Rapid7 InsightIDR

本文說明如何將 Rapid7 InsightIDR 與 Google SecOps 整合。

應用實例

使用 InsightIDR 資料，充實已處理的 Google Security Operations 警告。

在 Google SecOps 中設定 Rapid7 InsightIDR 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
API 根層級 字串 https://[region].api.insight.rapid7.com 是 指定要用於連線的 API 根目錄。
API 金鑰 密碼 不適用 是 指定連線要使用的 API 金鑰。
驗證 SSL 核取方塊 已勾選 否 指定是否應驗證在 API 根層級設定的憑證。

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 Rapid7 InsightIDR 服務的連線能力。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Successfully connected to the Rapid7 InsightIDR service with the provided connection parameters!"

動作應失敗並停止執行應對手冊：

if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般

列出調查

說明

根據指定的動作輸入參數，列出 Rapid7 InsightIDR 調查。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
時間範圍 整數 4 否 指定擷取發現項目的時間範圍 (以小時為單位)。
記錄上限 整數 20 否 指定動作可傳回的記錄數量。
是否包含已結案的調查？ 核取方塊 已取消勾選 否 指定是否要在結果中納入已結案的調查。

執行日期

這項動作不會對實體執行。

動作執行結果
指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "data": [
        {
            "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
            "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
            "status": "OPEN",
            "source": "ALERT",
            "assignee": {
                "name": "Tip Labops",
                "email": "tip.labops@siemplify.co"
            },
            "alerts": [
                {
                    "type": "Malicious Hash On Asset",
                    "type_description": "A malicious hash was found on an asset.",
                    "first_event_time": "2020-12-02T13:16:14.197Z"
                }
            ],
            "created_time": "2020-12-02T13:18:16.758Z"
        },
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Rapid7 InsightIDR investigations found"

if is_success=False, for example no investigations were found: print "No investigations were returned."


Action should fail and stop playbook execution:
if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般
CSV

資料表名稱：Rapid7 InsightIDR Investigations

表格欄：

標題

狀態

來源

指派對象 (Assignee.email)

快訊 (alerts.type 值的 CSV 清單)

建立時間

 一般

設定調查狀態

說明

設定特定 Rapid7 InsightIDR 調查的狀態。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
調查 ID 字串 不適用 是 要更新狀態的調查 ID。ID 應採用如下的格式：8ec8e324-4522-4a6e-9838-81496a0cadb0
狀態 DDL " " 是 調查的新狀態。

執行日期

這項動作不會對實體執行。

動作執行結果
指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "CLOSED",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Rapid7 InsightIDR Investigation {0} status changed to {1}".format(investigation_id, status)

如果 is_success=False，例如找不到指定 ID 的調查：print "Failed to update Rapid7 InsightIDR investigation status. 錯誤：{0}".format(error from response)


Action should fail and stop playbook execution:
if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般

設定調查指派對象

說明

設定特定 Rapid7 InsightIDR 調查的指派對象。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
調查 ID 字串 不適用 是 要更新狀態的調查 ID。ID 格式應為 8ec8e324-4522-4a6e-9838-81496a0cadb0。
指派對象的電子郵件地址 字串 不適用 是 調查項目新指派對象的電子郵件地址。

執行日期

這項動作不會對實體執行。

動作執行結果
指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "OPEN",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Rapid7 InsightIDR Investigation {0} assignee changed to {1}".format(investigation_id, assignee)

if is_success=False, for example investigation with provided id was not found: print "Failed to update Rapid7 InsightIDR investigation assignee. 錯誤：{0}".format(error from response)


Action should fail and stop playbook execution:
if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般

列出已儲存的查詢

說明

列出 Rapid7 InsightIDR 已儲存的查詢。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
記錄上限 整數 20 否 指定動作可傳回的記錄數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "saved_queries": [
        {
            "id": "00000000-0003-71fd-0000-000000000000",
            "name": "test3",
            "leql": {
                "statement": "where(destination_asset = \"hw-srv2016-rpd7.rapid7.local\" AND destination_user = \"administrator\")",
                "during": {
                    "time_range": "Last 1 Hour",
                    "to": null,
                    "from": null
                }
            },
            "logs": [
                "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
                "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
                "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
                "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
                "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
            ]
        },
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Rapid7 InsightIDR saved queries found"

if is_success=True, but no saved queries were found: print "No saved queries were returned."


Action should fail and stop playbook execution:
if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般
CSV

資料表名稱：Rapid7 InsightIDR 已儲存的查詢

表格欄：

ID
名稱

陳述式

時間範圍

開始時間

結束時間

記錄

 一般

建立已儲存的查詢

說明

根據指定的動作輸入參數，建立 Rapid7 InsightIDR 已儲存的查詢。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
名稱 字串 不適用 是 新儲存查詢的名稱。
陳述式 字串 不適用 是 在查詢中執行的陳述式，應遵循 LEQL 語法，例如：where(foo=bar)。
時間範圍 整數 4 是 指定查詢應擷取資料的時間範圍 (以小時為單位)。
記錄 字串 不適用 否 查詢應執行的記錄名稱。參數接受多個值，請以半形逗號分隔。
執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "saved_query": {
        "id": "00000000-0003-7216-0000-000000000000",
        "name": "MySearch4",
        "leql": {
            "statement": "where(bar=foo)",
            "during": {
                "time_range": null,
                "to": 1450557608000,
                "from": 1450557604000
            }
        },
        "logs": [
            "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
            "043584c7-113e-4ffc-a6b8-ea0be1a4f501"
        ]
    }
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "New Rapid7 InsightIDR saved query created: {0}".format(new query id from response)

如果 is_success=False，例如查詢語法不正確：print "Failed to create Rapid7 InsightID 已儲存的查詢. 錯誤：{0}".format(error from response)


Action should fail and stop playbook execution:
if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般

刪除已儲存的查詢

說明

刪除 Rapid7 InsightIDR 已儲存的查詢。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
已儲存的查詢 ID 字串 不適用 是 要刪除的已儲存的查詢 ID，格式為 00000000-0003-7218-0000-000000000000
執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Rapid7 InsightIDR saved query {0} was deleted successfully".format(query id)

if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. 錯誤：{0}".format(error from response)


Action should fail and stop playbook execution:
if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般

執行已儲存的查詢

說明

執行 Rapid7 InsightIDR 已儲存的查詢。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
已儲存的查詢 ID 字串 不適用 是 要刪除的已儲存的查詢 ID，格式為 00000000-0003-7218-0000-000000000000

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "logs": [
        "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
        "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
        "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
        "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
        "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
    ],
    "events": [
        {
            "sequence_number": 3237167368573841408,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:32.408Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071a3b\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61228\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071432.408008-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573841408?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573841408"
        },
        {
            "sequence_number": 3237167368573845504,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.433Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071708\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61226\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.433772-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573845504?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573845504"
        },
        {
            "sequence_number": 3237167368573849600,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.430Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716eb\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61225\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.430750-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573849600?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573849600"
        },
        {
            "sequence_number": 3237167368573853696,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.427Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716d1\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61224\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.427604-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573853696?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573853696"
        },
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

if successful: print "Rapid7 InsightIDR saved query {0} executed successfully".format(query id)

if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. 錯誤：{0}".format(error from response)

Action should fail and stop playbook execution:
if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the Rapid7 InsightIDR service! 錯誤為 {0}".format(exception.stacktrace)

 一般

更新調查

說明

在 Rapid7 InsightIDR 中更新調查。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
調查 ID 字串 不適用 是 指定要更新的調查 ID。
狀態 DDL

請選取一項

可能的值：

  • 開啟
  • 調查中
  • 已關閉
 否 指定調查狀態。
已儲存的查詢 ID 字串

請選取一項

可能的值：

  • 正當
  • 有惡意
  • 不適用
 否 指定調查的處置方式。
執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "rrn": "rrn:investigation:eu:d16635a5-8a81-410c-8c33-67a4fbf26eb4:investigation:PAQBBKR4941D",
    "organization_id": "d16635a5-8a81-410c-8c33-67a4fbf26eb4",
    "title": "Suspicious Process - Malicious Hash On Asset",
    "source": "ALERT",
    "status": "OPEN",
    "priority": "HIGH",
    "last_accessed": "2022-10-12T13:08:37.650Z",
    "created_time": "2022-10-12T13:08:37.650Z",
    "disposition": "NOT_APPLICABLE",
    "assignee": null,
    "first_alert_time": "2022-10-12T13:08:37.643Z",
    "latest_alert_time": "2022-10-12T13:11:43.018Z"
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果傳回資訊 (is_success=true)：「已成功在 Rapid7 InsightIDR 更新 ID 為 {investigation id} 的調查項目。」

動作應失敗並停止執行應對手冊：

如果系統回報重大錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『更新調查』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

如果找不到快訊：執行「更新調查」動作時發生錯誤。原因：在 Rapid7 InsightIDR 找不到 ID 為 {investigation id} 的調查。請檢查拼字。」

如果「狀態」和「處置」為「選取一項」：「執行『更新調查』動作時發生錯誤。原因：至少一個「狀態」或「處置」參數應有值。

 一般

連接器

Rapid7 InsightIDR - Investigations 連接器

說明

這個連接器是使用預先發布版的 API 端點建構而成。從 Rapid7 InsightIDR 提取調查相關資訊。

連接器參數

參數顯示名稱 類型 預設值 為必填項目 說明
產品欄位名稱 字串 data_type 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 來源 是 輸入來源欄位名稱，擷取事件欄位名稱。

環境欄位名稱

 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。

環境規則運算式模式

 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 根層級 字串 https://{instance}.api.insight.rapid7.com 是 Rapid7 InsightIDR 執行個體的 API 根目錄。
API 金鑰 字串 不適用 是 Rapid7 InsightIDR 帳戶的 API 金鑰。
來源 CSV ALERT,USER 否 用於擷取調查的來源。可能的值：User、Alert。如未提供，連接器會從這兩個來源擷取調查。
擷取優先順序最低 字串 中 否 擷取調查時，必須使用的最低優先順序。可能的值：低、中、高、重大。如未指定，連接器會擷取所有嚴重程度的警告。
往回查看時數上限 整數 1 否 要擷取調查記錄的時間範圍 (以小時為單位)。
要擷取的警告數量上限 整數 20 否 每次連接器疊代要處理的警告數量。預設值：20。
將動態清單當做黑名單使用 核取方塊 已勾選 是 如果啟用，動態清單會做為黑名單使用。
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認連至 Darktrace 伺服器的 SSL 憑證有效。
Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。