KEDR. Ingress tool transfer

1. Скачайте архив со скриптами по этой ссылке. В архиве вы найдете папку с плейбуками, которая содержит:
   • папку docs, которая содержит файлы с описанием работы плейбуков;
   • папку code, которая содержит файлы JSON с определениями плейбуков;
   • папку scripts, которая содержит скрипты Python, необходимые для выполнения пользовательских действий в плейбуке.
2. Сгенерируйте API-токен для всех методов API в api/v3/kuma.
3. В файле kuma_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
4. Сгенерируйте API-токен с правами на взаимодействие с OpenAPI.
5. В файле xdr_open_api.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR.
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
6. В файле xdr_link_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • user – введите свое имя пользователя;
   • password – введите свой пароль.
7. Скопируйте файлы kuma_events.py, xdr_link_events.py, xdr_open_api.py и requirements.txt в директорию на удаленном клиентском устройстве.

   Директория скриптов по умолчанию – /opt/xdr_scripts. Если вы выберете другую директорию для скриптов, вам нужно изменить значение параметра workdir в поле Входные данные в дополнительных параметрах каждого затронутого шаблона плейбука.

8. На удаленном клиентском устройстве перейдите в директорию, содержащую файл requirements.txt, и выполните следующую команду для установки зависимостей:

   pip install -r requirements.txt

9. Настройте службу удаленного запуска скриптов и SSH-соединение.

.OriginalEvents | any(select(.DevicePayloadID | contains("creation_of_execuatable_or_script_by_certutil") or contains("detect_raccoon_stealer") or contains("downloaded_file_using_aria2_tool") or contains("dropped_fille_via_winrm") or contains("executable_file_downloaded_linux") or contains("ingress_tool_transfer_via_curl") or contains("ingress_tool_transfer_via_microsoft_office_tools") or contains("ingress_tool_transfer_via_msohtmed")))

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"input": "${ {\"workdir\": \"/opt/xdr_scripts\", \"timewindow\": \"86400\"} }",

"executionFlow": [

{

"updateData": {

"filter": "${{susp_event: [alert.OriginalEvents[] | select(.DevicePayloadID | contains(\"creation_of_execuatable_or_script_by_certutil\") or contains(\"detect_raccoon_stealer\") or contains(\"downloaded_file_using_aria2_tool\") or contains(\"dropped_fille_via_winrm\") or contains(\"executable_file_downloaded_linux\") or contains(\"ingress_tool_transfer_via_curl\") or contains(\"ingress_tool_transfer_via_microsoft_office_tools\") or contains(\"ingress_tool_transfer_via_msohtmed\") )][0].BaseEvents[0]}}",

"action": "merge"

}

},

{

"action": {

"function": {

"type": "executeCustomScript",

"params": {

"commandLine": "${ [ \"./kuma_events.py\", \" sql_query\" , \" 'SELECT * FROM `events` WHERE DeviceEventCategory='\\\\''process'\\\\'' AND (DeviceCustomString4 ilike '\\\\''%\", (.susp_event.Extra.DroppedName), \"%'\\\\'' OR DeviceCustomString5 ilike '\\\\''%\", (.susp_event.Extra.DroppedName), \"%'\\\\'') LIMIT 10' \", (.susp_event.Timestamp | tostring), \" \", (.timewindow) ] | add }",

"commandLineParameters": "",

"stdIn": "",

"workingDirectory": "${ .workdir }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

},

"output": {

"filter": "${ {susp_events_with_dropped_file: (.details.stdOut | fromjson)} }",

"action": "merge"

}

}

},

{

"action": {

"function": {

"type": "addCommentToAlert",

"params": {

"text": "${ \"Suspicious dropped file were detected on host \" + (.susp_event.DeviceHostName) + \": \" + .susp_event.Extra.DroppedFullName + \". File should be placed to quarantine.\nAdditionally this file was used within the following processes: \n\"+ ( [ .susp_events_with_dropped_file[] | \"─ user \" + (.DestinationUserName) + \" executed process\n $> \" + (.DeviceCustomString4) + \"\n that launched the following process\n $> \" + (.DeviceCustomString5) ] | join(\"\n\") ) }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID != null}",

"name": "if asset is defined",

"steps": [

{

"action": {

"function": {

"type": "quarantineFile",

"params": {

"path": "${.susp_event.Extra.DroppedFullName}"

},

"assets": "${.susp_event.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

]

}

]

}

}

]

}