Joe Sandbox

本文提供指引，說明如何整合 Joe Sandbox 與 Google SecOps。

設定 Joe Sandbox 以與 Google Security Operations 搭配使用

如要取得 API 金鑰，請前往 Joe Sandbox 的「User Settings」-「API Key」。

在 Google SecOps 中設定 Joe Sandbox 整合

請參閱這篇說明文章，瞭解在 Google SecOps 中設定整合功能的詳細操作說明。

動作

引爆檔案

說明

在 Joe Sandbox 中執行檔案，並擷取分析結果。

參數

參數 類型 預設值 說明
檔案路徑 字串 不適用 以半形逗號分隔的待掃描檔案路徑。
註解 字串 不適用 要新增至項目的註解。
報表格式 字串 不適用 報表的格式。

執行日期

這項操作會對所有實體執行。

動作執行結果

實體擴充

如果實體超過門檻，就會標示為可疑 (True)。

深入分析
嚴重性 說明
Warn 系統會建立警告洞察資料，通知您經過擴增的檔案是否含有惡意內容。當偵測到的引擎數量等於或超過掃描前設定的最低可疑門檻時，系統就會建立洞察資料。
指令碼執行結果
指令碼結果名稱 價值選項 範例
ScriptResult True/False ScriptResult:False
JSON 結果
{
   "path\\\\mocks.txt":
      {
         "status": "finished",
         "runs":
           [{
               "detection": "clean",
               "yara": false,
               "system": "w7_1",
               "error": null
             },{
               "detection": "clean",
               "yara": false,
               "system": "w7x64",
               "error": null
            }],
         "sha1": "e96a0e74ed5cfbcaa65c764939b29945e988be9b",
         "tags": [],
         "webid": "773601",
         "comments": "testing",
         "filename": "mocks.txt",
         "scriptname": "default.jbs",
         "time": "2019-01-21T11:21:20+01:00",
         "duration": 530,
         "sha256": "6087f230c0d6ea362f23ca2abb4baf82a9058cb0143af3e82584005f56626f5b",
         "md5": "502cddb08849eb191386017dfca05670",
         "analysisid": "765760"
      }
}

乒乓

說明

確認使用者透過裝置連線至 Joe Sandbox。

參數

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 範例
is_connect True/False is_connect:False
JSON 結果
N/A

搜尋雜湊

說明

在沙箱記錄中搜尋雜湊。

參數

不適用

執行日期

這項動作會對 Filehash 實體執行。

動作執行結果

實體擴充

如果實體超過門檻，就會標示為可疑 (True)。

補充資料欄位名稱 邏輯 - 應用時機
狀態 如果 JSON 結果中存在，則傳回
跑步 如果 JSON 結果中存在，則傳回
sha1 如果 JSON 結果中存在，則傳回
標記 如果 JSON 結果中存在，則傳回
webid 如果 JSON 結果中存在，則傳回
留言 如果 JSON 結果中存在，則傳回
filename 如果 JSON 結果中存在，則傳回
scriptname 如果 JSON 結果中存在，則傳回
時間 如果 JSON 結果中存在，則傳回
持續時間 如果 JSON 結果中存在，則傳回
sha256 如果 JSON 結果中存在，則傳回
md5 如果 JSON 結果中存在，則傳回
analysisid 如果 JSON 結果中存在，則傳回
深入分析
嚴重性 說明
Warn 系統會建立警告深入分析，說明經過擴充的雜湊值是否為惡意。當偵測到的引擎數量等於或超過掃描前設定的最低可疑門檻時，系統就會建立洞察資料。

搜尋網址

說明

在沙箱記錄中搜尋網址。

參數

不適用

執行日期

這項動作會對網址實體執行。

動作執行結果

實體擴充

如果實體超過門檻，就會標示為可疑 (True)。

補充資料欄位名稱 邏輯 - 應用時機
狀態 如果 JSON 結果中存在，則傳回
跑步 如果 JSON 結果中存在，則傳回
sha1 如果 JSON 結果中存在，則傳回
標記 如果 JSON 結果中存在，則傳回
webid 如果 JSON 結果中存在，則傳回
留言 如果 JSON 結果中存在，則傳回
filename 如果 JSON 結果中存在，則傳回
scriptname 如果 JSON 結果中存在，則傳回
時間 如果 JSON 結果中存在，則傳回
持續時間 如果 JSON 結果中存在，則傳回
sha256 如果 JSON 結果中存在，則傳回
md5 如果 JSON 結果中存在，則傳回
analysisid 如果 JSON 結果中存在，則傳回
深入分析
嚴重性 說明
Warn 系統會建立警告洞察資料，通知您經過擴充的網址是否含有惡意內容。當偵測到的引擎數量等於或超過掃描前設定的最低可疑門檻時，系統就會建立洞察資料。
指令碼執行結果
指令碼結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
[{
   "EntityResult":
     {
        "status": "finished",
        "runs":
           [{
              "detection": "clean",
              "yara": false,
              "system": "w7_1",
              "error": null
            },{
              "detection": "clean",
              "yara": false,
              "system": "w7x64",
              "error": null
           }],
       "sha1": "e96a0e74ed5cfbcaa65c764939b29945e988be9b",
       "tags": [],
       "webid": "773601",
       "comments": "testing",
       "filename": "mocks.txt",
       "scriptname": "default.jbs",
       "time": "2019-01-21T11:21:20+01:00",
       "duration": 530,
       "sha256": "6087f230c0d6ea362f23ca2abb4baf82a9058cb0143af3e82584005f56626f5b",
       "md5": "502cddb08849eb191386017dfca05670",
       "analysisid": "765760"
      },
   "Entity": "https://sampleweb.com"
}]

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。