@inside-ironport.local"
        ],
        "sbrs": "N/A",
        "subject": "IronPort Report: Outgoing Mail Daily Report (smtp.inside-ironport.local)"
    }
}

依主旨取得所有收件者

說明

取得收到相同主旨電子郵件的收件者清單。

參數

參數顯示名稱 類型 預設值 是否為必要 說明
主旨 字串 不適用 是 篩選依據的主旨。
搜尋過去 X 的電子郵件 整數 7 是

指定搜尋電子郵件的時間範圍。請注意，這個值應根據 IronPort 處理的電子郵件數量設定，如果提供的值過大，動作可能會逾時。
設定搜尋電子郵件期間 DDL 天 是 指定是否要搜尋特定天數或小時內的電子郵件。
要傳回的收件者數量上限 整數 20 是 指定動作應傳回的收件者數量。
頁面大小 整數 100 是 指定動作在搜尋電子郵件時使用的頁面大小。

應對手冊用途範例

在 IronPort 中搜尋主旨含有 Unicode 的電子郵件資訊。

執行日期

這項動作不會對實體執行。

動作執行結果

實體資料充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
收件者 不適用 不適用
JSON 結果
{
    "attributes": {
        "direction": "",
        "hostName": "",
        "senderGroup": "N/A",
        "sender": "reporting@smtp.inside-ironport.local",
        "replyTo": "N/A",
        "timestamp": "20 May 2020 01:00:04 (GMT +00:00)",
        "serialNumber": "42225C72BFBA18A2257D-C143F31DFB78",
        "mid": [
            229
        ],
        "senderIp": "N/A",
        "icid": 0,
        "messageStatus": {
            "229": "Delivered"
        },
        "mailPolicy": [],
        "isCompleteData": "N/A",
        "verdictChart": {
            "229": "00000000"
        },
        "senderDomain": "N/A",
        "recipient": [
            "test.user1@inside-ironport.local"
        ],
        "sbrs": "N/A"
}

取得報告

說明

擷取特定 IronPort 報告資訊。

參數

參數顯示名稱 類型 預設值 為必填 說明

報表類型

 下拉式選單 預設值：無 是

要擷取的報表類型。

注意：mail_sender_ip_hostname_detail 和 mail_incoming_ip_hostname_detail 報表會根據 Google SecOps IP 或主機實體運作；mail_users_detail 則會根據 Google SecOps 使用者實體 (含電子郵件地址) 運作。其他報表不含 Google SecOps 實體，因此可正常運作。
搜尋過去 X 天的報表資料 整數 7 是 指定搜尋報表資料的時間範圍 (以天為單位)。預設為過去 7 天。
要傳回的記錄數量上限 整數 20 是 指定動作應傳回的記錄數量。

應對手冊用途範例

從 IronPort 伺服器取得報表資訊，以便在 Google SecOps 分析警告。

執行日期

  1. IP 或主機 - mail_sender_ip_hostname_detail 和 mail_incoming_ip_hostname_detail 報表
  2. 使用者 - mail_users_detail 報告
  3. NONE：其他報表類型不需 Google SecOps 實體即可運作。

動作執行結果

實體資料充實

實體擴充功能應與現有動作相同，如果報表傳回特定 Google SecOps 實體的資料，請使用傳回的資料進行擴充。

請參閱現有的動作程式碼。

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
成功 True/False success:False
JSON 結果
{
    "meta": {
        "totalCount": -1
    },
    "data": {
        "type": "mail_sender_ip_hostname_detail",
        "resultSet": {
            "time_intervals": [
                {
                    "end_timestamp": 1590969599.0,
                    "counter_values": [
                        {
                            "counter_values": [
                                0,
                                0,
                                0,
                                0,
                                8,
                                8,
                                0,
                                0
                            ],
                            "ip_domain": "172.30.203.100",
                            "key": "irp-d1-dc01.inside-ironport.local"
                        }
                    ],
                    "begin_timestamp": 1588291200.0,
                    "end_time": "2020-05-31T23:59:00.000Z",
                    "begin_time": "2020-05-01T00:00:00.000Z"
                },
                {
                    "end_timestamp": 1593561599.0,
                    "counter_values": [
                        {
                            "counter_values": [
                                0,
                                0,
                                6,
                                0,
                                5,
                                11,
                                6,
                                0
                            ],
                            "ip_domain": "172.30.203.100",
                            "key": "irp-d1-dc01.inside-ironport.local"
                        }
                    ],
                    "begin_timestamp": 1590969600.0,
                    "end_time": "2020-06-30T23:59:00.000Z",
                    "begin_time": "2020-06-01T00:00:00.000Z"
                }
            ],
            "counter_names": [
                "detected_virus",
                "detected_spam",
                "threat_content_filter",
                "total_dlp_incidents",
                "total_clean_recipients",
                "total_recipients_processed",
                "total_threat_recipients",
                "detected_amp"
            ]
        }
    }
}

乒乓

說明

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 IronPort 伺服器的連線。

參數

不適用

執行日期

這項動作不會對實體執行。

動作執行結果

實體資料充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
N/A

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。