Rapid7 InsightIDR

Version de l'intégration : 7.0

Cas d'utilisation

Utilisez les données InsightIDR pour enrichir les alertes Google Security Operations traitées.

Configurer l'intégration de Rapid7 InsightIDR dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Racine de l'API Chaîne https://[region].api.insight.rapid7.com Oui Spécifiez la racine de l'API à utiliser pour la connexion.
Clé API Mot de passe N/A Oui Spécifiez la clé API à utiliser pour la connexion.
Vérifier le protocole SSL Case à cocher Cochée Non Indiquez si le certificat configuré sur la racine de l'API doit être validé.

Actions

Ping

Description

Testez la connectivité au service Rapid7 InsightIDR avec les paramètres fournis sur la page de configuration de l'intégration dans l'onglet "Google Security Operations Marketplace".

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de succès, affichez "Connexion au service Rapid7 InsightIDR établie avec les paramètres de connexion fournis !"

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité, affichez "Échec de la connexion au service Rapid7 InsightIDR ! Error is {0}".format(exception.stacktrace)

 Général

Lister les investigations

Description

Lister les investigations Rapid7 InsightIDR en fonction des paramètres d'entrée d'action spécifiés.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Période Integer 4 Non Spécifiez une période en heures pour laquelle récupérer les résultats.
Limite d'enregistrements Integer 20 Non Spécifiez le nombre d'enregistrements pouvant être renvoyés par l'action.
Inclure les investigations clôturées ? Case à cocher Décochée Non Indiquez si vous souhaitez inclure ou non les investigations clôturées dans les résultats.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "data": [
        {
            "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
            "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
            "status": "OPEN",
            "source": "ALERT",
            "assignee": {
                "name": "Tip Labops",
                "email": "tip.labops@siemplify.co"
            },
            "alerts": [
                {
                    "type": "Malicious Hash On Asset",
                    "type_description": "A malicious hash was found on an asset.",
                    "first_event_time": "2020-12-02T13:16:14.197Z"
                }
            ],
            "created_time": "2020-12-02T13:18:16.758Z"
        },
    ]
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

if successful: print "Rapid7 InsightIDR investigations found"

if is_success=False, for example no investigations were found: print "No investigations were returned."


L'action doit échouer et l'exécution du playbook doit s'arrêter :
en cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité : print "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)

 Général
CSV

Nom de la table : Rapid7 InsightIDR Investigations

Colonnes du tableau :

Titre

État

Source

Personne responsable (Assignee.email)

Alertes (liste CSV des valeurs "type" des alertes)

Heure de création

 Général

Définir l'état de l'enquête

Description

Définissez l'état de l'enquête Rapid7 InsightIDR spécifique.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
ID de l'investigation Chaîne N/A Oui ID de l'enquête pour laquelle mettre à jour l'état. L'ID doit être au format 8ec8e324-4522-4a6e-9838-81496a0cadb0.
État LDD " " Oui Nouvel état de l'investigation.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "CLOSED",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

if successful: print "Rapid7 InsightIDR Investigation {0} status changed to {1}".format(investigation_id, status)

Si is_success=False, par exemple si l'enquête avec l'ID fourni est introuvable : print "Échec de la mise à jour de l'état de l'enquête Rapid7 InsightIDR. Erreur : {0}".format(error from response)


L'action doit échouer et l'exécution du playbook doit s'arrêter :
en cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité : print "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)

 Général

Définir la personne responsable de l'enquête

Description

Définissez le responsable de l'investigation Rapid7 InsightIDR spécifique.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
ID de l'investigation Chaîne N/A Oui ID de l'enquête pour laquelle mettre à jour l'état. L'ID doit être au format 8ec8e324-4522-4a6e-9838-81496a0cadb0.
Adresse e-mail de la personne responsable Chaîne N/A Oui Adresse e-mail de la nouvelle personne responsable de l'enquête.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "id": "8ec8e324-4522-4a6e-9838-81496a0cadb0",
    "title": "Process reported as malicious ran on asset hw-srv2016-rpd7.rapid7.local",
    "status": "OPEN",
    "source": "ALERT",
    "assignee": {
        "name": "Tip Labops",
        "email": "tip.labops@siemplify.co"
    },
    "alerts": [
        {
            "type": "Malicious Hash On Asset",
            "type_description": "A malicious hash was found on an asset.",
            "first_event_time": "2020-12-02T13:16:14.197Z"
        }
    ],
    "created_time": "2020-12-02T13:18:16.758Z"
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

if successful: print "Rapid7 InsightIDR Investigation {0} assignee changed to {1}".format(investigation_id, assignee)

Si is_success=False, par exemple si l'enquête avec l'ID fourni est introuvable : print "Failed to update Rapid7 InsightIDR investigation assignee. Erreur : {0}".format(error from response)


L'action doit échouer et l'exécution du playbook doit s'arrêter :
en cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité : print "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)

 Général

Lister les requêtes enregistrées

Description

Lister les requêtes enregistrées Rapid7 InsightIDR.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Limite d'enregistrements Integer 20 Non Spécifiez le nombre d'enregistrements pouvant être renvoyés par l'action.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "saved_queries": [
        {
            "id": "00000000-0003-71fd-0000-000000000000",
            "name": "test3",
            "leql": {
                "statement": "where(destination_asset = \"hw-srv2016-rpd7.rapid7.local\" AND destination_user = \"administrator\")",
                "during": {
                    "time_range": "Last 1 Hour",
                    "to": null,
                    "from": null
                }
            },
            "logs": [
                "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
                "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
                "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
                "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
                "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
            ]
        },
    ]
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

if successful: print "Requêtes enregistrées Rapid7 InsightIDR trouvées"

if is_success=True, but no saved queries were found: print "No saved queries were returned."


L'action doit échouer et l'exécution du playbook doit s'arrêter :
en cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité : print "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)

 Général
CSV

Nom de la table : requêtes enregistrées Rapid7 InsightIDR

Colonnes du tableau :

ID
Nom

Affirmation

Période

Heure de début

Heure de fin

Journaux

 Général

Créer une requête enregistrée

Description

Crée une requête enregistrée Rapid7 InsightIDR en fonction des paramètres d'entrée d'action spécifiés.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Name Chaîne N/A Oui Nom de la nouvelle requête enregistrée.
Affirmation Chaîne N/A Oui Instruction à exécuter dans la requête. Elle doit suivre la syntaxe LEQL, par exemple : where(foo=bar).
Période Integer 4 Oui Spécifiez une période en heures pour laquelle la requête doit extraire des données.
Journaux Chaîne N/A Non Requête sur les noms de journaux à exécuter. Le paramètre accepte plusieurs valeurs sous forme de chaîne séparée par des virgules.
Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "saved_query": {
        "id": "00000000-0003-7216-0000-000000000000",
        "name": "MySearch4",
        "leql": {
            "statement": "where(bar=foo)",
            "during": {
                "time_range": null,
                "to": 1450557608000,
                "from": 1450557604000
            }
        },
        "logs": [
            "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
            "043584c7-113e-4ffc-a6b8-ea0be1a4f501"
        ]
    }
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

if successful: print "New Rapid7 InsightIDR saved query created: {0}".format(new query id from response)

if is_success=False, for example syntax of query was incorrect: print "Failed to create Rapid7 InsightID saved query. Erreur : {0}".format(error from response)


L'action doit échouer et l'exécution du playbook doit s'arrêter :
en cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité : print "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)

 Général

Supprimer une requête enregistrée

Description

Supprimez la requête enregistrée Rapid7 InsightIDR.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
ID de la requête enregistrée Chaîne N/A Oui ID de la requête enregistrée à supprimer, au format 00000000-0003-7218-0000-000000000000
Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

if successful: print "Rapid7 InsightIDR saved query {0} was deleted successfully".format(query id)

if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. Erreur : {0}".format(error from response)


L'action doit échouer et l'exécution du playbook doit s'arrêter :
en cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité : print "Failed to connect to the Rapid7 InsightIDR service! Error is {0}".format(exception.stacktrace)

 Général

Exécuter une requête enregistrée

Description

Exécutez une requête enregistrée Rapid7 InsightIDR.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
ID de la requête enregistrée Chaîne N/A Oui ID de la requête enregistrée à supprimer, au format 00000000-0003-7218-0000-000000000000

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "logs": [
        "a2ba0890-8ddd-444a-9e15-2dc488f0c398",
        "043584c7-113e-4ffc-a6b8-ea0be1a4f501",
        "3c0fc9f7-a7c4-4ff3-b221-d60d260bab22",
        "9eedf8cd-cf85-4ca3-9ac5-e329b523cc12",
        "3e251f54-71a3-4d19-84dd-b56d8ad8c49c"
    ],
    "events": [
        {
            "sequence_number": 3237167368573841408,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:32.408Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071a3b\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61228\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071432.408008-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573841408?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573841408"
        },
        {
            "sequence_number": 3237167368573845504,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.433Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd071708\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61226\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.433772-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573845504?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573845504"
        },
        {
            "sequence_number": 3237167368573849600,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.430Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716eb\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61225\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.430750-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573849600?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573849600"
        },
        {
            "sequence_number": 3237167368573853696,
            "timestamp": 1607411688338,
            "labels": [],
            "log_id": "3e251f54-71a3-4d19-84dd-b56d8ad8c49c",
            "message": "{\"timestamp\":\"2020-12-08T07:14:31.427Z\",\"source_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"destination_asset\":\"hw-srv2016-rpd7.rapid7.local\",\"source_asset_address\":\"172.30.202.20\",\"destination_asset_address\":\"172.30.202.20\",\"destination_user\":\"administrator\",\"destination_account\":\"administrator\",\"destination_domain\":\"rapid7\",\"destination_account_sid\":\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"logon_type\":\"NETWORK\",\"result\":\"SUCCESS\",\"new_authentication\":\"false\",\"service\":\"ntlmssp\",\"source_json\":{\"eventCode\":4624,\"computerName\":\"HW-SRV2016-RPD7.rapid7.local\",\"insertionStrings\":[\"S-1-0-0\",\"-\",\"-\",\"0x0\",\"S-1-5-21-3325036707-3113295233-4269388844-500\",\"Administrator\",\"RAPID7\",\"0xd0716d1\",\"3\",\"NtLmSsp \",\"NTLM\",\"NEXPOSE\",\"{00000000-0000-0000-0000-000000000000}\",\"-\",\"NTLM V2\",\"128\",\"0x0\",\"-\",\"172.30.202.20\",\"61224\",\"%%1833\",\"-\",\"-\",\"-\",\"%%1843\",\"0x0\",\"%%1842\"],\"timeGenerated\":\"20201208071431.427604-000\"}}",
            "links": [
                {
                    "rel": "Context",
                    "href": "https://eu.api.insight.rapid7.com/log_search/query/context/3237167368573853696?per_page=50&timestamp=1607411688338&log_keys=a2ba0890-8ddd-444a-9e15-2dc488f0c398%3A043584c7-113e-4ffc-a6b8-ea0be1a4f501%3A3c0fc9f7-a7c4-4ff3-b221-d60d260bab22%3A9eedf8cd-cf85-4ca3-9ac5-e329b523cc12%3A3e251f54-71a3-4d19-84dd-b56d8ad8c49c&context_type=SURROUND"
                }
            ],
            "sequence_number_str": "3237167368573853696"
        },
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

if successful: print "Rapid7 InsightIDR saved query {0} executed successfully".format(query id)

if is_success=False, for example wrong query id was provided: print "Failed to delete Rapid7 InsightID saved query. Erreur : {0}".format(error from response)

L'action doit échouer et l'exécution du playbook doit s'arrêter :
en cas d'erreur critique, comme des identifiants incorrects ou une perte de connectivité, affichez "Échec de la connexion au service Rapid7 InsightIDR ! Error is {0}".format(exception.stacktrace)

 Général

Mettre à jour une enquête

Description

Mettez à jour l'enquête dans Rapid7 InsightIDR.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
ID de l'investigation Chaîne N/A Oui Spécifiez l'ID de l'investigation à mettre à jour.
État LDD

Sélectionnez une réponse

Valeurs possibles :

  • Ouvrir
  • En cours d'examen
  • Fermé
 Non Spécifiez l'état de l'investigation.
ID de la requête enregistrée Chaîne

Sélectionnez une réponse

Valeurs possibles :

  • Bénin
  • Malveillant
  • Non applicable
 Non Spécifiez la disposition de l'enquête.
Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "rrn": "rrn:investigation:eu:d16635a5-8a81-410c-8c33-67a4fbf26eb4:investigation:PAQBBKR4941D",
    "organization_id": "d16635a5-8a81-410c-8c33-67a4fbf26eb4",
    "title": "Suspicious Process - Malicious Hash On Asset",
    "source": "ALERT",
    "status": "OPEN",
    "priority": "HIGH",
    "last_accessed": "2022-10-12T13:08:37.650Z",
    "created_time": "2022-10-12T13:08:37.650Z",
    "disposition": "NOT_APPLICABLE",
    "assignee": null,
    "first_alert_time": "2022-10-12T13:08:37.643Z",
    "latest_alert_time": "2022-10-12T13:11:43.018Z"
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution du playbook :

Si les informations renvoyées sont les suivantes (is_success=true) : "L'enquête avec l'ID {investigation id} a bien été mise à jour dans Rapid7 InsightIDR."

L'action doit échouer et arrêter l'exécution du playbook :

Si une erreur critique est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou une autre erreur) : "Erreur lors de l'exécution de l'action "Mettre à jour l'investigation". Raison : {0}''.format(error.Stacktrace)"

Si l'alerte n'est pas trouvée : erreur lors de l'exécution de l'action "Mettre à jour l'investigation". Motif : L'enquête portant l'ID {investigation id} est introuvable dans Rapid7 InsightIDR. Veuillez vérifier l'orthographe."

Si "État" et "Disposition" sont définis sur "Sélectionner" : "Erreur lors de l'exécution de l'action "Mettre à jour l'enquête". Motif : au moins l'un des paramètres "État" ou "Disposition" doit avoir une valeur ."

 Général

Connecteurs

Connecteur Rapid7 InsightIDR - Investigations

Description

Ce connecteur est conçu à l'aide de points de terminaison d'API en version Preview. Extrait des informations sur l'enquête à partir de Rapid7 InsightIDR.

Paramètres du connecteur

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nom du champ de produit Chaîne data_type Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne source Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.

Nom du champ d'environnement

 Chaîne "" Non

Décrit le nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ "environment" (environnement) est introuvable, l'environnement est celui par défaut.

Modèle d'expression régulière de l'environnement

 Chaîne .* Non

Expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout capturer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environnement" à l'aide de la logique des expressions régulières.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur d'environnement est nulle, l'environnement par défaut est utilisé comme résultat final.
Délai avant expiration du script (en secondes) Integer 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne https://{instance}.api.insight.rapid7.com Oui Racine de l'API de l'instance Rapid7 InsightIDR.
Clé API Chaîne N/A Oui Clé API du compte Rapid7 InsightIDR.
Sources CSV ALERT,USER Non Sources utilisées pour récupérer les investigations. Valeurs possibles : "User" et "Alert". Si rien n'est indiqué, le connecteur ingère les investigations des deux sources.
Priorité de récupération la plus basse Chaîne Moyenne Non Priorité la plus faible à utiliser pour récupérer les investigations. Valeurs possibles : "Faible", "Moyenne", "Élevée", "Critique". Si rien n'est spécifié, le connecteur ingère les alertes de tous les niveaux de gravité.
Nombre maximal d'heures en arrière Integer 1 Non Nombre d'heures à partir desquelles récupérer les investigations.
Nombre maximal d'alertes à récupérer Integer 20 Non Nombre d'alertes à traiter par itération de connecteur. Par défaut : 20.
Utiliser une liste dynamique comme liste noire Case à cocher Cochée Oui Si cette option est activée, la liste dynamique est utilisée comme liste noire.
Vérifier le protocole SSL Case à cocher Cochée Oui Si cette option est activée, vérifiez que le certificat SSL pour la connexion au serveur Darktrace est valide.
Adresse du serveur proxy Chaîne N/A Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne N/A Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe N/A Non Mot de passe du proxy pour l'authentification.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec le proxy.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.