IRONSCALES

本文說明如何將 IRONSCALES 與 Google SecOps 整合。

應用實例

  1. 分類事件
  2. 事件詳細資料
  3. 緩解措施：冒用詳情
  4. 緩解事件詳細資料
  5. 每個信箱的因應措施
  6. 在 Google Security Operations 設定 AWS GuardDuty 整合功能

在 Google SecOps 中設定 IRONSCALES 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 是否為必要 說明
API 根層級 字串 https://members.ironscales.com/ 是 IRONSCALES 執行個體的 API 根目錄。
API 權杖 字串 不適用 是 IRONSCALES 的 API 權杖。
公司 ID 字串 不適用 是 指定要在 IRONSCALES 中使用的公司 ID。
是否為合作夥伴 核取方塊 已取消勾選 是 指定上述公司 ID 是否也是合作夥伴 ID。
驗證 SSL 核取方塊 已取消勾選 是 如果啟用，系統會驗證與 IRONSCALES 伺服器連線的 SSL 憑證是否有效。

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 IRONSCALES 的連線能力。

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行應對手冊：
如果成功：顯示「已使用提供的連線參數成功連線至 IRONSCALES 伺服器！」

動作應失敗並停止執行應對手冊：
if not successful: print "Failed to connect to the IRONSCALES server! 錯誤為 {0}".format(exception.stacktrace)

 一般

分類事件

說明

變更事件分類

參數

參數顯示名稱 類型 預設值 DDL 值 是否為必要 說明
事件 ID 字串 不適用 是 指定要分類的事件 ID。
新分類 DDL 攻擊

攻擊

誤判

垃圾內容

 是 請指定這些事件的新分類。注意：網路釣魚攻擊分類請輸入「Attack」，偽陽性請輸入「False Positive」，垃圾郵件請輸入「Spam」。
分類使用者電子郵件 使用者 不適用 是 提供電子郵件地址，指定執行分類的使用者。注意：這個電子郵件地址應可由 IRONSCALES 辨識。

執行日期

這項動作不會對實體執行。

動作執行結果
指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：
如果成功：

針對找到的事件 ID：輸出「Successfully classified incidents to {new_classification}. 事件 ID：{Ids_list}。


如果找不到事件 ID，請輸出「無法分類下列事件 ID：{Ids_list}」。

動作應失敗並停止執行應對手冊：
如果不成功：列印「執行『分類事件』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

取得事件詳細資料

說明

從 IRONSCALES 取得完整事件詳細資料

參數

參數顯示名稱 類型 預設值 是否為必要 說明
事件 ID 字串 不適用 是 指定要擷取詳細資料的事件 ID。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "company_id": "3911",
    "company_name": "SIEMPLIFY",
    "incident_id": "753277",
    "classification": "Attack",
    "first_reported_by": "בונד ג'יימס",
    "first_reported_date": "2020-06-17T15:49:56.755Z",
    "affected_mailbox_count": 2,
    "sender_reputation": "medium",
    "banner_displayed": null,
    "sender_email": "demo@ironscales.com",
    "reply_to": null,
    "spf_result": null,
    "sender_is_internal": false,
    "themis_proba": null,
    "themis_verdict": "Insufficient Data",
    "mail_server": {
        "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
        "ip": "2603:10a6:20b:51::26"
    },
    "federation": {
        "companies_affected": 2,
        "companies_marked_phishing": 2,
        "companies_marked_spam": 0,
        "companies_marked_fp": 0,
        "companies_unclassified": 0,
        "phishing_ratio": 1.0
    },
    "reports": [
        {
            "name": "בונד ג'יימס",
            "email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "FW: Carey Hart",
            "sender_email": "demo@ironscales.com",
            "mail_server": {
                "host": "AM6PR02MB4184.eurprd02.prod.outlook.com",
                "ip": "2603:10a6:20b:51::26"
            },
            "headers": [
                {
                    "name": "Received",
                    "value": "from DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:20b:b2::22) by AM6PR05MB5957.eurprd05.prod.outlook.com with HTTPS via AM6PR08CA0010.EURPRD08.PROD.OUTLOOK.COM; Wed, 17 Jun 2020 15:44:55 +0000"
                },
                {
                    "name": "Received",
                    "value": "from AM5PR0601CA0039.eurprd06.prod.outlook.com (2603:10a6:203:68::25) by DB7PR05MB5787.eurprd05.prod.outlook.com (2603:10a6:10:86::14) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.3088.18; Wed, 17 Jun 2020 15:44:54 +0000"
                }
            ]
        }
    ],
    "links": [
        {
            "url": "https://en.wikipedia.org/wiki/Carey_Hart#cite_note-Gale-1",
            "name": "[1]"
        },
        {
            "url": "https://en.wikipedia.org/wiki/Americans",
            "name": "American"
        }
    ],
    "attachments": []
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：
如果成功：

For successful incident IDs: print "Successfully fetched incidents details from IRONSCALES. incident IDs: {IDS_list}."


如果找不到事件 ID：列印「Action wasn't able to fetch incident details for incident IDs: {IDs_list} Reason : incidents IDs weren't found.」

動作應失敗並停止執行應對手冊：
if not successful: print "Error executing action "Get Incident Details" : {0}''.format(error.Stacktrace)

 一般

取得緩解措施模擬詳細資料

說明

取得最新的公司冒用事件。

結果最多顯示 1, 000 個事件，如果該期間的事件數量超過這個上限，系統會顯示訊息。

請注意，這裡傳回的 ID 是冒用嘗試，而非事件或報告，因此在其他端點搜尋這些 ID 不會傳回預期的事件

參數

參數顯示名稱 類型 預設值 是否為必要 DDL 值 說明
期間 DDL 過去 24 小時 是

過去 24 小時

最近 7 天

過去 90 天

過去 180 天

過去 360 天

本年迄今

不限時間

 指定要取得緩解措施模擬詳細資料的時間範圍。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "page": null,
    "total_pages": null,
    "incidents": [
        {
            "incidentID": 100694130,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:17.592631+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100694131,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:18:18.024769+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "testing",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        },
        {
            "incidentID": 100696686,
            "mailboxId": 1305177,
            "remediatedTime": "2020-12-08T19:25:43.216123+00:00",
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "jamesbondtest6@gmail.com",
            "subject": "n",
            "reportedBy": "IronSights",
            "incidentType": "Display Name Impersonation",
            "resolution": "",
            "remediations": 1
        }
    ],
    "messages": []
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行工作手冊：
如果成功：列印「Successfully fetched details of impersonation mitigations for the +{period}」

動作應失敗，並停止執行工作手冊：
如果不成功：列印「Error executing action "Get Mitigation impersonation details". 原因：{0}''.format(error.Stacktrace)

 一般

取得事件緩解措施詳細資料

說明

取得公司最新緩解措施詳細資料。

結果最多顯示 1, 000 個事件，如果該期間的事件數量超過這個上限，系統會顯示訊息。

參數

參數顯示名稱 類型 預設值 是否為必要 DDL 值 說明
期間 DDL 過去 24 小時 是

過去 24 小時

最近 7 天

過去 90 天

過去 180 天

過去 360 天

本年迄今

不限時間

 指定要取得事件緩解詳細資料的時間範圍。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "messages": [],
    "incidents": [
        {
            "incidentID": 1251713,
            "incidentState": 2,
            "remediatedTime": "2020-12-07T15:22:38.798292+00:00",
            "affectedMailboxCount": 6,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "False Positive",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1251683,
            "incidentState": 7,
            "remediatedTime": "2020-12-07T15:20:18.546309+00:00",
            "affectedMailboxCount": 2,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "crazywiz7@abv.bg",
            "subject": "Re: FW: Carey Hart",
            "threatType": "Spam",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        },
        {
            "incidentID": 1257956,
            "incidentState": 1,
            "remediatedTime": "2020-12-08T13:40:50.730184+00:00",
            "affectedMailboxCount": 4,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "threatType": "Unclassified",
            "detectionType": "User Report",
            "reportedBy": "AI-Powered Incident Response"
        }
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行自動化動作：
如果成功：輸出「Successfully fetched details of incident mitigations for the +{period}」

動作應失敗並停止執行應對手冊：
if not successful: print "Error executing action "Get Incident Mitigation details". 原因：{0}''.format(error.Stacktrace)

 一般

取得每個信箱的緩解措施

說明

取得各信箱的緩解措施詳細資料。

參數

參數顯示名稱 類型 預設值 是否為必要 DDL 值 說明
事件 ID CSV 不適用 是 - 請提供以半形逗號分隔的事件 ID 清單，以便搜尋。
期間 DDL 不限時間 否

過去 24 小時

最近 7 天

過去 90 天

過去 180 天

過去 360 天

本年迄今

不限時間

 指定要取得每個信箱緩解措施的時間範圍。
擷取的網頁數量上限 整數 1 是 - 指定要擷取的頁面數量上限。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "page": 1,
    "total_pages": 1,
    "mitigations": [
        {
            "incidentID": 1257956,
            "mitigationID": 48919694,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48919695,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305177,
            "mailboxEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918977,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "bruce.wayne@abv.bg",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1257956,
            "mitigationID": 48918344,
            "incidentState": "False Positive",
            "remediatedTime": null,
            "mailboxId": 1305171,
            "mailboxEmail": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "subject": "Testing",
            "senderEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "senderIP": "2603:10a6:20b:aa::19",
            "reportedBy": "bruce.wayne@siemplifycyarx.onmicrosoft.com",
            "resolution": "False Positive",
            "spfResult": "fail"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49068886,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:22:43.096Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 8] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49066007,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T16:05:35.650Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        },
        {
            "incidentID": 1264413,
            "mitigationID": 49064037,
            "incidentState": "Attack",
            "remediatedTime": "2020-12-09T15:49:05.567Z",
            "mailboxId": 1960971,
            "mailboxEmail": "emulator@siemplifycyarx.onmicrosoft.com",
            "subject": "[EMULATED - DANGEROUS - 2] Change Of Account In Payroll",
            "senderEmail": "",
            "senderIP": "52.37.31.151",
            "reportedBy": "emulator@siemplifycyarx.onmicrosoft.com",
            "resolution": "Phishing Attack",
            "spfResult": "pass"
        }
    ],
    "messages": []
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Successfully fetched details of incident mitigations per mailbox for the +{period}"

If action has more than one iteration (more than one page) : print "Continuing...fetching incident mitigations per mailbox, page (current_page_number) out of (total_page_number) "

動作應失敗並停止執行應對手冊：
if not successful: print "Error executing action "Get Mitigations Per Mailbox". 原因：{0}''.format(error.Stacktrace)

 一般

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。