urlscan.io

整合版本：24.0

設定 urlscan.io，以便與 Google Security Operations 搭配使用

API 金鑰

  1. 如要取得 API 金鑰，請登入 urlscan.io 帳戶。

  2. 在頁面的「設定檔」部分，按一下「新增 API 金鑰」按鈕。

  3. 新增 API 金鑰的用途說明，然後按一下「建立 API 金鑰」。

  4. 系統已產生新的 API 金鑰。請務必複製 API 金鑰，以便新增至 urlscan.io 的 Google SecOps 設定。

網路

函式 預設通訊埠 方向 通訊協定
API 多個值 傳出 apikey

在 Google SecOps 中設定 urlscan.io 整合

如需在 Google SecOps 中設定整合功能的詳細操作說明，請參閱「設定整合功能」。

動作

乒乓

說明

測試連線。

參數

不適用

用途

不適用

執行時間

這項操作會對所有實體執行。

動作執行結果

實體擴充
深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 示例
is_success True/False is_success:False
JSON 結果
N/A

網址檢查

說明

提交要掃描的網址，並取得掃描詳細資料。

參數

參數名稱 類型 是否為必要項目 預設值 說明
顯示設定

DDL
可能：
公開、不公開、私人。

 否 公開 urlscan.io 掃描結果有三種可見度等級，請務必為提交內容選擇適當等級。
門檻 整數 否 -1 如果判決分數等於或高於指定門檻，請將實體標示為可疑。預設值為 -1，在此情況下，系統會將每個掃描的網址視為可疑。
建立洞察資料 布林值 否 是 如果啟用，這項動作會建立洞察資料，其中包含實體相關資訊。
僅限可疑洞察資料 布林值 否 否 啟用後，這項動作只會為可疑實體建立洞察資料。注意：「建立洞察」參數必須啟用。
在洞察中新增螢幕截圖 布林值 否 否 啟用後，如果網站有螢幕截圖，這項動作就會將螢幕截圖新增至洞察資料。

用途

不適用

執行時間

這項動作會對下列實體執行：

  • IP 位址
  • 網域
  • 網址

動作執行結果

實體擴充
名稱 金鑰
real_url tasks/url
瀏覽權限 瀏覽權限
requests_count len(data/requests)
Cookie 資料/Cookie/名稱的 CSV 檔案
related_links 資料/連結/href 的 CSV 檔案
main_country page/country
main_domain 網頁/網域
main_ip page/ip
main_asn page/asnname
main_server 網頁/伺服器
related_ips_count len(lists/ips)
related_domains_count len(lists/domains)
related_countries CSV 清單/國家/地區
overall_score verdicts/overall/score
類別 verdicts/overall/categories
標記 verdicts/overall/tags
惡意 verdicts/overall/malicious
深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 示例
is_success True/False is_success:False
JSON 結果
[
    {
        "EntityResult":
        {
            "task":
            {
                "domURL": "https://urlscan.io/dom/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "screenshotURL": "https://urlscan.io/screenshots/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b.png",
                "uuid": "7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b",
                "url": "http://markossolomon.com/f1q7qx.php",
                "visibility": "public",
                "source": "12a3ddaf",
                "time": "2019-01-31T15:19:55.267Z",
                "reportURL": "https://urlscan.io/result/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3396.87 Safari/537.36",
                "method": "api"
            },
            "stats":
            {
                "malicious": 0,
                "uniqCountries": 1,
                "totalLinks": 3,
                "secureRequests": 14,
                "securePercentage": 93,
                "adBlocked": 0,
                "IPv6Percentage": 50
            },
            "page":
            {
                "city": "Los Angeles",
                "domain": "markossolomon.com",
                "asn": "AS22612",
                "url": "http://markossolomon.com/f1q7qx.php",
                "ip": "1.1.1.1",
                "asnname": "NAMECHEAP-NET - Namecheap, Inc., US",
                "server": "nginx",
                "country": "US",
                "ptr": ""
            },
            "lists":
            {
                "linkDomains": ["www.namecheap.com",
                                "ap.www.namecheap.com"],
                "countries": ["US"],
                "asns": ["22612"],
                "servers": ["cloudflare",
                            "nginx"],
                "ips": ["198.54.117.244"],
                "urls": ["http://markossolomon.com/f1q7qx.php"],
                "domains": ["nc-img.com"],
                "hashes": ["f31c0889d28c7d713f237a8cea8cfbc5cb4cba63fad767666cce2bbc99746d1a"],
                "certificates": [{
                    "subjectName": "nc-img.com",
                    "validFrom": 1534204800,
                    "validTo": 1565827199,
                    "issuer": "COMODO RSA Domain Validation Secure Server CA"
                }]
            }},
        "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
    }
]

搜尋掃描檔

說明

依網域、IP、自治系統 (AS) 編號、雜湊等屬性，搜尋 urlscan.io 現有掃描結果。這項動作會找出任何人執行的公開掃描，以及您或團隊執行的不公開和私人掃描。

參數

參數名稱 類型 是否為必要項目 預設值 說明
掃描次數上限 整數 否 100 每個實體要傳回的掃描次數。預設值：100，上限：10000 (視訂閱方案而定)。

執行時間

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 檔案名稱
  • 雜湊

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 示例
is_success True/False is_success:False
JSON 結果
{"entity_identifier": "www.unitedneighborsfcu.com",
"entity_results":[
  {
        "indexedAt": "2020-12-09T12:16:43.329Z",
        "task": {
            "visibility": "public",
            "method": "automatic",
            "domain": "www.unitedneighborsfcu.com",
            "time": "2020-12-09T12:16:23.168Z",
            "source": "certstream-suspicious",
            "uuid": "96310829-fed4-4d61-9fb0-39eb2952719f",
            "url": "https://www.unitedneighborsfcu.com"
        },
        "stats": {
            "uniqIPs": 6,
            "consoleMsgs": 0,
            "uniqCountries": 3,
            "dataLength": 1938842,
            "encodedDataLength": 1568193,
            "requests": 28
        },
        "page": {
            "country": "US",
            "server": "Microsoft-IIS/10.0",
            "domain": "www.unitedneighborsfcu.com",
            "ip": "8.21.114.55",
            "mimeType": "text/html",
            "asnname": "LEVEL3, US",
            "asn": "AS3356",
            "url": "https://www.unitedneighborsfcu.com/",
            "status": "200"
        },
        "_id": "96310829-fed4-4d61-9fb0-39eb2952719f",
        "sort": [1607516183168, "96310829-fed4-4d61-9fb0-39eb2952719f"],
        "result": "https://urlscan.io/api/v1/result/96310829-fed4-4d61-9fb0-39eb2952719f/",
        "screenshot": "https://urlscan.io/screenshots/96310829-fed4-4d61-9fb0-39eb2952719f.png"
  }
  ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • 如果找到部分實體的掃描作業 (is_success = true)：print "Successfully listed scans for the following entities:\n".format(entity.identifier)
  • 如果找不到部分實體的掃描結果 (is_success = true)：print "Action wasn't able to list scans for the following entities:\n".format(entity.identifier)
  • 如果找不到所有實體的掃描結果(is_success = false)：請列印「Action wasn't able to list scans for the available entities」。
  • 如果沒有實體：列印「No suitable entities were found in the current scope.

    The action should fail and stop a playbook execution:
    if fatal error, like wrong credentials, no connection to server, other: print "Error executing action "Search for Scans". 原因：{0}''.format(error.Stacktrace)。
 一般
案件總覽表格

標題：「{實體 ID} - 搜尋結果」

欄：

掃描 ID

網址

掃描日期

大小

IPS

不重複國家/地區

國家/地區

掃描類型

 一般
案件總覽連結 標題：「urlscan.io 網頁報表 + (實體 ID)」。urlscan.io 一般
案件總覽附件 內含螢幕截圖。 一般

取得掃描完整詳細資料

說明

依掃描 ID 取得掃描完整詳細資料

參數

參數名稱 類型 是否為必要項目 預設值 說明
掃描 ID 字串 是 不適用 使用掃描作業 ID 取得掃描報告。逗號分隔值。

執行時間

這項操作不會對實體執行。

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果
指令碼結果名稱 價值選項 示例
is_success True/False is_success:False
JSON 結果
['Effective URL'] = response['page']['url']
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • if find some scan ids (is_success = true): print "Successfully fetched results for the following scans: {scan ids}
  • If didn't find some (is_success = true): print "Action wasn't able to fetch results for the following scans: {scan ids}
  • 如果找不到所有結果 (is_success = false)：print "Action wasn't able to fetch results. 提供的掃描 ID 無法透過 urlscan.io 取得。

動作應會失敗並停止執行應對手冊：

  • 如果發生重大錯誤 (例如憑證錯誤、無法連線至伺服器等)：請列印「Error executing action "Get Scan Full Details"」。原因：{0}''.format(error.Stacktrace)
 一般
案件總覽連結 標題：「urlscan.io 網頁報表 + (掃描 ID)」。 一般
案件總覽附件 內含螢幕截圖。 一般

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。