ReversingLabs A1000
ReversingLabs A1000 Malware Analysis Appliance integriert die automatisierte Statische Analysetechnologie ReversingLabs TitanCore und die TitanCloud File Reputation Service-Datenbank. Die REST Services-APIs ermöglichen Analysten eingabebeispiele, zugriff auf entpackte Dateien und zeigen extrahierte proaktive Bedrohungsindikatoren an. Die Plattform führt eine eingehende statische Analyse eines umfassenden Arrays von Dateitypen durch, darunter Windows, Linux, Mac OS, iOS, Android, E-Mail-Anlagen, Dokumente und Firmware.
Dieser Connector ist in den folgenden Produkten und Regionen verfügbar:
| Dienstleistung | Class | Regions |
|---|---|---|
| Logik-Apps | Norm | Alle Logik-Apps-Regionen mit Ausnahme der folgenden Bereiche: – Azure Government-Regionen - Azure China-Regionen - US Department of Defense (DoD) |
| Kontakt | |
|---|---|
| Name | ReversingLabs-Unterstützung |
| URL | https://support.reversinglabs.com/ |
| support@reversinglabs.com |
| Connectormetadaten | |
|---|---|
| Herausgeber | ReversingLabs |
| Webseite | https://www.reversinglabs.com/ |
| Datenschutzrichtlinie | https://www.reversinglabs.com/privacy-policy |
| Kategorien | Sicherheit |
Mit diesem Connector können Benutzer von ReversingLabs A1000 auf die API-Funktionen der Appliance zugreifen. Aktionen wie das Übermitteln einer Datei für die Analyse, das Abrufen von Ergebnissen und das Überprüfen des Rufs einer Datei werden unterstützt. Weitere Informationen zur API finden Sie in der A1000-Benutzerhandbuch auf der Weboberfläche der Appliance.
Voraussetzungen
Um diesen Connector verwenden zu können, muss eine A1000 vorhanden sein, die über die Cloud erreichbar ist, die URL der A1000-Appliance und einen A1000-API-Schlüssel.
So erhalten Sie Anmeldeinformationen
Die Authentifizierung an der A1000-API wird mit einem API-Schlüssel ausgeführt. Dieser Schlüssel kann von Benutzern mit administratorbasiertem Zugriff auf die Webschnittstelle der Appliance konfiguriert werden. Informationen zum Erstellen eines API-Schlüssels finden Sie in der Hilfedatei in der Web-GUI-Schnittstelle der A1000.
Erste Schritte mit Ihrem Connector
Um mit dem A1000-Connector zu beginnen, beginnen Sie mit der Konfiguration einer neuen Verbindung. Die Connectorkonfiguration fragt nach einem Verbindungsnamen und einem API-Schlüsselwert. Stellen Sie sicher, dass Sie den API-Schlüsselwert im Format Token <apikey>eingeben, wobei <apikey> es sich um das tatsächliche API-Token handelt.
Wählen Sie nach dem Konfigurieren der API-Verbindung aus den verfügbaren Aktionen aus, und stellen Sie die erforderlichen Eingaben bereit.
Häufige Fehler und Abhilfemaßnahmen
- 403-Fehler: "Authentifizierungsanmeldeinformationen wurden nicht bereitgestellt."
- Stellen Sie sicher, dass Sie die API-Verbindung mit dem oben genannten Format konfiguriert haben.
Häufig gestellte Fragen
F1: Wie lange sollte ich auf die Ergebnisse einer Datei warten, die ich zur Analyse übermittelt habe?
- A1. Die Verarbeitungszeit variiert je nach Auslastung der Appliance, Größe und Komplexität der Datei. Es empfiehlt sich, eine Schleife zu erstellen, die in den Ruhezustand wechselt und den Status überprüft.
F2: Wo finde ich Dokumentation zur A1000-API oder einem anderen A1000-Thema?
- A2. Vollständige Produktdokumentation ist auf der A1000-Schnittstelle verfügbar. Nachdem Sie sich bei der Weboberfläche angemeldet haben, klicken Sie in der oberen rechten Ecke auf das Hilfemenü. Schnittstelle. Nachdem Sie sich bei der Weboberfläche angemeldet haben, klicken Sie in der oberen rechten Ecke auf das Hilfemenü.
Erstellen einer Verbindung
Der Connector unterstützt die folgenden Authentifizierungstypen:
| Vorgabe | Parameter zum Erstellen einer Verbindung. | Alle Regionen | Nicht teilbar |
Vorgabe
Anwendbar: Alle Regionen
Parameter zum Erstellen einer Verbindung.
Dies ist keine freigabefähige Verbindung. Wenn die Power-App für einen anderen Benutzer freigegeben wird, wird ein anderer Benutzer aufgefordert, eine neue Verbindung explizit zu erstellen.
| Name | Typ | Description | Erforderlich |
|---|---|---|---|
| Token | securestring | Ihr A1000-Token | Richtig |
| A1000-Host-URL | Schnur | A1000-Host-URL (Beispiel: https://a1000.reversinglabs.com). Wenn nicht angegeben, wird die Host-URL standardmäßig auf https://a1000.reversinglabs.com. |
Drosselungsgrenzwerte
| Name | Aufrufe | Verlängerungszeitraum |
|---|---|---|
| API-Aufrufe pro Verbindung | 100 | 60 Sekunden |
Aktionen
| Abrufen der Klassifizierung für ein Beispiel |
Abrufen des Klassifizierungsstatus für ein Beispiel. |
| Abrufen der YaRA-Regelsatzsynchronisierungszeit |
Informationen zum aktuellen Synchronisierungsstatus für TitanCloud-fähige Regelsätze. |
| Abrufen des detaillierten Analyseberichts |
Rufen Sie einen detaillierten Analysebericht für lokale Beispiele ab. |
| Abrufen des dynamischen Analyseberichts |
Erstellen und herunterladen Sie einen PDF- oder HTLM-Bericht für Beispiele, die die dynamische Analyse in der ReversingLabs Cloud Sandbox durchlaufen haben. |
| Abrufen des Inhalts eines YARA-Regelsets |
Rufen Sie den vollständigen Inhalt des angeforderten Regelsets im Unformat text/nur-Format ab. |
| Abrufen des statischen Analyseberichts |
Abrufen von TitanCore-Analyseergebnissen für eine lokale Probe. |
| Abrufen des Verarbeitungsstatus für Dateien |
Überprüfen Sie den Status der übermittelten Dateien. |
| Abrufen des Verarbeitungsstatus für URL-s |
Überprüfen Sie den Status der übermittelten URL-s. |
| Abrufen einer Liste von Dateien aus der IP-Adresse |
Stellt eine Liste der Hashes und Klassifizierungen für Dateien bereit, die auf der übermittelten IP-Adresse gefunden wurden. |
| Abrufen einer Liste von YARA-Regelsätzen |
Dient zum Abrufen einer Liste von YARA-Regelsätzen, die sich auf der A1000-Appliance befinden. |
| Abrufen eines Zusammenfassungsanalyseberichts |
Dient zum Abrufen eines Zusammenfassungsanalyseberichts für lokale Beispiele. |
| Abrufen von Benutzertags für ein Beispiel |
Listet vorhandene Tags für das angeforderte Beispiel auf, falls vorhanden. |
| Abrufen von Informationen für eine Domäne |
Gibt Die Netzwerk-Bedrohungserkennung über die bereitgestellte Domäne zurück. |
| Abrufen von Informationen für eine IP-Adresse |
Gibt Die Netzwerk-Bedrohungserkennung über die bereitgestellte IP-Adresse zurück. |
| Abrufen von Informationen für eine URL |
Gibt die Netzwerk-Bedrohungserkennung über die bereitgestellte URL zurück. |
| Abrufen von IP-Adressauflösungen |
Stellt eine Liste von IP-zu-Domänen-Zuordnungen bereit. |
| Abrufen von URL-S, die auf der IP-Adresse gehostet werden |
Gibt eine Liste von URLs zurück, die auf der übermittelten IP-Adresse gehostet werden. |
| Abrufen von YARA-Übereinstimmungen für angegebene Regelsätze |
Rufen Sie die Liste der YARA-Übereinstimmungen (sowohl lokal als auch cloud) für angeforderte Regelets ab. |
| Aktivieren oder Deaktivieren eines YARA-Regelsets |
Aktiviert ein zuvor deaktiviertes YARA-Regelet oder deaktiviert ein aktuell aktiviertes YARA-Regelet. |
| Auflisten von Containern für jeden angeforderten Hash |
Rufen Sie eine Liste aller Container auf oberster Ebene ab, aus denen das angeforderte Beispiel während der Analyse extrahiert wurde. |
| Erstellen oder Aktualisieren eines YARA-Regelsets |
Erstellt ein neues YARA-Regelset, wenn es nicht vorhanden ist. Wenn bereits ein Regelsatz mit dem angegebenen Namen vorhanden ist, wird eine neue Überarbeitung (Aktualisierung) des Regelets erstellt. |
| Erstellen von Benutzertags für ein Beispiel |
Fügt dem angeforderten Beispiel eine oder mehrere Benutzertags hinzu, unabhängig davon, ob das Beispiel bereits Tags enthält. |
| Erweiterte Suche ausführen |
Suchen Sie anhand der Erweiterten Suchfunktionen nach Beispielen, die auf der lokalen A1000-Instanz und TitanCloud verfügbar sind. |
| Festlegen der Klassifizierung für ein Beispiel |
Legen Sie die Klassifizierung einer Stichprobe fest. |
| Festlegen der Synchronisierungszeit für YARA-Regelsätze |
Ändern Sie die TitanCloud-Synchronisierungszeit für TitanCloud-fähige YARA-Regeln. |
| Herunterladen von Aus einem lokalen Beispiel extrahierten Dateien |
Laden Sie Aus dem angeforderten Beispiel extrahierte Dateien in den lokalen Speicher herunter. |
| Löschen der Klassifizierung für ein Beispiel |
Löschen Sie die Klassifizierung eines Beispiels. |
| Löschen eines Beispiels |
Löschen eines Beispiels aus A1000. |
| Löschen eines YARA-Regelsets |
Löschen Sie das angegebene YARA-Regelet und die zugehörigen Übereinstimmungen aus der Appliance. |
| Löschen von Benutzertags aus einem Beispiel |
Entfernt ein oder mehrere Benutzertags aus dem angeforderten Beispiel. |
| Neuananalysieren mehrerer Beispiele |
Reanalysieren Sie mehrere Beispiele mit ausgewählten Diensten. |
| PDF-Bericht erstellen |
Erstellen Sie einen PDF-Beispielanalysebericht. |
| PDF-Bericht herunterladen |
Laden Sie den generierten PDF-Analysebericht herunter. |
| Starten oder Beenden eines lokalen YARA-Retro-Scans |
Ermöglicht Es Benutzern, den lokalen Retro-Scan auf der A1000-Appliance zu initiieren und den lokalen Retro-Scan zu beenden, der in der Appliance ausgeführt wird. |
| Verwalten von YARA Cloud Retro-Scans |
Starten und beenden Sie einen Cloud Retro-Scan für ein bestimmtes Regelet in der A1000-Appliance sowie, um alle Cloud Retro-Ergebnisse für das Regelset zu löschen. |
| YARA Cloud Retro-Status |
Überprüfen Sie den Status von Cloud Retro für das angegebene YARA-Regelet. |
| Übermitteln eines Beispiels für die Analyse |
Senden Sie ein Beispiel für die Analyse aus einem lokalen Verzeichnis oder aus einer URL. |
| Überprüfen des Status der PDF-Berichterstellung |
Überprüfen Sie den Erstellungsstatus eines angeforderten PDF-Berichts. |
| Überprüfen des YARA Retro-Status auf der Appliance |
Überprüfen Sie den Status der lokalen Retro auf der A1000-Appliance. |
Abrufen der Klassifizierung für ein Beispiel
Abrufen des Klassifizierungsstatus für ein Beispiel.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwert
|
hash_value | True | string |
Hashzeichenfolge |
|
Lokal
|
localonly | integer |
Bei Festlegung auf 1 sucht die Anforderung nur nach lokalen Beispielen auf der Appliance. |
|
|
AV-Scanner
|
av_scanners | integer |
Schließen Sie Zusammenfassungsinformationen zu AV-Scannern in die Antwort ein. |
Abrufen der YaRA-Regelsatzsynchronisierungszeit
Informationen zum aktuellen Synchronisierungsstatus für TitanCloud-fähige Regelsätze.
Abrufen des detaillierten Analyseberichts
Rufen Sie einen detaillierten Analysebericht für lokale Beispiele ab.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
hash_values
|
hash_values | True | array of string |
hash_values |
|
fields
|
fields | array of string |
Felder, die im Bericht zurückgegeben werden. In der A1000-API-Dokumentation finden Sie die unterstützten Werte im Parameter "fields". |
|
|
skip_reanalysis
|
skip_reanalysis | string |
Zeichenfolgen in Kleinbuchstaben vom Typ Boolean |
Abrufen des dynamischen Analyseberichts
Erstellen und herunterladen Sie einen PDF- oder HTLM-Bericht für Beispiele, die die dynamische Analyse in der ReversingLabs Cloud Sandbox durchlaufen haben.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwert
|
hash_value | True | string |
Der Hashwert muss eine SHA-1-Zeichenfolge sein. |
|
Format
|
format | True | string |
Analyseberichtsformat |
|
Endpunkt
|
endpoint | True | string |
Wählen Sie einen Vorgangstyp aus. |
Abrufen des Inhalts eines YARA-Regelsets
Rufen Sie den vollständigen Inhalt des angeforderten Regelsets im Unformat text/nur-Format ab.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Name
|
name | True | string |
Name des abzurufenden YARA-Regelsets. |
Abrufen des statischen Analyseberichts
Abrufen von TitanCore-Analyseergebnissen für eine lokale Probe.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwert
|
hash_value | True | string |
Hashzeichenfolge |
|
Felder
|
fields | array |
Felder, die im Bericht zurückgegeben werden. In der A1000-API-Dokumentation finden Sie die unterstützten Werte im Parameter "fields". |
Abrufen des Verarbeitungsstatus für Dateien
Überprüfen Sie den Status der übermittelten Dateien.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Der Status
|
status | string |
Filtern sie Hashes nach ihrem Status. In der Dokumentation finden Sie verfügbare Werte. |
|
|
hash_values
|
hash_values | True | array of string |
hash_values |
Abrufen des Verarbeitungsstatus für URL-s
Überprüfen Sie den Status der übermittelten URL-s.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Id
|
ID | True | integer |
Identifikationsnummer der URL-Übermittlungsaufgabe. |
Abrufen einer Liste von Dateien aus der IP-Adresse
Stellt eine Liste der Hashes und Klassifizierungen für Dateien bereit, die auf der übermittelten IP-Adresse gefunden wurden.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Ip
|
ip | True | string |
IP-Adresszeichenfolge |
|
Seite
|
page | string |
SHA1-Hash der nächsten Seite mit Ergebnissen, |
|
|
Seitenformat
|
page_size | integer |
Ergebnisse pro Seite |
|
|
Erweitert
|
extended | boolean |
Fügen Sie zusätzliche Informationen zu heruntergeladenen Dateien hinzu. |
|
|
Klassifizierung
|
classification | string |
Nur Beispiele mit dieser Klassifizierung zurückgeben |
Abrufen einer Liste von YARA-Regelsätzen
Dient zum Abrufen einer Liste von YARA-Regelsätzen, die sich auf der A1000-Appliance befinden.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Typ
|
type | string |
In der Antwort werden nur die Regelets zurückgegeben, die dem angegebenen Typ entsprechen. Unterstützte Werte: my, user, system, all |
|
|
Der Status
|
status | string |
Nur die Regelsätze, die dem angegebenen Status entsprechen, werden in der Antwort zurückgegeben. Unterstützte Werte: alle, Fehler, aktiv, deaktiviert, ausstehend, ungültig, gedeckelt |
|
|
Source
|
source | string |
In der Antwort werden nur die Regelets zurückgegeben, die der angegebenen Quelle entsprechen. Unterstützte Werte: alle, lokal, Cloud |
|
|
Seite
|
page | integer |
Seitenmarkierung. Dieser Parameter kann nicht ohne page_size verwendet werden. |
|
|
Seitengröße
|
page_size | integer |
Anzahl der Ergebnisse pro Seite. Dieser Parameter kann nicht ohne Seite verwendet werden. |
Abrufen eines Zusammenfassungsanalyseberichts
Dient zum Abrufen eines Zusammenfassungsanalyseberichts für lokale Beispiele.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
hash_values
|
hash_values | True | array of string |
hash_values |
|
fields
|
fields | array of string |
In der A1000-API-Dokumentation finden Sie die unterstützten Werte im Parameter "fields". Wenn der Parameter "include_networkthreatintelligence" auf "true" festgelegt ist, müssen "networkthreatintelligence" und "domainthreatintelligence" in den Parameter "fields" aufgenommen werden. |
|
|
include_networkthreatintelligence
|
include_networkthreatintelligence | string |
Boolescher Wert mit kleingeschriebener Zeichenfolge. In der A1000-API-Dokumentation finden Sie die unterstützten Werte im Parameter "fields". Wenn der Parameter "include_networkthreatintelligence" auf "true" festgelegt ist, müssen "networkthreatintelligence" und "domainthreatintelligence" in den Parameter "fields" aufgenommen werden. |
|
|
skip_reanalysis
|
skip_reanalysis | string |
Boolescher Wert mit kleingeschriebener Zeichenfolge. |
Abrufen von Benutzertags für ein Beispiel
Listet vorhandene Tags für das angeforderte Beispiel auf, falls vorhanden.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Beispielhash
|
sample_hash | True | string |
Hash des Beispiels, für das der Benutzer vorhandene Benutzertags auflisten möchte. |
Abrufen von Informationen für eine Domäne
Gibt Die Netzwerk-Bedrohungserkennung über die bereitgestellte Domäne zurück.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Domäne
|
domain | True | string |
Domänenzeichenfolge |
Abrufen von Informationen für eine IP-Adresse
Gibt Die Netzwerk-Bedrohungserkennung über die bereitgestellte IP-Adresse zurück.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Ip
|
ip | True | string |
IP-Adresszeichenfolge |
Abrufen von Informationen für eine URL
Gibt die Netzwerk-Bedrohungserkennung über die bereitgestellte URL zurück.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
URL
|
url | True | string |
URL-Zeichenfolge |
Abrufen von IP-Adressauflösungen
Stellt eine Liste von IP-zu-Domänen-Zuordnungen bereit.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Ip
|
ip | True | string |
IP-Adresszeichenfolge |
|
Seite
|
page | string |
SHA1-Hash der nächsten Seite der Ergebnisse. |
|
|
Seitenformat
|
page_size | integer |
Ergebnisse pro Seite |
Abrufen von URL-S, die auf der IP-Adresse gehostet werden
Gibt eine Liste von URLs zurück, die auf der übermittelten IP-Adresse gehostet werden.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Ip
|
ip | True | string |
IP-Adresszeichenfolge |
|
Seite
|
page | string |
SHA1-Hash der nächsten Seite der Ergebnisse. |
|
|
Seitenformat
|
page_size | integer |
Ergebnisse pro Seite |
Abrufen von YARA-Übereinstimmungen für angegebene Regelsätze
Rufen Sie die Liste der YARA-Übereinstimmungen (sowohl lokal als auch cloud) für angeforderte Regelets ab.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Name
|
name | True | string |
Name des YARA-Regelsets, für das Übereinstimmungen abgerufen werden sollen. |
|
Seite
|
page | integer |
Seitenmarkierung. Dieser Parameter kann nicht ohne page_size verwendet werden. |
|
|
Seitengröße
|
page_size | integer |
Anzahl der Ergebnisse pro Seite. Dieser Parameter kann nicht ohne Seite verwendet werden. |
Aktivieren oder Deaktivieren eines YARA-Regelsets
Aktiviert ein zuvor deaktiviertes YARA-Regelet oder deaktiviert ein aktuell aktiviertes YARA-Regelet.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Aktivieren oder Deaktivieren
|
enable | disable | True | string |
Gibt an, ob das angegebene Regelset aktiviert oder deaktiviert werden soll. Optionen sind: aktivieren, deaktivieren |
|
Name
|
name | True | string |
Name des Regelsets, das aktiviert/deaktiviert werden soll. |
|
Publish
|
publish | boolean |
Bestimmt, ob die Regelsatzaktion mit anderen Appliances im selben C1000-Cluster synchronisiert werden soll. |
Auflisten von Containern für jeden angeforderten Hash
Rufen Sie eine Liste aller Container auf oberster Ebene ab, aus denen das angeforderte Beispiel während der Analyse extrahiert wurde.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwerte
|
hash_values | True | array |
Eine Liste mit mindestens einem Hashwert, für den containerhashes der obersten Ebene abgerufen werden sollen. |
Erstellen oder Aktualisieren eines YARA-Regelsets
Erstellt ein neues YARA-Regelset, wenn es nicht vorhanden ist. Wenn bereits ein Regelsatz mit dem angegebenen Namen vorhanden ist, wird eine neue Überarbeitung (Aktualisierung) des Regelets erstellt.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Name
|
name | True | string |
Name des zu erstellenden oder aktualisierenden Regelsets |
|
Inhalt
|
content | True | string |
Inhalt des zu erstellenden oder aktualisierenden Regelsets. |
|
Publish
|
publish | boolean |
Bestimmt, ob das Regelset mit anderen Appliances im selben C1000-Cluster synchronisiert werden soll. |
|
|
TiCloud
|
ticloud | boolean |
Bestimmt, ob das Regelset mit TitanCloud synchronisiert werden soll oder nicht. |
Erstellen von Benutzertags für ein Beispiel
Fügt dem angeforderten Beispiel eine oder mehrere Benutzertags hinzu, unabhängig davon, ob das Beispiel bereits Tags enthält.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Beispielhash
|
sample_hash | True | string |
Hash des Beispiels, dem der Benutzer ein oder mehrere Benutzertags hinzufügen möchte. |
|
tags
|
tags | True | array of string |
tags |
Erweiterte Suche ausführen
Suchen Sie anhand der Erweiterten Suchfunktionen nach Beispielen, die auf der lokalen A1000-Instanz und TitanCloud verfügbar sind.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Anfrage
|
query | string |
Anfrage |
|
|
Seite
|
page | integer |
Seitennummer. |
|
|
records_per_page
|
records_per_page | integer |
records_per_page |
|
|
sort
|
sort | string |
Sortierkriterien. |
Festlegen der Klassifizierung für ein Beispiel
Legen Sie die Klassifizierung einer Stichprobe fest.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwert
|
hash_value | True | string |
Hashwert. |
|
System
|
system | True | string |
"local" oder "ticloud". |
|
Klassifizierung
|
classification | True | string |
Klassifizierung des Beispiels - Goodware, verdächtige oder böswillige |
|
Risikobewertung
|
risk_score | string |
Wenn angegeben, muss sie innerhalb des Bereichs für die angegebene Klassifizierung liegen. Wenn nicht angegeben, wird ein Standardwert verwendet: Goodware: 0, verdächtig: 6, böswillig: 10 |
|
|
Bedrohungsplattform
|
threat_platform | string |
Definieren Sie die Bedrohungsplattform. |
|
|
Bedrohungstyp
|
threat_type | string |
Definieren Sie den Bedrohungstyp. |
|
|
Bedrohungsname
|
threat_name | string |
Definieren Sie den Namen der Bedrohung. |
Festlegen der Synchronisierungszeit für YARA-Regelsätze
Ändern Sie die TitanCloud-Synchronisierungszeit für TitanCloud-fähige YARA-Regeln.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Uhrzeit
|
time | True | string |
Datum und Uhrzeit der YARA TitanCloud-Synchronisierung. Format sollte UTC (JJJJ-MM-DD hh:mm:ss) oder Unix-Epochenzeit als Anzahl von Sekunden seit 1970-01-01-01 sein |
Herunterladen von Aus einem lokalen Beispiel extrahierten Dateien
Laden Sie Aus dem angeforderten Beispiel extrahierte Dateien in den lokalen Speicher herunter.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwert
|
hash_value | True | string |
Hash des Beispiels, für das die extrahierten Dateien heruntergeladen werden sollen. |
Löschen der Klassifizierung für ein Beispiel
Löschen Sie die Klassifizierung eines Beispiels.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwert
|
hash_value | True | string |
Hashwert. |
|
System
|
system | True | string |
"local" oder "ticloud". |
Löschen eines Beispiels
Löschen eines Beispiels aus A1000.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hashwert
|
hash_value | True | string |
Hash des Beispiels, das aus der Appliance gelöscht werden soll. |
Löschen eines YARA-Regelsets
Löschen Sie das angegebene YARA-Regelet und die zugehörigen Übereinstimmungen aus der Appliance.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Name
|
name | True | string |
Name des zu löschenden Regelsets. |
|
Publish
|
publish | boolean |
Bestimmt, ob das Löschen des Regelsets mit anderen Appliances im selben C1000-Cluster synchronisiert werden soll. |
Löschen von Benutzertags aus einem Beispiel
Entfernt ein oder mehrere Benutzertags aus dem angeforderten Beispiel.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Beispielhash
|
sample_hash | True | string |
Hash des Beispiels, aus dem der Benutzer ein oder mehrere Benutzertags entfernen möchte. |
|
tags
|
tags | True | array of string |
tags |
Neuananalysieren mehrerer Beispiele
Reanalysieren Sie mehrere Beispiele mit ausgewählten Diensten.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Analyse
|
analysis | True | string |
Analysetypen, für die die angeforderten Stichproben in die Warteschlange gestellt werden sollen. Wenn Sie mehrere Werte angeben, sollten sie durch Trennzeichen getrennt sein. Unterstützte Werte: Assemblyline, Cloud, Kern, Cape, cisco_secure_malware_analytics, Kuckoo, Feueraugen, Joe, rl_dynamic_analysis, vmray_tcbase |
|
Hashwert
|
hash_value | True | array |
Hashes der Stichprobe(n), die neuanalysiert werden sollen. |
|
RL-Cloud-Sandkastenplattform
|
rl_cloud_sandbox_platform | string |
Die Plattform, die beim Ausführen des Beispiels in der RL Cloud Sandbox verwendet werden soll. Unterstützte Werte: windows7, windows10, windows11, macos_11, ubuntu_20 |
PDF-Bericht erstellen
Erstellen Sie einen PDF-Beispielanalysebericht.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hash
|
hash | True | string |
Hashzeichenfolge |
PDF-Bericht herunterladen
Laden Sie den generierten PDF-Analysebericht herunter.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hash
|
hash | True | string |
Hashzeichenfolge |
Starten oder Beenden eines lokalen YARA-Retro-Scans
Ermöglicht Es Benutzern, den lokalen Retro-Scan auf der A1000-Appliance zu initiieren und den lokalen Retro-Scan zu beenden, der in der Appliance ausgeführt wird.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Operation
|
operation | True | string |
Name des auszuführenden Vorgangs für den lokalen YARA-Retro-Scan. Akzeptierte Werte: START, STOP |
Verwalten von YARA Cloud Retro-Scans
Starten und beenden Sie einen Cloud Retro-Scan für ein bestimmtes Regelet in der A1000-Appliance sowie, um alle Cloud Retro-Ergebnisse für das Regelset zu löschen.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Regelsatzname
|
ruleset_name | True | string |
Name des YARA-Regelsets, auf dem der Cloud Retro-Scan ausgeführt werden soll. |
|
Operation
|
operation | True | string |
Name des auszuführenden Vorgangs für YARA Cloud Retro Scan. Akzeptierte Werte: START, STOP, CLEAR |
YARA Cloud Retro-Status
Überprüfen Sie den Status von Cloud Retro für das angegebene YARA-Regelet.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Regelsatzname
|
ruleset_name | True | string |
Name des Regelsets |
Übermitteln eines Beispiels für die Analyse
Senden Sie ein Beispiel für die Analyse aus einem lokalen Verzeichnis oder aus einer URL.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Datei
|
file | file |
Senden Sie ein Beispiel aus einer Datei. Erforderlich, aber sich gegenseitig ausschließend mit dem Parameter "url". |
|
|
URL
|
url | string |
Senden sie ein Beispiel aus einer URL. Erforderlich, aber sich gegenseitig ausschließend mit dem Parameter "file". |
|
|
Dateiname
|
filename | string |
Benutzerdefinierter Dateiname. Funktioniert nur mit dem Parameter "file". |
|
|
Analyse
|
analysis | string |
Wählen Sie den Analysetyp aus. |
|
|
Stichwörter
|
tags | string |
Legen Sie benutzerdefinierte Tags fest. Funktioniert nur mit dem Parameter "file". |
|
|
Kommentar
|
comment | string |
Legen Sie einen benutzerdefinierten Kommentar fest. Funktioniert nur mit dem Parameter "file". |
|
|
Kriechtier
|
crawler | string |
Wählen Sie einen Crawlertyp aus. Funktioniert nur mit dem Parameter "url". |
|
|
Archivkennwort
|
archive_password | string |
Kennwort für ein Archiv. |
|
|
RL Cloud Sandbox Platform
|
rl_cloud_sandbox_platform | string |
Cloud-Sandkastenplattform. |
Überprüfen des Status der PDF-Berichterstellung
Überprüfen Sie den Erstellungsstatus eines angeforderten PDF-Berichts.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Hash
|
hash | True | string |
Hashzeichenfolge |
Überprüfen des YARA Retro-Status auf der Appliance
Überprüfen Sie den Status der lokalen Retro auf der A1000-Appliance.