将Code42与相扑逻辑集成

Linux cron作业

Windows自动任务

步骤1:创建一个脚本

创建一个脚本(例如，批处理、Powershell或其他脚本)，以执行带有所需参数的Code42 CLI命令。该脚本可以很容易地执行调整或执行复杂(复合)查询。在下面的例子中，使用了run.bat。

复制到剪贴板 复制!

@echo off code42 betway365security-data send-to 172.19.50.70:2014 -f CEF -b 2020-04-27——use-checkpoint example-checkpoint——profile demo_profile code42在这里需要额外的查询

步骤2:创建定时任务

使用任务调度器创建计划任务，以便在需要时重复执行。

1. 从触发器选项卡，创建一个新的触发器。
2. 将触发器设置为运行每天．
   
3. 将触发器设置为复发的每一: 1天。
4. 选择每天重复任务选择一个时间框架。
5. 选择的持续时间:无限期。
6. (可选)选择如果任务运行时间超过: 30分钟。
7. 从行动选项卡，创建执行批处理脚本的操作(例如run.bat)。
   
8. (可选)从设置选项卡上，选择与重复计划匹配的重试和强制停止设置。
   

日志消息示例

{"eventId": "0_c4b5e830-824a-40a3-a6d9-345664cfbb33_941983451917189059_971295845574006661_193"， "eventType": "READ_BY_APP"， "eventTimestamp": "2020-09-09T20:55:47.087Z"， "insertionTimestamp": "2020-09-09T20:57:22.179901Z"， "fieldErrors": []， "filePath": "C:/Users/first. "last/Documents/"， "fileName": "fileName .png"， "fileType": "FILE"， "fileCategory": "IMAGE"， "fileCategoryByBytes": "IMAGE"， "fileCategoryByExtension": "IMAGE"， "fileSize": 4052619， "fileOwner": "first. ""createTimestamp": "2020-02-10T04:38:42Z"， "modifyTimestamp": "2020-02-10T04:38:42Z"， "deviceUserName": "vistor.welch@example.com"， "osHostName": "FIRSTL-WIN10"， "domainName": " FIRSTL-WIN10.example.com"， "publicIpAddress": "XXX.XXX.XX. "XXX"， "privateIpAddresses": ["XXX.XXX. xx . "XXX”、“fe80:0:0:0:1d77: dcdf: c593:1143%eth4”、“0:0:0:0:0:0:0:1”、“127.0.0.1”),”deviceUid”:“941983451917189059”、“userUid”:“902428473202283166”、“演员”:空,“directoryId”:[],“源”:“端点”、“url”:空,“共享”:空,“sharedWith”:[],“sharingTypeAdded”:[],“cloudDriveId”:空,“detectionSourceAlias”:null,”文件标识:空,“曝光”:“ApplicationRead”,“processOwner”:“第一。last"， "processName": "\\Device\ \HarddiskVolume2\\Program Files (x86)\\谷歌\\Chrome\\Application\ \Chrome .exe"， "windowTitle": ["Files - OneDrive -谷歌Chrome"]， "tabUrl": "https://my.sharepoint.com/personal/first_last_onmicrosoft_com/_layouts/15/ OneDrive .exe . "aspx"， "removableMediaVendor": null， "removableMediaName": null， "removableMediaSerialNumber": null， "removableMediaCapacity": null， "removableMediaBusType": null， "removableMediaMediaName": null， "removableMediaMediaName": null， "removableMediaVolumeName": []， "removableMediaPartitionId": []， "syncDestination": null， "syncDestinationUsername": []， "emailDlpPolicyNames": null， "emailSubject": null， "emailSender": null， "emailFrom": null， " email收件人":null， "outsideActiveHours": false， "mimeTypeByBytes":"image/png"， "mimeTypeByExtension": "image/png"， "mimeTypeMismatch": false， "printJobName": null， "printerName": null， "printedFilesBackupPath": null， "remoteActivity": "TRUE"， "trusted": TRUE， "operatingSystemUser": "first.last"}

云曝光

复制到剪贴板 复制!

_sourceCategory = " Code42源”| json“源”SourceType | json“演员”作为用户| json“曝光[0]”ExposureType | json汽车钥匙“eventType”、“fileOwner”、“文件类型”,“文件名”、“sha256Checksum”、“filePath”,“文件大小”、“fileCategory”、“md5Checksum”、“processName”,“processOwner”、“removableMediaSerialNumber”,“removableMediaName”、“removableMediaVendor”,“syncDestination”、“url”,“userUid”| ! (SourceType =“端点”)|算作SourceCount由SourceType | SourceCount排序

端点曝光

复制到剪贴板 复制!

_sourceCategory = " Code42源”| | json“osHostName”端点json“源”SourceType | json“deviceUserName”作为用户| json“曝光[0]”ExposureType | json”privateIpAddresses[0]”作为IPAddress | json汽车钥匙“eventType”、“fileOwner”、“文件类型”,“文件名”、“publicIpAddress”、“sha256Checksum”、“filePath”,“文件大小”,“fileCategory”、“md5Checksum”,“演员”、“processName”、“processOwner”、“removableMediaSerialNumber”,“removableMediaName”、“removableMediaVendor”,"syncDestination"， "url"， "userUid" | where SourceType="Endpoint" | count as exposure by ExposureType | sort by exposure

可移动媒体曝光用户

复制到剪贴板 复制!

_sourceCategory = " Code42源”| = json字段_raw“osHostName”端点| json“源”SourceType | json“deviceUserName”作为用户| json“曝光[0]”ExposureType | json”privateIpAddresses[0]”作为IPAddress | json汽车钥匙“eventType”、“fileOwner”、“文件类型”,“文件名”、“publicIpAddress”、“sha256Checksum”、“filePath”,“文件大小”,“fileCategory”、“md5Checksum”,“演员”、“processName”、“processOwner”、“removableMediaSerialNumber”,“removableMediaName”、“removableMediaVendor”,"syncDestination"， "url"， "userUid" | parse field=User "*@*" as User, UserDomain | timesslice 1d |where ExposureType matches "RemovableMedia" |count by _timesslice, User | transpose row _timesslice column User

位置曝光(地图)

复制到剪贴板 复制!

_sourceCategory="Your Code42 Source Here" | json "osHostName" AS User_endpoint | json " Source " AS source_type | json "deviceUserName" AS UserName | json "exposure[0]" AS exposure_type | json "privateIpAddresses[0]" | json auto keys "eventType"，"fileOwner"，"fileType"，"fileName"，" publicicipaddress "，" sha256Checksum"， "filePath"， "fileSize"，"fileCategory"，"md5Checksum"， "actor"， "processName"， "processOwner"，" removableMediaSerialNumber"， "removableMediaName"， "removableMediaVendor"，"syncDestination"， "url"， "userUid" |查找纬度，经度从地理://位置上的ip= publicicipaddress | json field=_raw "filePath" | if(filePath匹配"*:/*"，子字符串(filePath,0,1)，"")作为driveletter | count(exposure_type)作为纬度，经度|排序

暴露的前10个文件

此指示板包括到Code42控制台的链接，以了解更多详细信息。

复制到剪贴板 复制!

_sourceCategory = " Code42源”| json“文件名”文件| json“md5Checksum”MD5 |如果(isNull (MD5),“NA”,MD5)作为MD5 | urlencode(文件)URLName | tourl (concat (" https://console.us.code42.com/app/ /搜索/搜索/ ? t0 = fileName&q0 = IS&v0 = ", URLName,“t1 = eventTimestamp&q1 = WITHIN_THE_LAST&v1 = P30D”),文件),文件| tourl (concat (" https://console.us.code42.com/app/ /搜索/搜索/ ? t0 = md5Checksum&q0 = IS&v0 = ", MD5,“t1 = eventTimestamp&q1 = WITHIN_THE_LAST&v1 = P30D”),MD5)为MD5 |按文件排序，MD5 |按文件|排序，MD5按文件前10排序

前25个暴露的文件

复制到剪贴板 复制!

_sourceCategory = " Code42源”| | json“osHostName”端点json“源”SourceType | json“deviceUserName”用户| json“文件名”文件| json“曝光[0]”exposure_type | json”privateIpAddresses[0]“| json汽车钥匙“eventType”、“fileOwner”、“文件类型”,“publicIpAddress”、“sha256Checksum”,“filePath”、“文件大小”,“fileCategory”、“md5Checksum”,“演员”、“processName”、“processOwner”、“removableMediaSerialNumber”,“removableMediaName”、“removableMediaVendor”,"syncDestination"， "url"， "userUid" | count as FileCount by File | sort by FileCount | top 25 File by FileCount

按暴露类型分列的前10个终端用户

此指示板包括到Code42控制台的链接，以了解更多详细信息。

复制到剪贴板 复制!

_sourceCategory = " Code42源”| | json“osHostName”端点json“源”SourceType | json“deviceUserName”作为用户| json“曝光[0]”ExposureType | json”privateIpAddresses[0]”作为IPAddress | json汽车钥匙“eventType”、“fileOwner”、“文件类型”,“文件名”、“publicIpAddress”、“sha256Checksum”、“filePath”,“文件大小”,“fileCategory”、“md5Checksum”,“演员”、“processName”、“processOwner”、“removableMediaSerialNumber”,“removableMediaName”、“removableMediaVendor”,"syncDestination"， "url"， "userUid" | urlencode(用户)作为URLName | tourl(concat("https://console.us.code42.com/app/#/forensic-search/search/?t0=deviceUserName&q0=IS&v0="， URLName， "&t1= ExposureType &q1=IS_EITHER&v1%5B0%5D=RemovableMedia&v1%5B1%5D=ApplicationRead&v1%5B2%5D=CloudStorage&v1%5B3%5D=OutsideTrustedDomains&v1%5B4%5D=SharedToDomain&v1%5B5%5D=SharedViaLink&v1%5B6%5D=IsPublic&t2=eventTimestamp&q2=WITHIN_THE_LAST&v2=P30D")，用户)作为用户| count as exposucount by ExposureType，用户|按暴露类型排序|前10用户，暴露类型按暴露类型排序

曝光类型前10名云用户

此指示板包括到Code42控制台的链接，以了解更多详细信息。

复制到剪贴板 复制!

_sourceCategory="Your Code42 Source Here" | json " Source " AS SourceType | json "actor" AS User | json "exposure[0]" AS ExposureType | json auto keys "eventType"，"fileOwner"，"fileType"，"fileName"，"sha256Checksum"， "filePath"， "fileSize"，"fileCategory"，"md5Checksum"， "actor"， "processName"， "processOwner"，" removableMediaSerialNumber"， "removableMediaName"， "removableMediaVendor"， "syncDestination"， "url"，“userUid”| urlencode(用户)URLName | tourl (concat (" https://console.us.code42.com/app/ /搜索/搜索/ ? t0 = actor&q0 = IS&v0 = ", URLName,“t1 = exposureType&q1 = EXISTS&v1 % 5 b0 % 5 d = IsPublic&v1 % b1 % 5 d = SharedViaLink&v1 % 5 b2 % 5 d = SharedToDomain&v1 % 5 b3 % 5 d = OutsideTrustedDomains&v1 % 5 b4 % 5 d = RemovableMedia&v1 % 5 b5 % 5 d = ApplicationRead&v1 % 5 b6 % 5 d = CloudStorage&t2 = eventTimestamp&q2 = WITHIN_THE_LAST&v2 = P30D”),用户)用户| ! (source_type =“端点”)|算作ExposureCount ExposureType,用户|按暴露类型排序|前10用户，暴露类型按暴露类型排序

恶意md5

这个仪表板将存在于Code42设备上的MD5哈希值与Crowdstrike的妥协指标(IOC)列表进行比较，只有在找到匹配时才显示结果。它还包括到Code42控制台的链接，以了解更多详细信息。有关更多信息，请参见Sumo Logic文档．

复制到剪贴板 复制!

_sourceCategory = " Code42源”| json“md5Checksum”MD5 |如果(isNull (MD5),“NA”,MD5)作为MD5 |查询类型,演员,原始,threatlevel malicious_confidence从相扑:/ / / cs威胁威胁= MD5 | tourl (concat (" https://console.us.code42.com/app/ /搜索/搜索/ ? t0 = md5Checksum&q0 = IS&v0 = ", MD5,“t1 = eventTimestamp&q1 = WITHIN_THE_LAST&v1 = P30D”),MD5)如MD5 |类型=“hash_md5”和malicious_confidence =“高”|算作MD5Count MD5