Integra GRR Rapid Response con Google SecOps

Questo documento spiega come configurare e integrare GRR Rapid Response con Google Security Operations.

Casi d'uso

L'integrazione di GRR Rapid Response utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

• Raccolta forense degli endpoint: attiva automaticamente i flussi forensi per raccogliere file, chiavi di registro e artefatti di memoria dagli endpoint remoti durante un'indagine.

• Ricerca rapida delle minacce: cerca file o hash specifici in tutti i client gestiti per identificare l'ambito di una compromissione.

• Arricchimento dei metadati del client: recupera informazioni dettagliate sul client, tra cui versione del sistema operativo, specifiche hardware e configurazione di rete, per fornire il contesto per gli avvisi di sicurezza.

• Risposta automatica agli incidenti: utilizza i playbook per elencare i client attivi o cercare artefatti sospetti immediatamente dopo il rilevamento di attività dannose.

Prima di iniziare

Prima di configurare l'integrazione in Google SecOps, verifica che l'ambiente GRR Rapid Response soddisfi i seguenti requisiti:

• Credenziali API: devi disporre di un nome utente e una password validi per un account utente con accesso API al server GRR.

• Autorizzazioni account: assicurati che l'account utilizzato per l'integrazione disponga di autorizzazioni sufficienti per avviare i flussi e cercare artefatti nei client di destinazione.

• Configurazione del server: identifica la radice dell'API del tuo server GRR (ad esempio, https://<grr-server-address>:8000).

• Accesso alla rete: assicurati che la configurazione di rete consenta connessioni HTTPS in uscita dal tuo ambiente Google SecOps all'endpoint dell'API GRR.

Parametri di integrazione

L'integrazione di GRR Rapid Response richiede i seguenti parametri:

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per ulteriori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania e Eseguire un'azione manuale.

Recupera i dettagli del client

Utilizza l'azione Recupera dettagli cliente per recuperare i dettagli completi del cliente.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Ottieni dettagli cliente richiede i seguenti parametri:

Output azione

L'azione Ottieni dettagli cliente fornisce i seguenti output:

Tabella della bacheca casi

L'azione Ottieni dettagli cliente può generare la seguente tabella:

Nome tabella: GRR Clients Details

Colonne della tabella:

• ID client
• Organizzatore
• Versione del sistema operativo
• Etichette
• Dimensioni memoria
• Versione client
• Prima visualizzazione
• Ultimo accesso
• Data di installazione del sistema operativo

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Ottieni dettagli cliente:

[
        {
            "HardwareInfo": {
                "system_product_name": "HVM domU",
                "bios_rom_size": "64 kB",
                "bios_vendor": "Xen",
                "system_sku_number": "Not Specified",
                "system_family": "Not Specified",
                "system_uuid": "UUID",
                "system_manufacturer": "Xen",
                "bios_release_date": "08/24/2006",
                "bios_version": "4.2.amazon",
                "serial_number": "UUID",
                "bios_revision": "4.2"
            },
            "LastClock": 1535907460060247,
            "Interfaces": [
                {
                    "ifname": "lo",
                    "addresses": [
                        {
                            "packed_bytes": "fwAAAQ==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "AAAAAAAAAAAAAAAAAAAAAQ==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                },
                {
                    "ifname": "eth0",
                    "addresses": [
                        {
                            "packed_bytes": "rB8sWw==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "/oAAAAAAAAAE1kv//h5yfg==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                }
            ],
            "OS": {
                "kernel": "4.4.0-1065-aws",
                "install_date": 1534280169000000,
                "system": "Linux",
                "fqdn": "ip-192-0-2-91.example",
                "machine": "x86_64",
                "version": "16.4",
                "release": "Ubuntu"
            },
            "AgentInfo": {
                "client_name": "grr",
                "client_description": "grr linux amd64",
                "client_version": 3232,
                "build_time": "2018-06-28 09:37:57"
            },
            "Labels": [],
            "LastBootedAt": 1535292604000000,
            "FirstSeenAt": 1535293827970976,
            "User": [],
            "Volumes": [
                {
                    "total_allocation_units": 50808745,
                    "bytes_per_sector": 4096,
                    "sectors_per_allocation_unit": 1,
                    "unixvolume": {
                        "mount_point": "/"
                    },
                    "actual_available_allocation_units": 50027766
                }
            ],
            "LastCrashAt": null,
            "LastSeenAt": 1535907460075229,
            "ID": "CLIENT_ID"
        }
]

Messaggi di output

L'azione Ottieni dettagli cliente può restituire i seguenti messaggi di output:

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni dettagli cliente:

Visualizzare i dettagli della ricerca

Utilizza l'azione Ottieni dettagli ricerca per recuperare i dettagli della ricerca.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Recupera dettagli ricerca richiede i seguenti parametri:

Output azione

L'azione Ottieni dettagli ricerca fornisce i seguenti output:

Link alla bacheca casi

L'azione Ottieni dettagli caccia può generare il seguente link:

API_ROOT/#/hunts/HUNT_ID

Risultato JSON

Il seguente esempio mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Get Hunt Details:

[
        {
            "Name": "ExampleHunt",
            "Expires": 1537063517000000,
            "Description": "test",
            "Creator": "admin",
            "IsRobot": false,
            "Status": "PAUSED",
            "Hunt_ID": "HUNT_ID",
            "Created": 1535853917657925,
            "Start_Time": 1535853917657925,
            "Duration": "2w",
            "Expiration time": " ",
            "Crash_limit": 100,
            "Client_limit": 100,
            "Client_rate (clients/min)": "20.5",
            "Client_Queued": "20.5",
            "Client_Scheduled": "20.5",
            "Client_Outstanding": "20.5",
            "Client_Completed": "20.5",
            "Client_with Results": "20.5",
            "Results": "20.5",
            "Total_CPU_Time_Used": "20.5",
            "Total_Network_Traffic": "20.5",
            "Flow_Name": "KeepAlive",
            "Flow_Arguments": "20.5",
            "Client_Rule_Set": " "
        }
]

Messaggi di output

L'azione Ottieni dettagli della caccia può restituire i seguenti messaggi di output:

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni dettagli ricerca:

List Clients

Utilizza l'azione Elenca clienti per cercare i clienti e interagire con loro.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Elenca clienti richiede i seguenti parametri:

Output azione

L'azione Elenca clienti fornisce i seguenti output:

Tabella della bacheca casi

L'azione Elenca clienti può generare la seguente tabella:

Nome tabella: GRR Clients

Colonne della tabella:

• ID client
• Organizzatore
• Versione del sistema operativo
• Prima visualizzazione
• Versione client
• Etichette
• Ultima registrazione
• Data di installazione del sistema operativo

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Elenca clienti:

[{
    "Client_ID": "CLIENT_ID",
    "Agent_Info":{
       "Client_Name": "example",
       "Client_Version": 3420}
    "OS_Info":{
       "System": "Linux",
       "Release": "Ubuntu",
       "Architecture": "x86_64",
       "Installation_Time": "2020-04-09 13:44:17 UTC",
       "Kernel": "4.15.0-96-generic",
       "Version": "18.04"}
    "Client_Last_Booted_At": "",
    "Client_First_Seen_At": "2020-09-25 14:26:38 UTC",
    "Client_Last_Seen": "2020-11-19 10:12:52 UTC",
    "Client_Last_Clock": "2020-11-19 10:12:52 UTC",
    "Memory_Size": "985.6MiB",
    "Client_Labels": []
   }]

Messaggi di output

L'azione Elenca clienti può restituire i seguenti messaggi di output:

Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Elenca clienti:

Elenco delle ricerche

Utilizza l'azione Elenca cacce per recuperare informazioni su tutte le cacce disponibili.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Elenca ricerche richiede i seguenti parametri:

Output azione

L'azione Elenca ricerche fornisce i seguenti output:

Tabella della bacheca casi

L'azione Elenca ricerche può generare la seguente tabella:

Nome tabella: Hunts

Colonne della tabella:

• ID caccia
• Stato
• Ora creazione
• Ora di inizio
• Durata
• Limite client
• Ora di scadenza
• Creator
• Descrizione

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione List Hunts:

[
    {
        "Hunt_Description": "Interrogate run by cron to keep host info fresh.",
        "Creator": "GRRCron",
        "Is_Robot": false,
        "State": "STARTED",
        "Creation Time": "1605690387510082",
        "Start Time (initial)": "1605690387678448",
        "Start Time (last)": "1605690387678448",
        "Duration": " ",
        "Client Limit": 0,
        "Expiration Time": " ",
        "Hunt_ID": "HUNT_ID",
    }
]

Messaggi di output

L'azione Elenca ricerche può restituire i seguenti messaggi di output:

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Elenca ricerche:

Elenco flussi avviati

Utilizza l'azione List Launched Flows (Elenca flussi avviati) per elencare i flussi avviati su un client specificato.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Hostname

Input azione

L'azione Elenca flussi avviati richiede i seguenti parametri:

Output azione

L'azione Elenca flussi avviati fornisce i seguenti output:

Tabella della bacheca casi

L'azione Elenca flussi avviati può generare la seguente tabella:

Nome tabella: GRR Launch Flows

Colonne della tabella:

• Nome flusso
• ID flusso
• Stato
• Ora creazione
• Ultima attività
• Creator

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Elenca flussi avviati:

{
    "Creator": "admin",
    "NestedFlow": [],
    "LastActiveAt": 1535900632278975,
    "Args": {
        "ARGUMENTS"
    },
    "State": "TERMINATED",
    "StartedAt": 1535900542745106,
    "Flow_ID": "FLOW_ID",
    "Flow_Name": "FLOW_NAME"
}

Messaggi di output

L'azione Elenca flussi avviati può restituire i seguenti messaggi di output:

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Elenca flussi avviati:

Dindin

Utilizza l'azione Ping per testare la connettività a GRR Rapid Response.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ping:

Inizia una caccia

Utilizza l'azione Avvia una caccia per avviare una caccia appena creata. Per impostazione predefinita, GRR Rapid Response assegna lo stato PAUSED a tutte le nuove ricerche.

La risposta rapida GRR imposta tutte le ricerche che hanno raggiunto il limite del client sullo stato PAUSED. Dopo aver rimosso il limite client, puoi utilizzare l'azione Avvia una caccia per riavviare le ricerche in pausa.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Avvia una ricerca richiede i seguenti parametri:

Output azione

L'azione Avvia una ricerca fornisce i seguenti output:

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Avvia una caccia:

[{ "Hunt_ID": "HUNT_ID", "State": STARTED}]

Messaggi di output

L'azione Avvia una caccia può restituire i seguenti messaggi di output:

Interrompere una ricerca

Utilizza l'azione Interrompi una ricerca per impedire ai nuovi clienti di pianificare e interrompere i flussi attuali nel momento in cui il loro stato cambia.

Una volta interrotta una caccia, non puoi riprenderla. Questa azione elimina tutti i risultati correnti in corso e non influisce sui risultati già segnalati.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Interrompi una ricerca richiede i seguenti parametri:

Output azione

L'azione Interrompi una ricerca fornisce i seguenti output:

Risultato JSON

Il seguente esempio mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Interrompi una ricerca:

[{ "Hunt_ID": "HUNT_ID", "State": STOPPED}]

Messaggi di output

L'azione Interrompi una caccia può restituire i seguenti messaggi di output:

Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando si utilizza l'azione Interrompi una ricerca:

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.