Integra GRR Rapid Response con Google SecOps

En este documento, se explica cómo configurar e integrar GRR Rapid Response con Google Security Operations (Google SecOps).

Versión de integración: 8.0

Parámetros de integración

La integración de GRR Rapid Response requiere los siguientes parámetros:

Parámetro Descripción
API Root

Obligatorio.

Es la URL de un servidor.

El valor predeterminado es https://IP_ADDRESS:8000.
Username

Obligatorio.

Nombre de usuario del servidor de GRR Rapid Response.
Password

Obligatorio.

Es la contraseña del servidor de respuesta rápida de GRR.
Verify SSL

Opcional.

Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de respuesta rápida de GRR.

No está seleccionada de forma predeterminada.

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Compatibilidad con varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Cómo responder a las acciones pendientes desde Tu escritorio y Cómo realizar una acción manual.

Obtén los detalles del cliente

Usa la acción Get Client Details para obtener todos los detalles del cliente.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Client Details requiere los siguientes parámetros:

Parámetro Descripción
Client ID

Obligatorio.

Es el ID del cliente. Este parámetro acepta varios valores como una cadena separada por comas.

Resultados de la acción

La acción Get Client Details proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos Disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Tabla del muro de casos

La acción Get Client Details puede generar la siguiente tabla:

Nombre de la tabla: GRR Clients Details

Columnas de la tabla:

  • Client ID (ID de cliente)
  • Host
  • Versión del SO
  • Etiquetas
  • Tamaño de memoria
  • Versión del cliente
  • Visto por primera vez
  • Visto por última vez
  • Fecha de instalación del SO
Resultado de JSON

En el siguiente ejemplo, se muestra el resultado en formato JSON que se recibe cuando se usa la acción Get Client Details:

[
        {
            "HardwareInfo": {
                "system_product_name": "HVM domU",
                "bios_rom_size": "64 kB",
                "bios_vendor": "Xen",
                "system_sku_number": "Not Specified",
                "system_family": "Not Specified",
                "system_uuid": "UUID",
                "system_manufacturer": "Xen",
                "bios_release_date": "08/24/2006",
                "bios_version": "4.2.amazon",
                "serial_number": "UUID",
                "bios_revision": "4.2"
            },
            "LastClock": 1535907460060247,
            "Interfaces": [
                {
                    "ifname": "lo",
                    "addresses": [
                        {
                            "packed_bytes": "fwAAAQ==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "AAAAAAAAAAAAAAAAAAAAAQ==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                },
                {
                    "ifname": "eth0",
                    "addresses": [
                        {
                            "packed_bytes": "rB8sWw==",
                            "address_type": "INET"
                        },
                        {
                            "packed_bytes": "/oAAAAAAAAAE1kv//h5yfg==",
                            "address_type": "INET6"
                        }
                    ],
                    "mac_address": "MAC_ADDRESS"
                }
            ],
            "OS": {
                "kernel": "4.4.0-1065-aws",
                "install_date": 1534280169000000,
                "system": "Linux",
                "fqdn": "ip-192-0-2-91.example",
                "machine": "x86_64",
                "version": "16.4",
                "release": "Ubuntu"
            },
            "AgentInfo": {
                "client_name": "grr",
                "client_description": "grr linux amd64",
                "client_version": 3232,
                "build_time": "2018-06-28 09:37:57"
            },
            "Labels": [],
            "LastBootedAt": 1535292604000000,
            "FirstSeenAt": 1535293827970976,
            "User": [],
            "Volumes": [
                {
                    "total_allocation_units": 50808745,
                    "bytes_per_sector": 4096,
                    "sectors_per_allocation_unit": 1,
                    "unixvolume": {
                        "mount_point": "/"
                    },
                    "actual_available_allocation_units": 50027766
                }
            ],
            "LastCrashAt": null,
            "LastSeenAt": 1535907460075229,
            "ID": "CLIENT_ID"
        }
]
Mensajes de salida

La acción Get Client Details puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully fetched details for the following clients: CLIENT_ID_LIST.

Could not fetch details for the specified clients. CLIENT_ID does not exist.

La acción se completó correctamente.
Error executing action "Get Client Details". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Get Client Details:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Obtén detalles de la caza

Usa la acción Get Hunt Details para recuperar los detalles de la búsqueda.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Hunt Details requiere los siguientes parámetros:

Parámetro Descripción
Hunt ID

Obligatorio.

Es el ID de una búsqueda que se recuperará. Este parámetro acepta varios valores como una cadena separada por comas.

Resultados de la acción

La acción Get Hunt Details proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos Disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible

La acción Get Hunt Details puede generar el siguiente vínculo:

API_ROOT/#/hunts/HUNT_ID

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Get Hunt Details:

[
        {
            "Name": "ExampleHunt",
            "Expires": 1537063517000000,
            "Description": "test",
            "Creator": "admin",
            "IsRobot": false,
            "Status": "PAUSED",
            "Hunt_ID": "HUNT_ID",
            "Created": 1535853917657925,
            "Start_Time": 1535853917657925,
            "Duration": "2w",
            "Expiration time": " ",
            "Crash_limit": 100,
            "Client_limit": 100,
            "Client_rate (clients/min)": "20.5",
            "Client_Queued": "20.5",
            "Client_Scheduled": "20.5",
            "Client_Outstanding": "20.5",
            "Client_Completed": "20.5",
            "Client_with Results": "20.5",
            "Results": "20.5",
            "Total_CPU_Time_Used": "20.5",
            "Total_Network_Traffic": "20.5",
            "Flow_Name": "KeepAlive",
            "Flow_Arguments": "20.5",
            "Client_Rule_Set": " "
        }
]
Mensajes de salida

La acción Get Hunt Details puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully fetched details for the HUNT_ID hunt.

Could not fetch details for the specified hunts. HUNT_ID does not exist.

 La acción se completó correctamente.
Error executing action "Get Hunt Details". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Get Hunt Details:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Enumera los clientes

Usa la acción List Clients para buscar clientes y comunicarte con ellos.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción List Clients requiere los siguientes parámetros:

Parámetro Descripción
Offset

Opcional.

Es el punto de partida (desplazamiento) para buscar clientes.
Max Results To Return

Opcional.

Es la cantidad máxima de clientes que se devolverán en cada respuesta.

El valor predeterminado es 5.

Resultados de la acción

La acción List Clients proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos Disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Tabla del muro de casos

La acción List Clients puede generar la siguiente tabla:

Nombre de la tabla: Clientes de GRR

Columnas de la tabla:

  • Client ID (ID de cliente)
  • Host
  • Versión del SO
  • Visto por primera vez
  • Versión del cliente
  • Etiquetas
  • Último registro
  • Fecha de instalación del SO
Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción List Clients:

[{
    "Client_ID": "CLIENT_ID",
    "Agent_Info":{
       "Client_Name": "example",
       "Client_Version": 3420}
    "OS_Info":{
       "System": "Linux",
       "Release": "Ubuntu",
       "Architecture": "x86_64",
       "Installation_Time": "2020-04-09 13:44:17 UTC",
       "Kernel": "4.15.0-96-generic",
       "Version": "18.04"}
    "Client_Last_Booted_At": "",
    "Client_First_Seen_At": "2020-09-25 14:26:38 UTC",
    "Client_Last_Seen": "2020-11-19 10:12:52 UTC",
    "Client_Last_Clock": "2020-11-19 10:12:52 UTC",
    "Memory_Size": "985.6MiB",
    "Client_Labels": []
   }]
Mensajes de salida

La acción List Clients puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully listed available clients in GRR.

No clients are available in GRR.

 La acción se completó correctamente.
Error executing action "List Clients". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción List Clients:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Enumera las búsquedas

Usa la acción List Hunts para recuperar información sobre todas las búsquedas disponibles.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción List Hunts requiere los siguientes parámetros:

Parámetro Descripción
Creator

Opcional.

Usuario que creó una búsqueda.
Offset

Opcional.

Es el punto de partida (desplazamiento) para buscar cacerías.
Max Results To Return

Opcional.

Es la cantidad máxima de búsquedas que se devolverán en cada respuesta.

El valor predeterminado es 5.

Resultados de la acción

La acción List Hunts proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos Disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Tabla del muro de casos

La acción List Hunts puede generar la siguiente tabla:

Nombre de la tabla: Hunts

Columnas de la tabla:

  • ID de la búsqueda
  • Estado
  • Hora de creación
  • Hora de inicio
  • Duración
  • Límite de clientes
  • Hora de vencimiento
  • Creador
  • Descripción
Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción List Hunts:

[
    {
        "Hunt_Description": "Interrogate run by cron to keep host info fresh.",
        "Creator": "GRRCron",
        "Is_Robot": false,
        "State": "STARTED",
        "Creation Time": "1605690387510082",
        "Start Time (initial)": "1605690387678448",
        "Start Time (last)": "1605690387678448",
        "Duration": " ",
        "Client Limit": 0,
        "Expiration Time": " ",
        "Hunt_ID": "HUNT_ID",
    }
]
Mensajes de salida

La acción List Hunts puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully listed hunts.

Could not list hunts for the specified creator. CREATOR_ID< does not exist.

Could not list hunts for the specified creator. Please check the Offset value.

 La acción se completó correctamente.
Error executing action "List Hunts". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción List Hunts:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Enumera los flujos lanzados

Usa la acción List Launched Flows para enumerar los flujos que se iniciaron en un cliente especificado.

Esta acción se ejecuta en las siguientes entidades de Google SecOps:

  • IP Address
  • Hostname

Entradas de acción

La acción List Launched Flows requiere los siguientes parámetros:

Parámetro Descripción
Offset

Opcional.

Es el punto de partida (desplazamiento) para buscar flujos.
Max Results To Return

Opcional.

Es la cantidad máxima de flujos que se devolverán en cada respuesta.

El valor predeterminado es 5.

Resultados de la acción

La acción List Launched Flows proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos Disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Tabla del muro de casos

La acción List Launched Flows puede generar la siguiente tabla:

Nombre de la tabla: GRR Launch Flows

Columnas de la tabla:

  • Flow Name
  • ID de flujo
  • Estado
  • Hora de creación
  • Última conexión
  • Creador
Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción List Launched Flows:

{
    "Creator": "admin",
    "NestedFlow": [],
    "LastActiveAt": 1535900632278975,
    "Args": {
        "ARGUMENTS"
    },
    "State": "TERMINATED",
    "StartedAt": 1535900542745106,
    "Flow_ID": "FLOW_ID",
    "Flow_Name": "FLOW_NAME"
}
Mensajes de salida

La acción List Launched Flows puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully listed flows launched on CLIENT_ID client.

Could not list flows. No entities were found.

Could not list flows. IPs or Hosts entities were not found in current scope.

Could not list flows on the following entities: ENTITY_ID.

 La acción se completó correctamente.
Error executing action "List Launched Flows". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción List Launched Flows:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Ping

Usa la acción Ping para probar la conectividad con GRR Rapid Response.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

La acción Ping puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully connected to the GRR server with the provided connection parameters! La acción se completó correctamente.
Failed to connect to the GRR server! Error is ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Comienza la cacería

Usa la acción Start A Hunt para iniciar una búsqueda recién creada. De forma predeterminada, GRR Rapid Response asigna el estado PAUSED a todas las búsquedas nuevas.

La Respuesta Rápida de GRR establece todas las búsquedas que alcanzaron su límite de clientes en el estado PAUSED. Después de quitar el límite de clientes, puedes usar la acción Start A Hunt para reiniciar las búsquedas pausadas.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Start A Hunt requiere los siguientes parámetros:

Parámetro Descripción
Hunt ID

Obligatorio.

ID de la búsqueda que se iniciará. Este parámetro acepta varios valores como una cadena separada por comas.

Resultados de la acción

La acción Start A Hunt proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Start A Hunt:

[{ "Hunt_ID": "HUNT_ID", "State": STARTED}]
Mensajes de salida

La acción Start A Hunt puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully started the following hunts: HUNT_ID_LIST.

Could not start the following hunts. HUNT_ID_LIST could not be found in GRR.

Could not stop the following hunts: HUNT_ID_LIST. Hunt can only be started from PAUSED state.

 La acción se completó correctamente.
Error executing action "Start A Hunt". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Cómo detener una búsqueda

Usa la acción Detener una búsqueda para evitar que los clientes nuevos programen búsquedas y para interrumpir los flujos actuales en el momento en que cambia su estado.

Una vez que detengas una búsqueda, no podrás reanudarla. Esta acción borra todos los resultados actuales que están en curso y no afecta los resultados que ya se informaron.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Detener una búsqueda requiere los siguientes parámetros:

Parámetro Descripción
Hunt ID

Obligatorio.

Es el ID de una búsqueda que se detendrá. Este parámetro acepta varios valores como una cadena separada por comas.

Resultados de la acción

La acción Stop A Hunt proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Detener una búsqueda:

[{ "Hunt_ID": "HUNT_ID", "State": STOPPED}]
Mensajes de salida

La acción Stop A Hunt puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully stopped the following hunts: HUNT_ID_LIST.

Could not stop the following hunts. HUNT_ID_LIST could not be found in GRR.

Could not stop the following hunts: HUNT_ID_LIST. Hunt can only be stopped from STARTED or PAUSED states.

 La acción se completó correctamente.
Error executing action "Stop A Hunt". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Detener una búsqueda:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.