IRONSCALES

本文档介绍了如何将 IRONSCALES 与 Google SecOps 集成。

使用场景

  1. 对突发事件进行分类
  2. 突发事件详细信息
  3. 缓解措施：身份盗用详情
  4. 缓解事件详情
  5. 每个邮箱的缓解措施
  6. 在 Google Security Operations 上配置 AWS GuardDuty 集成

在 Google SecOps 中配置 IRONSCALES 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 是否为必填项 说明
API 根 字符串 https://members.ironscales.com/ 是 IRONSCALES 实例的 API 根。
API 令牌 字符串 不适用 是 IRONSCALES 的 API 令牌。
公司 ID 字符串 不适用 是 指定要在 IRONSCALES 中使用的公司 ID。
是否为合作伙伴 复选框 尚未核查 是 指定上述公司 ID 是否也是合作伙伴 ID。
验证 SSL 复选框 尚未核查 是 如果启用此设置，系统会验证与 IRONSCALES 服务器连接的 SSL 证书是否有效。

操作

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 IRONSCALES 的连接。

运行时间

该操作不会对实体执行，也没有强制性输入参数。

操作执行结果

脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：输出“已使用提供的连接参数成功连接到 IRONSCALES 服务器！”

如果操作失败，应停止执行 playbook：
if not successful: print "Failed to connect to the IRONSCALES server! 错误为 {0}”。format(exception.stacktrace)

 常规

对突发事件进行分类

说明

更改突发事件分类

参数

参数显示名称 类型 默认值 DDL 值 是否为必填项 说明
突发事件 ID 字符串 不适用 是 指定要分类的突发事件的 ID。
新分类 DDL 攻击

攻击

误报

垃圾内容

 是 为这些突发事件指定新分类。注意：对于钓鱼式攻击分类，请输入“Attack”；对于假正例，请输入“False Positive”；对于垃圾邮件，请输入“Spam”。
对用户电子邮件进行分类 用户 不适用 是 通过提供用户的邮箱，指定由哪位用户执行分类。注意：此邮箱应能被 IRONSCALES 识别。

运行时间

此操作不会对实体执行。

操作执行结果
脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：

对于找到的突发事件 ID：输出“Successfully classified incidents to {new_classification}。突发事件 ID：{Ids_list}。”


对于未找到的突发事件 ID - 输出“Couldn't classify the following incident IDs: {Ids_list}.”

操作应失败并停止 Playbook 执行：
if not successful: print "Error executing action "Classify Incident". Reason: {0}''.format(error.Stacktrace)

 常规

获取突发事件详情

说明

从 IRONSCALES 获取完整的突发事件详情

参数

参数显示名称 类型 默认值 是否为必填项 说明
突发事件 ID 字符串 不适用 是 指定要提取详细信息的突发事件的 ID。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
JSON 结果
{
    "company_id": "3911",
    "company_name": "SIEMPLIFY",
    "incident_id": "753277",
    "classification": "Attack",
    "first_reported_by": "בונד ג'יימס",
    "first_reported_date": "2020-06-17T15:49:56.755Z",
    "affected_mailbox_count": 2,
    "sender_reputation": "medium",
    "banner_displayed": null,
    "sender_email": "demo@ironscales.com",
    "reply_to": null,
    "spf_result": null,
    "sender_is_internal": false,
    "themis_proba": null,
    "themis_verdict": "Insufficient Data",
    "mail_server": {
        "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
        "ip": "2603:10a6:20b:51::26"
    },
    "federation": {
        "companies_affected": 2,
        "companies_marked_phishing": 2,
        "companies_marked_spam": 0,
        "companies_marked_fp": 0,
        "companies_unclassified": 0,
        "phishing_ratio": 1.0
    },
    "reports": [
        {
            "name": "בונד ג'יימס",
            "email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "FW: Carey Hart",
            "sender_email": "demo@ironscales.com",
            "mail_server": {
                "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
                "ip": "2603:10a6:20b:51::26"
            },
            "headers": [
                {
                    "name": "Received",
                    "value": "from DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:20b:b2::22) by AM6PR05MB5957.eurprd05.prod.outlook.com with HTTPS via AM6PR08CA0010.EURPRD08.PROD.OUTLOOK.COM; Wed, 17 Jun 2020 15:44:55 +0000"
                },
                {
                    "name": "Received",
                    "value": "from AM5PR0601CA0039.eurprd06.prod.outlook.com (2603:10a6:203:68::25) by DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:10:86::14) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.3088.18; Wed, 17 Jun 2020 15:44:54 +0000"
                }
            ]
        }
    ],
    "links": [
        {
            "url": "https://en.wikipedia.org/wiki/Carey_Hart#cite_note-Gale-1",
            "name": "[1]"
        },
        {
            "url": "https://en.wikipedia.org/wiki/Americans",
            "name": "American"
        }
    ],
    "attachments": []
}
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：

对于成功的突发事件 ID：输出“Successfully fetched incidents details from IRONSCALES. incident IDs: {IDS_list}.”


对于未找到的突发事件 ID：输出“Action wasn't able to fetch incident details for incident IDs: {IDs_list} Reason : incidents IDs weren't found.”

操作应失败并停止 playbook 执行：
if not successful: print "Error executing action "Get Incident Details" : {0}''.format(error.Stacktrace)

 常规

获取缓解措施模拟详情

说明

获取最新的公司冒充事件。

结果仅限于最近的 1, 000 个突发事件，如果该时间段内的突发事件数量超过此限制，系统会显示一条消息。

请注意，此处返回的 ID 对应的是冒充尝试，而不是突发事件或报告，因此在其他端点中搜索这些 ID 不会返回预期的突发事件

参数

参数显示名称 类型 默认值 是否为必填项 DDL 值 说明
时段 DDL 过去 24 小时 是

过去 24 小时

过去 7 天

过去 90 天

过去 180 天

过去 360 天

今年年初至今

所有时间

 指定您要获取哪个时间段的缓解措施模拟详情。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
JSON 结果
{
    "page": null,
    "total_pages": null,
    "incidents": [
        {
            "incidentID": 100694130,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:17.592631+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100694131,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:18.024769+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100696686,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:25:43.216123+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "n",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        }
    ],
    "messages": []
}
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：输出“Successfully fetched details of impersonation mitigations for the +{period}”

该操作应失败并停止 playbook 执行：
如果不成功：输出“Error executing action "Get Mitigation impersonation details". Reason: {0}''.format(error.Stacktrace)

 常规

获取突发事件缓解措施详情

说明

获取最新的公司缓解措施详情。

结果仅限于最近的 1, 000 个突发事件，如果该时间段内的突发事件数量超过此限制，系统会显示一条消息。

参数

参数显示名称 类型 默认值 是否为必填项 DDL 值 说明
时段 DDL 过去 24 小时 是

过去 24 小时

过去 7 天

过去 90 天

过去 180 天

过去 360 天

今年年初至今

所有时间

 指定您希望获取突发事件缓解详情的时间段。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
JSON 结果
{
    "messages": [],
    "incidents": [
        {
            "incidentID": 1251713,
            "incidentState": 2,
            "remediatedTime": "2020-12-07T15:22:38.798292+00:00",
            "affectedMailboxCount": 6,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "False Positive",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1251683,
            "incidentState": 7,
            "remediatedTime": "2020-12-07T15:20:18.546309+00:00",
            "affectedMailboxCount": 2,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "Spam",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1257956,
            "incidentState": 1,
            "remediatedTime": "2020-12-08T13:40:50.730184+00:00",
            "affectedMailboxCount": 4,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "threatType": "Unclassified",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        }
    ]
}
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：输出“Successfully fetched details of incident mitigations for the +{period}”

如果操作失败，应停止执行 playbook：
if not successful: print "Error executing action "Get Incident Mitigation details". Reason: {0}''.format(error.Stacktrace)

 常规

获取每个邮箱的缓解措施

说明

获取每个邮箱的缓解措施详情。

参数

参数显示名称 类型 默认值 是否为必填项 DDL 值 说明
突发事件 ID CSV 不适用 是 - 提供要搜索的突发事件 ID 列表（以英文逗号分隔）。
时段 DDL 时间不限 否

过去 24 小时

过去 7 天

过去 90 天

过去 180 天

过去 360 天

今年年初至今

所有时间

 指定您希望获取每个邮箱的缓解措施的时间段。
要提取的最大页数 整数 1 是 - 指定您要提取的网页数量上限。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项
is_success is_success=False
is_success is_success=True
JSON 结果
{
    "page": 1,
    "total_pages": 1,
    "mitigations": [
        {
            "incidentID": 1257956,
            "mitigationID": 48919694,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48919695,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305177,
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918977,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918344,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49068886,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:22:43.096Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 8] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49066007,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:05:35.650Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49064037,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T15:49:05.567Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        }
    ],
    "messages": []
}
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：输出“Successfully fetched details of incident mitigations per mailbox for the +{period}”

如果操作有多次迭代（多页）：输出“Continuing…fetching incident mitigations per mailbox, page (current_page_number) out of (total_page_number)”

操作应失败并停止 playbook 执行：
if not successful: print "Error executing action "Get Mitigations Per Mailbox". Reason: {0}''.format(error.Stacktrace)

 常规

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。