Configurar o ThreatGrid Appliance Integrações de terceiros

Introduction

Este documento descreve como configurar e solucionar problemas de integrações de terceiros suportadas com o ThreatGrid Appliance (TGA).

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco ThreatGrid Appliance
• Cisco Umbrella

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Para fornecer informações analíticas adicionais de uma amostra enviada, o Threat Grid Appliance (TGA) integra-se a serviços de terceiros. Esses serviços incluem atualmente VirusTotal e Umbrella Investigate.

Configuração

Tip: Em Operações de cluster TGA, cada nó TGA é configurado individualmente. A falha na configuração de cada nó TGA pode levar a resultados inconsistentes.

Note: Fonte de integrações da interface suja do dispositivo; a interface suja deve estar conectada e ter acesso de saída permitido para operações adequadas. 

Etapa 1.  Faça login na interface Opadmin (Admin) do TGA.

Etapa 2. Navegue até Configuração> Integrações.

Etapa 3. Configure o TGA com as configurações necessárias.

   Virus Total
      URL: http://www.virustotal.com/vtapi/v2/
      Key: (Obtained API key from the Virus Total Website)

   Umbrella/OpenDNS Configuration Details
      Investigate API Key (Obtained from Umbrella Console)

Etapa 4. Depois de configurado, clique em Salvar e clique em Aplicar.

Note: Quando você clica em Salvar, o TGA aplica a configuração e pode ficar indisponível para processar amostras por até 20 minutos. As amostras enviadas são processadas no pedido recebido assim que o procedimento do aplicativo de configuração é concluído.

Verificar

Etapa 1. Envie um exemplo (arquivo ou URL) para revisão.

Etapa 2. Após a conclusão da amostra; Exibir o Relatório de análise de exemplo gerado.

Etapa 3. Navegue até Indicador comportamental.

Etapa 4. A integração bem-sucedida indica a detecção pelo serviço antivírus. Sem a integração do VirusTotal, esta detecção não ocorre. Um exemplo de integração bem-sucedida é mostrado na imagem.

Etapa 1. Envie um exemplo (arquivo ou URL) para revisão.

Etapa 2. Após a conclusão da amostra; Exibir o Relatório de análise de exemplo gerado.

Etapa 3. Navegue até Domínio extraído.

Etapa 4. Selecione um URL.

Etapa 5. A integração bem-sucedida exibe detalhes adicionais do URL selecionado. Um exemplo é mostrado na imagem.

Troubleshoot

Para verificar se a chave API está correta, você pode concluir o procedimento de solução de problemas de qualquer dispositivo que tenha ping e curl instalados.

Tip: Substitua <chave> pela chave API correspondente, conforme obtida na seção de configuração, para uma operação adequada.

TotalVírus

Query Example
curl --request GET --url 'https://www.virustotal.com/vtapi/v2/file/report?apikey= 
      &resource= 
      
        >' 
      

Success Response
{"scans": 
{"Bkav": {"detected": true, "version": "1.3.0.10239", "result": "W32.FamVT.RorenNHc.Trojan", "update": "20190522"}, 
"MicroWorld-eScan": {"detected": true, "version": "14.0.297.0", "result": "Trojan.CryptZ.Gen", "update": "20190522"}, 
"CMC": {"detected": false, "version": "1.1.0.977", "result": null, "update": "20190321"}, 
"CAT-QuickHeal": {"detected": true, "version": "14.00", "result": "Trojan.Swrort.A", "update": "20190522"}, 
"McAfee": {"detected": true, "version": "6.0.6.653", "result": "Swrort.i", "update": "20190522"}, 
"Cylance": {"detected": true, "version": "2.3.1.101", "result": "Unsafe", "update": "20190522"}, 
"VIPRE": {"detected": true, "version": "75204", "result": "Trojan.Win32.Swrort.B (v)", "update": "20190522"}, 
"Qihoo-360": {"detected": true, "version": "1.0.0.1120", "result": "HEUR/QVM20.1.5BD9.Malware.Gen", "update": "20190522"}}, 
"scan_id": "7943e9a19548a94f481f9dfdf448c835789a462ccb6740ebabda901ed5e909a2-1558548981", "sha1": "936c9a7a5c92d2987569f3dbe1a8bddee80e98e7", 
"resource": "7943e9a19548a94f481f9dfdf448c835789a462ccb6740ebabda901ed5e909a2", "response_code": 1, "scan_date": "2019-05-22 18:16:21", 
"permalink": "https://www.virustotal.com/file/7943e9a19548a94f481f9dfdf448c835789a462ccb6740ebabda901ed5e909a2/analysis/1558548981/", 
"verbose_msg": "Scan finished, information embedded", "total": 72, "positives": 50, 
"sha256": "7943e9a19548a94f481f9dfdf448c835789a462ccb6740ebabda901ed5e909a2", "md5": "327684f9c54b2785b7b67510c3aed372"}

Umbrella/OpenDNS

Query Example
curl --interface dirty -H "Authorization: Bearer 
     
     
       " " 
      https://investigate.api.umbrella.com/domains/categorization/ 
       " 
      
 
      
 
     Success Response
{"example.com":{"status":0,"security_categories":[],"content_categories":["54"]}}

Invalid API Key Example
{"error":"unauthorized"}