urlscan.io

Versão da integração: 24.0

Configure o urlscan.io para funcionar com o Google Security Operations

Chave de API

  1. Para obter a chave da API, inicie sessão na sua conta do urlscan.io.

  2. Clique no botão Adicionar chave da API na secção Perfil da página.

  3. Adicione uma descrição da finalidade da chave da API e clique em Criar chave da API.

  4. A sua nova chave da API foi gerada. Certifique-se de que copia a chave da API para a poder adicionar à configuração do Google SecOps para o urlscan.io.

Rede

Função Porta predefinida Direção Protocolo
API Vários valores De saída apikey

Configure a integração do urlscan.io no Google SecOps

Para obter instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Ações

Tchim-tchim

Descrição

Testar conetividade.

Parâmetros

N/A

Exemplos de utilização

N/A

Executar em

Esta ação é executada em todas as entidades.

Resultados da ação

Enriquecimento de entidades
Estatísticas

N/A

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/Falso is_success:False
Resultado JSON
N/A

Verificação de URL

Descrição

Envie um URL para ser analisado e receba os detalhes da análise.

Parâmetros

Nome do parâmetro Tipo É obrigatório Valor predefinido Descrição
Visibilidade

DDL
possible:
public, unlisted, private.

Não pública As análises no urlscan.io têm um de três níveis de visibilidade. Certifique-se de que usa o nível adequado para o seu envio.
Limite número inteiro Não -1 Marcar a entidade como suspeita se a pontuação dos veredictos for igual ou superior ao limite indicado. O valor predefinido é -1. Neste caso, consideramos todos os URLs analisados como suspeitos.
Crie estatísticas Booleano Não Sim Se estiver ativada, a ação cria uma estatística com informações sobre entidades.
Apenas estatísticas suspeitas Booleano Não Não Se estiver ativada, a ação só cria estatísticas para entidades suspeitas. Nota: o parâmetro "Create Insight" tem de estar ativado.
Adicione uma captura de ecrã às estatísticas Booleano Não Não Se estiver ativada, a ação adiciona uma captura de ecrã do Website à estatística, se estiver disponível.

Exemplos de utilização

N/A

Executar em

Esta ação é executada nas seguintes entidades:

  • Endereço IP
  • Domínio
  • URL

Resultados da ação

Enriquecimento de entidades
Nome Chave
real_url tasks/url
visibilidade visibilidade
requests_count len(data/requests)
cookies CSV de dados/cookies/nome
related_links CSV de dados/links/href
main_country página/país
main_domain página/domínio
main_ip page/ip
main_asn page/asnname
main_server página/servidor
related_ips_count len(lists/ips)
related_domains_count len(lists/domains)
related_countries Listas/países CSV
overall_score verdicts/overall/score
categorias verdicts/overall/categories
etiquetas verdicts/overall/tags
malicioso veredictos/geral/malicioso
Estatísticas

N/A

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/Falso is_success:False
Resultado JSON
[
    {
        "EntityResult":
        {
            "task":
            {
                "domURL": "https://urlscan.io/dom/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "screenshotURL": "https://urlscan.io/screenshots/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b.png",
                "uuid": "7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b",
                "url": "http://markossolomon.com/f1q7qx.php",
                "visibility": "public",
                "source": "12a3ddaf",
                "time": "2019-01-31T15:19:55.267Z",
                "reportURL": "https://urlscan.io/result/7e9cb8cb-82ce-4ef7-881a-8958d95fbd1b/",
                "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3396.87 Safari/537.36",
                "method": "api"
            },
            "stats":
            {
                "malicious": 0,
                "uniqCountries": 1,
                "totalLinks": 3,
                "secureRequests": 14,
                "securePercentage": 93,
                "adBlocked": 0,
                "IPv6Percentage": 50
            },
            "page":
            {
                "city": "Los Angeles",
                "domain": "markossolomon.com",
                "asn": "AS22612",
                "url": "http://markossolomon.com/f1q7qx.php",
                "ip": "1.1.1.1",
                "asnname": "NAMECHEAP-NET - Namecheap, Inc., US",
                "server": "nginx",
                "country": "US",
                "ptr": ""
            },
            "lists":
            {
                "linkDomains": ["www.namecheap.com",
                                "ap.www.namecheap.com"],
                "countries": ["US"],
                "asns": ["22612"],
                "servers": ["cloudflare",
                            "nginx"],
                "ips": ["198.54.117.244"],
                "urls": ["http://markossolomon.com/f1q7qx.php"],
                "domains": ["nc-img.com"],
                "hashes": ["f31c0889d28c7d713f237a8cea8cfbc5cb4cba63fad767666cce2bbc99746d1a"],
                "certificates": [{
                    "subjectName": "nc-img.com",
                    "validFrom": 1534204800,
                    "validTo": 1565827199,
                    "issuer": "COMODO RSA Domain Validation Secure Server CA"
                }]
            }},
        "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
    }
]

Pesquise análises

Descrição

Pesquise análises existentes do urlscan.io por atributos como domínios, IPs, números de sistemas autónomos (AS), hashes, etc. A ação encontra análises públicas realizadas por qualquer pessoa, bem como análises não listadas e privadas realizadas por si ou pelas suas equipas.

Parâmetros

Nome do parâmetro Tipo É obrigatório Valor predefinido Descrição
Máximo de análises Número inteiro Não 100 Número de análises a devolver por entidade. Predefinição: 100, máximo: 10 000 (consoante a subscrição).

Executar em

Esta ação é executada nas seguintes entidades:

  • Endereço IP
  • Nomes de anfitriões
  • URLs
  • Nome do ficheiro
  • Hashes

Resultados da ação

Enriquecimento de entidades

N/A

Estatísticas

N/A

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/Falso is_success:False
Resultado JSON
{"entity_identifier": "www.unitedneighborsfcu.com",
"entity_results":[
  {
        "indexedAt": "2020-12-09T12:16:43.329Z",
        "task": {
            "visibility": "public",
            "method": "automatic",
            "domain": "www.unitedneighborsfcu.com",
            "time": "2020-12-09T12:16:23.168Z",
            "source": "certstream-suspicious",
            "uuid": "96310829-fed4-4d61-9fb0-39eb2952719f",
            "url": "https://www.unitedneighborsfcu.com"
        },
        "stats": {
            "uniqIPs": 6,
            "consoleMsgs": 0,
            "uniqCountries": 3,
            "dataLength": 1938842,
            "encodedDataLength": 1568193,
            "requests": 28
        },
        "page": {
            "country": "US",
            "server": "Microsoft-IIS/10.0",
            "domain": "www.unitedneighborsfcu.com",
            "ip": "8.21.114.55",
            "mimeType": "text/html",
            "asnname": "LEVEL3, US",
            "asn": "AS3356",
            "url": "https://www.unitedneighborsfcu.com/",
            "status": "200"
        },
        "_id": "96310829-fed4-4d61-9fb0-39eb2952719f",
        "sort": [1607516183168, "96310829-fed4-4d61-9fb0-39eb2952719f"],
        "result": "https://urlscan.io/api/v1/result/96310829-fed4-4d61-9fb0-39eb2952719f/",
        "screenshot": "https://urlscan.io/screenshots/96310829-fed4-4d61-9fb0-39eb2952719f.png"
  }
  ]
}
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

  • if find scans for some of the entities (is_success = true): print "Successfully listed scans for the following entities:\n".format(entity.identifier)
  • Se não tiver encontrado análises para algumas das entidades (is_success = true): imprima "Não foi possível apresentar as análises para as seguintes entidades:\n".format(entity.identifier)
  • Se não foram encontradas análises para todas as entidades(is_success = false): imprima "Não foi possível apresentar as análises das entidades disponíveis".
  • Se não existirem entidades: imprima "Não foram encontradas entidades adequadas no âmbito atual.

    A ação deve falhar e parar a execução de um playbook:
    se for um erro fatal, como credenciais incorretas, sem ligação ao servidor, entre outros: imprima "Erro ao executar a ação "Pesquisar análises". Motivo: {0}''.format(error.Stacktrace).
 Geral
Tabela de parede da caixa

Título: "{entity identifier} – Resultados da pesquisa"

Colunas:

ID da análise

URL

Data da análise

Tamanho

IPS

Países únicos

País

Tipo de análise

 Geral
Link da capa de parede Título: "Relatório Web do urlscan.io + (ID da entidade). Geral
Fixação à parede da caixa Contém a captura de ecrã. Geral

Obtenha detalhes completos da análise

Descrição

Obtenha os detalhes completos da análise através do ID da análise

Parâmetros

Nome do parâmetro Tipo É obrigatório Valor predefinido Descrição
ID da análise String Sim N/A Obtenha o relatório de análise através do ID da análise. Valores separados por vírgulas.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Enriquecimento de entidades

N/A

Estatísticas

N/A

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/Falso is_success:False
Resultado JSON
['Effective URL'] = response['page']['url']
Case Wall
Tipo de resultado Valor / descrição Tipo
Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

  • if find some scan ids (is_success = true): print "Successfully fetched results for the following scans: {scan ids}
  • If didn't find some (is_success = true): print "Action wasn't able to fetch results for the following scans: {scan ids}
  • If didn't find all (is_success = false): print "Action wasn't able to fetch results. Os IDs de análise fornecidos não estão disponíveis através de urlscan.io"

A ação deve falhar e parar a execução de um guia interativo:

  • Se ocorrer um erro fatal, como credenciais incorretas, sem ligação ao servidor, entre outros: imprima "Erro ao executar a ação "Obter detalhes completos da análise". Motivo: {0}''.format(error.Stacktrace)
 Geral
Link da capa de parede Título: "Relatório Web do urlscan.io + (ID da análise). Geral
Fixação à parede da caixa Contém a captura de ecrã. Geral

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.