將 UrlScan.io 與 Google SecOps 整合

本文提供指南，說明如何將 urlscan.io 與 Google SecOps 整合。

本文說明如何將 UrlScan.io 與 Google Security Operations 整合。

用途

UrlScan.io 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 自動分析網址：自動將可疑網址提交至 UrlScan.io，在事件分類期間判斷風險等級並擷取螢幕截圖，以供目視驗證。

  • 威脅情報擴充：查詢 UrlScan.io，取得 IP 位址、網域和網址的詳細中繼資料，藉此擴充快訊，讓分析師立即掌握 ASN、伺服器類型和惡意分數等情境資訊。

  • 主動搜尋歷來掃描結果：搜尋與入侵指標相關的現有公開和私人掃描結果，找出歷來惡意活動和模式。

  • 深入鑑識和報告：使用特定掃描 ID 擷取詳盡的掃描詳細資料，深入分析複雜安全調查的 Cookie、要求計數和相關連結。

事前準備

如要驗證 Google SecOps 和 UrlScan.io 之間的連結，必須提供有效的 API 金鑰。

您可以在 urlscan.io 帳戶的「Profile」(設定檔) 區段中取得及管理 API 金鑰。

整合參數

整合 urlscan.io 時，需要下列參數：

參數 說明
Api Key

必填。

用於向 urlscan.io 服務進行驗證的專屬 API 金鑰。
Verify SSL

選填。

如果選取這個選項，整合服務會在連線至 UrlScan.io 伺服器時驗證 SSL 憑證。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您就可以在劇本中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 從工作台回覆待處理動作」和「執行手動動作」。

乒乓

測試連線。

參數

不適用

用途

不適用

執行時間

這項操作會套用至所有實體。

動作執行結果

實體擴充
深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
N/A

網址檢查

提交要掃描的網址，並取得掃描詳細資料。

參數

參數名稱 類型 是否為必要項目 預設值 說明
顯示設定

DDL
可能：
公開、不公開、私人。

 否 公開 urlscan.io 掃描結果有三種可見度等級，請務必為提交內容選擇適當等級。
門檻 整數 否 -1 如果判決分數等於或高於指定門檻，請將實體標示為可疑。預設值為 -1，在此情況下，系統會將每個掃描的網址視為可疑。
建立洞察資料 布林值 否 是 如果啟用，這項動作會建立洞察資料，其中包含實體相關資訊。
僅限可疑洞察資料 布林值 否 否 啟用後，這項動作只會為可疑實體建立洞察資料。注意：「建立洞察」參數必須啟用。
在洞察中新增螢幕截圖 布林值 否 否 啟用後，如果網站有螢幕截圖，這項動作就會將螢幕截圖新增至洞察資料。

用途

不適用

執行時間

這項動作會對下列實體執行：

  • IP 位址
  • 網域
  • 網址

動作執行結果

實體擴充
名稱 金鑰
real_url tasks/url
瀏覽權限 瀏覽權限
requests_count len(data/requests)
Cookie 資料/Cookie/名稱的 CSV 檔案
related_links 資料/連結/href 的 CSV 檔案
main_country page/country
main_domain 網頁/網域
main_ip page/ip
main_asn page/asnname
main_server 網頁/伺服器
related_ips_count len(lists/ips)
related_domains_count len(lists/domains)
related_countries CSV 清單/國家/地區
overall_score verdicts/overall/score
類別 verdicts/overall/categories
標記 verdicts/overall/tags
惡意 verdicts/overall/malicious
深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "Entity": "https://example.com",
        "EntityResult": {
            "lists": {
                "ips": [
                    "0.0.0.0"
                ],
                "countries": [
                    "ZZ"
                ],
                "asns": [
                    "00000"
                ],
                "domains": [
                    "subdomain.example.com"
                ],
                "servers": [
                    "GenericServer/1.0.0"
                ],
                "urls": [
                    "https://example.com/",
                    "https://example.com/assets/image.png",
                    "https://example.com/assets/script.js",
                    "https://example.com/assets/style.svg",
                    "https://example.com/favicon.ico"
                ],
                "linkDomains": [
                    "node1.example.com",
                    "node2.example.com",
                    "node3.example.com"
                ],
                "certificates": [
                    {
                        "subjectName": "*.example.com",
                        "issuer": "CA-0",
                        "validFrom": 1000000000,
                        "validTo": 2000000000
                    }
                ],
                "hashes": [
                    "hash_string_alpha_001",
                    "hash_string_alpha_002",
                    "hash_string_alpha_003"
                ]
            },
            "page": {
                "asn": "AS00000",
                "asnname": "PROVIDER - Service Provider Inc., ZZ",
                "city": "",
                "country": "ZZ",
                "domain": "subdomain.example.com",
                "ip": "0.0.0.0",
                "ptr": "host.provider.net",
                "server": "GenericServer/1.0.0",
                "url": "https://example.com/",
                "apexDomainAgeDays": 1,
                "mimeType": "application/octet-stream",
                "title": "Title Placeholder",
                "tlsValidDays": 0,
                "tlsAgeDays": 0,
                "domainAgeDays": 1,
                "tlsValidFrom": "2000-01-01T00:00:00.000Z",
                "umbrellaRank": 0,
                "apexDomain": "example.com",
                "tlsIssuer": "CA-0",
                "status": "000"
            },
            "scanner": {
                "country": "zz"
            },
            "stats": {
                "IPv6Percentage": 0,
                "adBlocked": 0,
                "malicious": 0,
                "securePercentage": 0,
                "secureRequests": 0,
                "totalLinks": 0,
                "uniqCountries": 0
            },
            "submitter": {
                "country": "ZZ"
            },
            "task": {
                "method": "system",
                "source": "source_id",
                "time": "2000-01-01T00:00:00.000Z",
                "url": "https://example.com/",
                "uuid": "00000000-0000-0000-0000-000000000000",
                "visibility": "private",
                "reportURL": "https://service.io/result/id/",
                "screenshotURL": "https://service.io/screen/id.png",
                "domURL": "https://service.io/dom/id/",
                "domain": "subdomain.example.com",
                "apexDomain": "example.com"
            },
            "verdicts": {
                "overall": {
                    "score": 0,
                    "categories": [],
                    "brands": [],
                    "tags": [],
                    "malicious": false,
                    "hasVerdicts": false
                },
                "service_provider": {
                    "score": 0,
                    "categories": [],
                    "brands": [],
                    "tags": [],
                    "malicious": false,
                    "hasVerdicts": false
                },
                "engines": {
                    "score": 0,
                    "malicious": false,
                    "categories": [],
                    "enginesTotal": 0,
                    "maliciousTotal": 0,
                    "benignTotal": 0,
                    "maliciousVerdicts": [],
                    "benignVerdicts": [],
                    "hasVerdicts": false,
                    "tags": [
                        "tag-alpha",
                        "tag-beta"
                    ]
                },
                "community": {
                    "score": 0,
                    "categories": [],
                    "brands": [],
                    "votesTotal": 0,
                    "votesMalicious": 0,
                    "votesBenign": 0,
                    "malicious": false,
                    "hasVerdicts": false
                }
            },
            "is_risky": false
        }
    }
]

搜尋掃描檔

依網域、IP、自治系統 (AS) 編號、雜湊等屬性，搜尋 urlscan.io 現有掃描結果。這項動作會找出任何人執行的公開掃描，以及您或團隊執行的不公開和私人掃描。

參數

參數名稱 類型 是否為必要項目 預設值 說明
掃描次數上限 整數 否 100 每個實體要傳回的掃描次數。預設值：100，上限：10000 (視訂閱方案而定)。

執行時間

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 檔案名稱
  • 雜湊
  • 網域

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
{"entity_identifier": "www.unitedneighborsfcu.com",
"entity_results":[
  {
        "indexedAt": "2020-12-09T12:16:43.329Z",
        "task": {
            "visibility": "public",
            "method": "automatic",
            "domain": "www.unitedneighborsfcu.com",
            "time": "2020-12-09T12:16:23.168Z",
            "source": "certstream-suspicious",
            "uuid": "96310829-fed4-4d61-9fb0-39eb2952719f",
            "url": "https://www.unitedneighborsfcu.com"
        },
        "stats": {
            "uniqIPs": 6,
            "consoleMsgs": 0,
            "uniqCountries": 3,
            "dataLength": 1938842,
            "encodedDataLength": 1568193,
            "requests": 28
        },
        "page": {
            "country": "US",
            "server": "Microsoft-IIS/10.0",
            "domain": "www.unitedneighborsfcu.com",
            "ip": "8.21.114.55",
            "mimeType": "text/html",
            "asnname": "LEVEL3, US",
            "asn": "AS3356",
            "url": "https://www.unitedneighborsfcu.com/",
            "status": "200"
        },
        "_id": "96310829-fed4-4d61-9fb0-39eb2952719f",
        "sort": [1607516183168, "96310829-fed4-4d61-9fb0-39eb2952719f"],
        "result": "https://urlscan.io/api/v1/result/96310829-fed4-4d61-9fb0-39eb2952719f/",
        "screenshot": "https://urlscan.io/screenshots/96310829-fed4-4d61-9fb0-39eb2952719f.png"
  }
  ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不得失敗，也不得停止應對手冊執行：

  • 如果找到部分實體的掃描結果 (is_success = true)：print "Successfully listed scans for the following entities:\n".format(entity.identifier)
  • 如果找不到部分實體的掃描結果 (is_success = true)：print "Action wasn't able to list scans for the following entities:\n".format(entity.identifier)
  • 如果找不到所有實體的掃描結果(is_success = false)：請列印「Action wasn't able to list scans for the available entities」。
  • 如果沒有實體：列印「No suitable entities were found in the current scope.

    The action should fail and stop a playbook execution:
    if fatal error, like wrong credentials, no connection to server, other: print "Error executing action "Search for Scans". 原因：{0}''.format(error.Stacktrace)。
 一般
案件總覽表格

標題：「{實體 ID} - 搜尋結果」

欄：

掃描 ID

網址

掃描日期

大小

IPS

不重複國家/地區

國家/地區

掃描類型

 一般
案件總覽連結 標題：「urlscan.io 網頁報表 + (實體 ID)」。 一般
案件總覽附件 內含螢幕截圖。 一般

取得掃描完整詳細資料

依掃描 ID 取得掃描完整詳細資料

參數

參數名稱 類型 是否為必要項目 預設值 說明
掃描 ID 字串 是 不適用 使用掃描作業 ID 取得掃描報告。逗號分隔值。

執行時間

這項動作不會在實體上執行。

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 範例
is_success True/False is_success:False
JSON 結果
['Effective URL'] = response['page']['url']
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不得失敗，也不得停止應對手冊執行：

  • if find some scan ids (is_success = true): print "Successfully fetched results for the following scans: {scan ids}
  • 如果找不到某些項目 (is_success = true)：print "Action wasn't able to fetch results for the following scans: {scan ids}
  • 如果找不到所有結果 (is_success = false)：print "Action wasn't able to fetch results. 提供的掃描 ID 無法透過 urlscan.io 取得。

動作應會失敗並停止執行應對手冊：

  • 如果發生重大錯誤 (例如憑證錯誤、無法連線至伺服器等)：列印「Error executing action "Get Scan Full Details"」。原因：{0}''.format(error.Stacktrace)
 一般
案件總覽連結 標題：「urlscan.io 網頁報表 + (掃描 ID)」。 一般
案件總覽附件 內含螢幕截圖。 一般

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。