IntSights

Versión de integración: 20.0

Configurar la integración de IntSights en Google Security Operations

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Acciones

Añadir nota

Descripción

Añade una nota a la alerta en IntSights.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Cadena N/A Sí Especifica el ID de la alerta a la que quieras añadir una nota.
Nota Cadena N/A Sí Especifica la nota de la alerta.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se ha completado correctamente (is_success=true): "Successfully add a note to the alert with ID '{0}' in Intsights ".format(alert id)

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, falta de conexión con el servidor u otro: "Error al ejecutar la acción "Añadir nota". Motivo: {0}''.format(error.Stacktrace)

Si se informa del código de estado 404: "Error al ejecutar la acción "Añadir nota". Motivo: no se ha encontrado la alerta con el ID {alert id} en IntSights.

 General

Pregunta a un analista

Descripción

Pregunta a un analista sobre la alerta de IntSights.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Cadena N/A Sí Especifique el ID de la alerta sobre la que quiere preguntar al analista.
Comentario Cadena N/A Sí Especifica el comentario para el analista.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la operación se realiza correctamente: "Successfully asked analyst in the alert with ID '{0}' in Intsights ".format(alert id)

Si se devuelve el código de estado 400 o 500: "Action was not able to ask the analyst in the alert with ID {0} in Intsights. Motivo: {1}.".format(alert_id, response string)

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Pregunta a un analista". Motivo: {0}''.format(error.Stacktrace)

 General

Asignar alerta

Descripción

Asigna la alerta a un analista de IntSights.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Cadena N/A Sí Especifique el ID de la alerta cuya asignación quiera cambiar.
ID de usuario asignado Cadena N/A No

Especifica el ID del analista que debe asignarse a la alerta.
Nota: Si se especifican tanto "ID de asignatario" como "Dirección de correo del asignatario", se dará prioridad a "ID de asignatario".
Dirección de correo del usuario asignado Cadena N/A No

Especifica la dirección de correo del analista que debe asignarse a la alerta.
Nota: Si se especifican tanto "ID de asignatario" como "Dirección de correo del asignatario", se dará prioridad a "ID de asignatario".

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se asigna correctamente el ID: "Successfully assigned analyst with ID '{0}' to the alert with ID {1} in Intsights ".format(assignee id, alert id)

Si se asigna correctamente con la dirección de correo del analista: "Successfully assigned analyst with email address '{0}' to the alert with ID {1} in Intsights ".format(assignee email address, alert id)
("Se ha asignado correctamente el analista con la dirección de correo '{0}' a la alerta con el ID {1} en Intsights").

Si no se encuentra el asignado, el código de estado es 400 y se ha trabajado con el ID del asignado:

"No se ha podido cambiar la asignación de la alerta con el ID {0}. Motivo: No se ha encontrado el asignatario con el ID {1}.".format(alert_id, assignee id)"


Si no se encuentra el asignatario, el código de estado es 400 y se ha trabajado con la dirección de correo del asignatario: "No se ha podido cambiar la asignación de la alerta con el ID {0}. Motivo: No se ha encontrado ningún asignado con la dirección de correo {1}.format(alert_id, email address)"

Si se devuelve el código de estado 400 o 500: "No se ha podido cambiar la asignación de la alerta con el ID {0}. Motivo: {1}.".format(alert_id, response)

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Asignar alerta". Motivo: {0}''.format(error.Stacktrace)

Si no se especifican los parámetros "Assignee ID" y "Assignee Email address": "Assignee ID or Email Address should be specified." ("Se debe especificar el ID o la dirección de correo del asignado").

 General

Cerrar alerta

Descripción

Cierra la alerta en IntSights.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Cadena N/A Sí Especifique el ID de la alerta que quiera cerrar.
Motivo DDL

Problema resuelto

Valores posibles:

  • Problema resuelto
  • Solo informativo
  • Problema del que somos conscientes
  • Dominio propiedad de la empresa
  • Aplicación o perfil legítimos
  • No está relacionado con mi empresa
  • Falso positivo
  • Otro
 Sí Especifica el motivo por el que se debe cerrar la alerta.
Información adicional Cadena N/A No Especifica información adicional que explique por qué se debe cerrar la alerta.
Tarifa Entero 5 No Especifica la valoración de la alerta. El máximo es 5.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se cierra correctamente: "Se ha cerrado correctamente la alerta con el ID '{0}' en Intsights ".format(ID de alerta)

Si se devuelve el código de estado 400: "No se ha podido cerrar la alerta con el ID {0} en Intsights. Motivo: {1}.".format(alert_id, response string)

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Cerrar alerta". Motivo: {0}''.format(error.Stacktrace)

Si el parámetro "Rate" no está entre 1 y 5: "Rate value should be in range from 1 to 5." ("El valor de la tarifa debe estar entre 1 y 5").

 General

Descargar alertas en formato CSV

Descripción

Descarga un archivo CSV que contenga información relacionada con la alerta en IntSights.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Cadena N/A Sí Especifica el ID de la alerta de la que quieras descargar el archivo CSV.
Ruta de la carpeta de descargas Cadena N/A Sí Especifica la ruta a la carpeta en la que quieras almacenar el archivo CSV.
Sobrescribir Casilla N/A No Si está habilitada, la acción sobrescribirá el archivo con el mismo nombre.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
{
    "absolute_paths": ["/opt/file_1"]
}
Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se ha descargado correctamente al menos un archivo CSV (is_success=true): "Successfully downloaded CSV for the alert with ID {0} in Intsights:".format(alert_id)

Si se devuelve el código de estado 400 (is_success=true): "No se ha encontrado información de CSV para la alerta con el ID {alert_id} en Intsights."

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error:

"Error al ejecutar la acción "Descargar CSV de alertas". Motivo: {0}''.format(error.Stacktrace)

Si ya existe un archivo con el mismo nombre, pero "Overwrite" tiene el valor false: "Error al ejecutar la acción "Descargar alerta CSV". Motivo: ya existe un archivo con la ruta {0}. Elimina el archivo o asigna el valor "true" a "Overwrite"."

Si se devuelve el código de estado 404: "Error al ejecutar la acción "Descargar CSV de alertas". Motivo: No se ha podido encontrar la alerta con el ID {ID}'

 General

Get Alert Image

Descripción

Recupera información sobre las imágenes de alertas en IntSights.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
IDs de imagen de alerta CSV N/A Sí

Especifica la lista de IDs de imágenes de alertas separada por comas.
Ejemplo: id1,id2.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
  {
    "image_name": "5b59daf4bdafd90xxxxxx",
    "image_base64_content": "image content in base64"
  }
]
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se ha completado correctamente para al menos una imagen: "Successfully retrieved images from the following IDs in Intsights:".format(list of ids)

Si no se ha podido obtener al menos una imagen: "No se han podido obtener imágenes de los siguientes IDs de Intsights:\n".format(list of ids)

Si no se ha podido obtener ninguna imagen: "No se ha podido obtener ninguna imagen".

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Obtener imagen de alerta". Motivo: {0}''.format(error.Stacktrace)

 General

Ping

Descripción

Comprueba la conectividad.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en la entidad URL.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Reabrir alerta

Descripción

Reabre la alerta en IntSights.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Cadena N/A Verdadero Especifica el ID de la alerta que quieres volver a abrir.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la acción se realiza correctamente: "Se ha vuelto a abrir la alerta con el ID '{0}' en Intsights ".format(alert id)

Si se devuelve el código de estado 400: "No se ha podido volver a abrir la alerta con el ID {0} en Intsights. Motivo: {1}.".format(alert_id, response string)

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Reabrir alerta". Motivo: {0}''.format(error.Stacktrace)

 General

Buscar IOCs

Descripción

Organiza y busca todos tus IOCs en un único panel de control fácil de usar. El panel de control centralizado de TIP resume los indicadores de compromiso por gravedad y nivel de confianza, de modo que puedes identificar fácilmente qué indicadores de compromiso maliciosos suponen el mayor riesgo para tu organización.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[{
   "EntityResult":
     {
        "Status": "Active",
        "Domain": "sephoratv.com",
        "Severity":
         {
           "Status": "done",
           "LastUpdate": "2019-01-20T04:32:58.833Z",
           "Features":
             [{
                 "Score": 10, "Name": "base_intsights_multiple",
                  "Match": 1
               },
               {
                  "Score": 0,
                  "Name": "domain_associated_malware_names",
                  "Match": 0
                },
               {
                  "Score": 0,
                  "Name": "domain_associated_malware_ip_addresses",
                  "Match": 1
              }],
           "LastUpdateMessage": "",
           "Value": "Low",
           "Score": 20
          },
        "SourceID": "59e376681bb0800644e1368f",
        "Value": "sephoratv.com",
        "Flags": {"IsInAlexa": false},
        "LastSeen": "2019-01-20T04:24:27.258Z",
        "_id": "5c43f80483df230007485c48",
        "Type": "Domains",
        "Enrichment":
         {
           "Status": "done",
           "LastUpdate": "2019-01-20T04:32:58.613Z",
           "Data":
               {
                  "domain_status_blocked": false,
                  "latest_resolution_date": "2019-01-20T04:27:22.299Z",
                  "associated_malware_ip_addresses": ["185.16.44.132"],
                  "contact_emails": [],
                  "referencing_file_hashes": [],
                  "malware_category": [],
                  "mail_servers": ["a.mx.domainoo.fr."],
                  "associated_malware_names": [],
                  "threat_actor_category": [],
                  "campaigns": [],
                  "associated_malware_families": [],
                  "resolved_ips": ["185.16.44.132"],
                  "cve_ids": [],
                  "downloaded_file_hashes": [],
                  "domain_expired": false,
                  "communicating_file_hashes": ["210c2ddbf747220df645fc4d77e7decd1be7df27e43b2f79e4b45bd5fe0a2a6e"],
                  "name_servers": ["a.ns.domainoo.fr.",
                                   "b.ns.domainoo.fr.",
                                   "c.ns.domainoo.fr."],
                  "registrar": "N/A",
                  "threat_actors": []
                }
           },
        "FirstSeen": "2019-01-20T04:24:27.258Z",
        "AccountID": null
    },
 "Entity": "sephoratv.com"
}]
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: cuándo aplicar
Estado Devuelve si existe en el resultado JSON.
Dominio Devuelve si existe en el resultado JSON.
Gravedad Devuelve si existe en el resultado JSON.
SourceID Devuelve si existe en el resultado JSON.
Valor Devuelve si existe en el resultado JSON.
Banderas Devuelve si existe en el resultado JSON.
Detectada por última vez Devuelve si existe en el resultado JSON.
_id Devuelve si existe en el resultado JSON.
Tipo Devuelve si existe en el resultado JSON.
Enriquecimiento Devuelve si existe en el resultado JSON.
Detectada por primera vez Devuelve si existe en el resultado JSON.
AccountID Devuelve si existe en el resultado JSON.
Estadísticas

Sí

Conectores

Conector de Intsights

Descripción

Obtiene problemas de Intsights para Google SecOps.

Configurar Insights Connector en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Nombre del parámetro Tipo Valor predeterminado Descripción
DeviceProductField Cadena Details_Source_NetworkType Nombre del campo que se usa para determinar el producto del dispositivo.
EventClassId Cadena Details_Title Nombre del campo que se usa para determinar el nombre del evento (subtipo).
PythonProcessTimeout Cadena 60 El límite de tiempo de espera (en segundos) del proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API Cadena https://api.intsights.com La raíz de la API del servidor de Intsights.
ID de cuenta Cadena N/A El ID de la cuenta con la que iniciar sesión.
Clave de API Contraseña N/A Clave de API para iniciar sesión.
Verificar SSL Casilla Desmarcada Indica si se debe verificar el certificado SSL del servidor.
Máximo de días hacia atrás Entero 3 Número máximo de días anteriores a partir de los que se obtendrán las alertas.
Número máximo de alertas por ciclo Entero 10 Número máximo de alertas que se deben obtener por ciclo de conector.
Dirección del servidor proxy Cadena N/A Dirección del servidor proxy que se va a usar.
Nombre de usuario del proxy Cadena N/A Nombre de usuario del proxy para autenticarse.
Contraseña del proxy Contraseña N/A La contraseña del proxy para autenticarte.

Reglas de conectores

Compatibilidad con proxy

El conector admite proxies.

Lista blanca o negra

El conector admite reglas de listas blancas y negras.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.