ホーム>プログラミング関連>その他のソースコード
ダウンロード

ファントム

出版社：Splunk
コネクタバージョン：3.7.1
製品ベンダー：ファントム
製品名：ファントム
製品バージョンサポート（Regex）： "。*"
最小製品バージョン：6.2.1

このアプリは、アクションとしてさまざまなファントムAPIを公開します

Auth_Token Configパラメーターは、Phantomインスタンスで使用するためです。トークンとユーザー名/パスワードの両方が指定されている場合、ユーザー名とパスワードを使用して、Phantomインスタンスに認証されます。

使用されているIP（または名前）は、リモートPhantomインスタンスのRESTアセット構成の許可されたIPと一致する必要があることに注意してください。

Phantom_server構成パラメーターが現在のPhantomインスタンス、つまりアプリが使用されているPhantomサーバーに設定されている場合、Asset構成ではverify_certifificateをfalsに設定する必要があります。

承認トークンを取得する方法については、Phantom RESTの概要ドキュメントにおける承認トークンのプロビジョニングを参照してください。

phantom_server構成パラメーターで提供される値が0.0.0.0の場合、テスト接続は正常に通過し、アクションは現在のPhantomインスタンス、つまりアプリが使用されているサーバーで実行されます。

Phantomインスタンスの有効なHTTPS証明書を作成および検証する方法については、KB第7条およびKB第16条を参照してください。

セキュリティ上の理由から、127.0.0.1へのアクセスは許可されていません。

NRIインスタンスの場合、デバイスIP/ホスト名構成パラメーターもポート番号を指定する必要があります。 （例：xxxx：9999）

プレイブック後方互換性

  • 既存のアクションパラメーターは、以下のアクションで変更されています。したがって、対応するアクションブロックを再挿入するか、これらのアクションパラメーターに適切な値を提供して、アプリの以前のバージョンで作成されたプレイブックの正しい機能を確保することにより、既存のプレイブックを更新することがエンドユーザーに要求されます。

    • 更新リスト-Row_Values_AS_LISTパラメーターは、コンマ分離された新しい値からJSONフォーマットされた新しい値のリストに変更されました。これにより、ユーザーはコンマ（ '、'）文字を含む値を提供できます。同じことの例は、例の値で更新されています。

    • ADD ARTIFACT -CONTINE PARAMETER、文字列（またはコンマ区切りの文字列のリスト）またはJSON Dictionaryを使用できます。CEF_Dictionaryのキーと一致するキーと、可能性のある値はCEFフィールドに含まれます。 contingパラメーターが文字列（またはcomma分離された文字列のリスト）である場合、提供された値はCEF_NAMEパラメーターにマッピングされます。
      出力データパス、 action_result.summary.artifact id and action_result.summary.container idは、それぞれaction_result.artifact_idおよびaction_result.summary.container_idに置き換えられています。

    • artifacts -action_result.summary.artifacts datapathが見つかったことを見つけました。

    • listitem -action_result.summary.found matches datapathは、 action_result.summary.found_matchesに置き換えられました。

    • Artifactタグの更新 - 次の出力データパスが追加されました。

      • action_result.summary.tags_added
      • action_result.summary.tags_already_absent
      • action_result.summary.tags_already_present
      • action_result.summary.tags_removed

    • Artifactの更新 - このアクションのアクションパラメーターが変更されました。新しいパラメーターに従って既存のプレイブックを更新してください。以下は、追加されたパラメーターのリストです。

      • 名前：アーティファクト名（常に上書き、提供されている場合）
      • ラベル：アーティファクトラベル（常に上書き、提供されている場合）
      • 重大度：アーティファクトの重大度（提供されている場合は常に上書き）
      • CEF_TYPES_JSON：CEFタイプのJSON形式（eg、{'myip'：['ip'、 'ipv6']}）
      • タグ：アーティファクトに追加または交換するためのタグのコンマ分離されたリスト
      • 上書き：提供された入力でアーティファクトを上書きします（適用：CEF_JSON、contains_json、タグ）
      • artifact_json：アーティファクト全体のjson形式（常に上書きされたキー）

      詳細については、更新アーティファクトセクションを確認してください。

ポート情報

このアプリは、Phantomサーバーと通信するためにHTTP/ HTTPSプロトコルを使用します。以下は、Splunk Soarが使用するデフォルトのポートです。

サービス名輸送プロトコルポート
http TCP 80
https TCP 443

既知の問題

  • Find ListItemアクションはリストを取得できません。リスト名には、フォワードスラッシュ（ '/'）文字が含まれています。
  • add listitemアクションでは、リスト名にフォワードスラッシュ（ '/'）文字が含まれるリストを更新できません。
  • Find Artifactsアクションは、CEF_Valueにバックスラッシュ（ ''）文字がある場合の場合、期待に従って機能しません。これは、正確な一致と非除外マッチの両方で発生します。
  • Find Artifactsアクションは、ファントムバージョン4.8.23319に、CEF値にUnicode文字が含まれているアーティファクトを取得できません。アクションは、Phantomバージョン4.5.15922で正常に機能します。

構成変数

このコネクタが動作するには、以下の構成変数が必要です。これらの変数は、SOARでPhantomアセットを構成するときに指定されています。

変数必須タイプ説明
phantom_server必須弦Phantom IPまたはHOSTNAME（例えば10.1.1.10またはvalid_phantom_hostname）
auth_tokenオプションパスワードPhantom Authトークン
ユーザー名オプション弦ユーザー名（HTTP Basic Auth用）
パスワードオプションパスワードパスワード（HTTP基本認証用）
verify_certificateオプションブールHTTPS証明書を確認する（デフォルト：false）
deflate_item_extensionsオプション弦指定された拡張機能（コンマセパート）を持つファイルのみが収縮します。空白の場合、ファイル拡張子はチェックされません

サポートされているアクション

テスト接続 - 接続のアセット構成を検証します
Artifactの更新-Phantomアーティファクトを提供された入力で更新または上書きします
メモを追加 - コンテナにメモを追加します
Artifactタグを更新 - アーティファクトからタグを追加/削除します
アーティファクトを見つける - CEF値を含むアーティファクトを見つけます
listitem -add値カスタムリストに追加します
listitem-カスタムリストで値を見つける
アーティファクトを追加 - コンテナに新しいアーティファクトを追加します
デフレートアイテム - 金庫からアイテムを収縮させます
エクスポートコンテナ - 構成されたファントムアセットにローカルコンテナをエクスポートする
輸入コンテナ - 外部ファントムインスタンスからコンテナを輸入する
コンテナの作成 - ファントムインスタンスで新しいコンテナを作成します
アクション結果を取得 - 以前に実行されるアクションの結果を見つける
更新リスト - リストを更新します
opなし - 指定された秒数を待ちます

アクション：「接続性のテスト」

接続のためにアセット構成を検証します

タイプ：テスト
読む唯一： true

アクションパラメーター

このアクションにはパラメーターは必要ありません

アクション出力

出力なし

アクション：「アーティファクトを更新」

提供された入力でPhantomアーティファクトを更新または上書きします

タイプ：ジェネリック
読み取りのみ： false

上書きします

デフォルトでは、このアクションは、「上書き」が有効になっていない限り、「CEF_JSON」、「CEF_TYPES_JSON」、および「タグ」を追加または更新します。その場合、これらのパラメーターは、そのアーティファクトに含まれるものの現在のバージョン全体を置き換えます。

オプションのフィールド

すべては必要ありませんが、アクションを実行するには、次のオプションパラメーターの少なくとも1つを提供する必要があります。
パラメーター例
名前アーティファクト名
ラベルartifact_label
重大度高い
CEF_JSON {"key1"： "value1"、 "gooddomain"： "www.splunk.com"、 "remove_me"： ""}
CEF_TYPES_JSON {"gooddomain"：["domain"]}
タグtag1、tag3または["tag2"、 "tag4"]]
artifact_json {"source_data_identifier"： "myticket1234"、 "label"： "new_label"}

アーティファクトJSON

アーティファクトJSONは、ファントムアーティファクトのより高度な側面に使用する必要があります。特にアーティファクトに関するPhantom Rest APIドキュメントを参照してください。

アクションパラメーター

パラメーター必須説明タイプ含む
artifact_id必須更新するアーティファクトのID弦phantom artifact id
名前オプションアーティファクト名（提供されている場合は常に上書き）弦
ラベルオプションアーティファクトラベル（提供されている場合は常に上書き）弦
重大度オプションアーティファクトの重大度（提供されている場合は常に上書き）弦
CEF_JSONオプションアーティファクトで必要なCEFフィールドのJSON形式弦
CEF_TYPES_JSONオプションCEFタイプのJSON形式（eg、{'myip'：['ip'、 'ipv6']}））弦
タグオプションアーティファクトに追加または交換するためのタグの分離されたリスト弦
上書きしますオプション提供された入力でアーティファクトを上書きします（適用：CEF_JSON、contains_json、タグ）ブール
artifact_jsonオプションアーティファクト全体のJSON形式（常に上書きされたキー）弦

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.artifact_id弦phantom artifact id 2388
action_result.parameter.artifact_json弦{"severity"： "high"、 "label"： "test label"、 "description"： "artifact add by me"、 "source_data_identifier"： "my_custom_sdi"}
action_result.parameter.cef_json弦{"new_field"： "new_value"、 "deleted_field"： ""}
action_result.parameter.cef_types_json弦{"new_field"：["new contains"]}
Action_result.parameter.label弦テストラベル
action_result.parameter.name弦新しい名前
action_result.parameter.overwriteブール真の偽
action_result.parameter.severity弦高い
action_result.parameter.tags弦["tag2"]
action_result.data弦
action_result.data弦new_value
action_result.data。*。要求ed_artifact.cef.test弦fff
Action_result.data弦新しいcontains
action_result.data。*。要求ed_artifact.description弦私が追加したアーティファクト
action_result.data。*。要求ed_artifact.label弦テストラベル
action_result.data。*。requested_artifact.name弦新しい名前
action_result.data。*。要求ed_artifact.severity弦高い
action_result.data弦my_custom_sdi
action_result.data。*。requested_artifact.tags弦タグ2
action_result.data。*。respons.id数値2388
action_result.data。*。respons.successブール真の偽
Action_Result.Summary弦
action_result.message弦アーティファクトは正常に更新されました。
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「メモを追加」

コンテナにメモを追加します

タイプ：ジェネリック
読み取りのみ： false

container_idパラメーターが空のままになっている場合、現在のコンテナのID（アクションが実行されている場所から）に初期化され、それに応じてステータスが反映されます。コンテナがケースの場合、 Phase_IDパラメーターを提供して、メモを特定のフェーズに関連付けることができます。

アクションパラメーター

パラメーター必須説明タイプ含む
タイトル必須メモのタイトル弦
コンテンツオプションコンテンツに注意してください弦
container_idオプションコンテナID（デフォルトは現在のコンテナになります）数値phantom container id
phase_idオプションフェーズメモは関連付けられます弦

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.container_id数値phantom container id 35
action_result.parameter.content弦アプリアクションを介してメモを追加します
Action_result.parameter.phase_id弦
action_result.parameter.title弦テストに注意してください
action_result.data弦
Action_Result.Summary弦
action_result.message弦作成されたメモ
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「アーティファクトタグを更新」

アーティファクトからタグを追加/削除します

タイプ：ジェネリック
読み取りのみ： false

アクションパラメーター

パラメーター必須説明タイプ含む
artifact_id必須アーティファクトID弦phantom artifact id
add_tagsオプションアーティファクトに追加するタグのコンマ区切りリスト弦
remove_tagsオプションアーティファクトから削除するためのタグのコンマ区切りリスト弦

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
Action_result.parameter.add_tags弦tag1、tag3
action_result.parameter.artifact_id弦phantom artifact id 94
action_result.parameter.remove_tags弦tag2、tag4
action_result.data弦
action_result.summary.tags_added弦タグ1
action_result.summary.tags_already_absent弦タグ4
action_result.summary.tags_already_present弦タグ3
action_result.summary.tags_removed弦タグ2
action_result.message弦タグ追加：tag1、タグ削除：tag2、タグ既に存在するタグ、タグはすでに存在しない：tag4
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「アーティファクトを見つける」

CEF値を含むアーティファクトを見つけます

タイプ：調査
読む唯一： true

limit_searchパラメーターがtrueに設定されている場合、アクションは、提供されたcontainer_idsのみの必要なアーティファクトを検索します。それ以外の場合、 container_idsパラメーターは無視されます。

container_idsパラメーターに非整数値が提供されている場合、すべての非整数値が削除され、パラメーターがそれに応じて更新されます。 container_idsパラメーターの値が現在の場合、現在のコンテナのID（アクションが実行されている）に置き換えられ、それに応じてステータスが反映されます。

exact_matchパラメーターがfalseに設定されている場合、アクションは、値パラメーターがCEF値のいずれかのサブストリングであるすべてのアーティファクトを返します。それ以外の場合は、CEF値のいずれかが値パラメーターと正確に一致するアーティファクトを返します。

整数、float、または文字列の値については、 exact_matchパラメーターをfalseに設定することをお勧めします。

デフォルトでは、10個のアーティファクトが返されます。 10個以上のアーティファクトを返したい場合は、 max_resultsパラメーターを更新します。

アクションパラメーター

パラメーター必須説明タイプ含む
CEF_KEYオプションクエリをしているCEF DICTのキー：ACT、APP、ApplicationProtoCol、BaseeVentcount、Bytesinなど。弦
値必須アーティファクトでこの値を見つけます弦*
exact_matchオプション正確な一致（デフォルト：真）ブール
limit_searchオプション指定されたコンテナへの検索を制限する（デフォルト：false）ブール
container_idsオプションスペースまたはコンマ分離コンテナIDのリスト。 「現在」という言葉は現在のコンテナIDに置き換えられます弦
max_resultsオプション返すアーティファクトの最大数数値

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
Action_result.parameter.cef_key弦ACT App ApplicationProtocol
Action_result.parameter.container_ids弦現在
action_result.parameter.exact_matchブール真の偽
action_result.parameter.limit_searchブール真の偽
action_result.parameter.values弦* test_value
action_result.data。*。コンテナ数値1234
action_result.data。*。container_name弦phantom_test
action_result.data。*弦test_key
action_result.data。*。id数値12345
action_result.data。*。マッチング弦test_value
action_result.data。*。名前弦artifact_demo
action_result.summary.artifacts_found数値1
Action_result.summary.server弦https://10.1.1.10
action_result.message弦発見されたアーティファクト：1、サーバー：https：//10.1.1.10
summary.otal_objects数値1
summary.otal_objects_successful数値1
action_result.parameter.max_results数値2

アクション：「ListItemを追加」

カスタムリストに値を追加します

タイプ：ジェネリック
読み取りのみ： false

リストに単一の値を含む行を追加するだけで、値を渡すだけです。ただし、複数の値を連続して渡すには、JSONアレイ（["item1"、 "item2"、 "item3"）のように形成されます。

リストが既に存在する場合、アクションはリストを更新します（作成パラメーターがtrueに設定されている場合でも）。

このアクションを通じてリストを作成または更新した後、同じリストがUIから更新された場合、ユーザーはこのアクションを介してリストを更新する前にそれらの変更を保存する必要があります。

アクションパラメーター

パラメーター必須説明タイプ含む
リスト必須カスタムリストの名前またはID弦
new_row必須新しい行（文字列またはJSONリスト）弦*
作成するオプション存在しない場合はリストを作成します（デフォルト：false）ブール

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.createブール真の偽
action_result.parameter.list弦demo_list
action_result.parameter.new_row弦* ["value1"、 "value2"、 "value3"]
action_result.data。*。失敗ブール
action_result.data。*。成功ブール真の偽
Action_result.summary.server弦url https://10.1.1.10
action_result.message弦サーバー：https：//10.1.1.10
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「ListItemを見つける」

カスタムリストで値を見つけます

タイプ：調査
読む唯一： true

各マッチング値の行と列座標は、「場所」の下の結果要約にあります。試合はケースに敏感です。

exact_matchパラメーターがfalseに設定されている場合、アクションは、値パラメーターがそのサブストリングであるすべての文字列を返します。それ以外の場合は、値パラメーターと正確に一致する文字列を返します。

アクションパラメーター

パラメーター必須説明タイプ含む
リスト必須カスタムリストの名前またはID弦
column_indexオプション列番号（0ベース）で検索数値
値必須検索する価値弦*
exact_matchオプション正確な一致（デフォルト：真）ブール

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.column_index数値
action_result.parameter.exact_matchブール真の偽
action_result.parameter.list弦list_demo
action_result.parameter.values弦*値1
action_result.data弦
Action_result.data。*弦
action_result.summary.found_matches数値1
action_result.summary.list_id数値18
action_result.summary.locations数値
Action_result.summary.locations。*数値
Action_result.summary.server弦url https://10.1.1.10
action_result.message弦サーバー：https：//10.1.1.10、見つかった一致：1、場所：[（1、0）]、リストID：18
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「アーティファクトを追加」

コンテナに新しいアーティファクトを追加します

タイプ：ジェネリック
読み取りのみ： false

container_idパラメーターが空のままになっている場合、現在のコンテナのID（アクションが実行されている）に初期化され、それに応じてステータスが反映されます。

CEFフィールドは、 CEF_NAMEおよびCEF_VALUEパラメーターを使用するか、 CEF_Dictionaryパラメーターを使用することにより、2つの方法でアーティファクトに追加できます。 CEF_NAME 、 CEF_VALUE 、およびCEF_Dictionaryパラメーターがすべて含まれている場合、アクションはCEF_DictionaryにCEF_NAMEフィールドを追加します。

CEF_NAMEとCEF_VALUEパラメーターのみを使用すると、アーティファクトに1つのCEFフィールドがあります。

CEF_Dictionaryパラメーターは、CEFキー価値ペアを表すキー値ペアを備えたJSON辞書を取ります。ダブルクォート（ "）を含む値を提供するには、ダブルクォートの前にバックスラッシュ（）を追加します。
例えば、{"x-universaly-unique-identifier"： "test"、 "content-type"： "multipart/alternative; boundary = " apple-mail = _0da95d7e-b791-4751-8043-175949088a2c " >"> 、「Message-id」：「[email protected]」}

contapleパラメーターはJSON辞書を使用できます。キーはCEF_Dictionaryのキーと一致し、可能性のある値はCEFフィールドに含まれます。 CEF_Dictionaryの特定の値がconting dictionaryに存在しない場合、アクションは最初にデフォルトのCEFフィールドのリストを確認します。デフォルトのCEFフィールドではない場合、アクションは、含まれる適切な値を特定しようとします。
continasパラメーターは、 CEF_Valueパラメーターのcontainsを表す文字列（または文字列のコンマ区切りリスト）を取得することもできます。この方法は、 CEF_NAMEおよびCEF_VALUEパラメーターが使用される場合にのみ使用する必要があります。

run_automationパラメーターがtrueに設定されている場合、アーティファクトが追加された後、アクティブなプレイブックは自動的に実行されます。アクティブなプレイブックは、アーティファクトが追加されたのと同じコンテナで実行されます。

アーティファクト、CEFフィールド、および含まれる詳細については、REST APIドキュメントを参照してください。

アクションパラメーター

パラメーター必須説明タイプ含む
名前オプション新しいアーティファクトの名前弦
container_idオプション新しいアーティファクト用の数値コンテナID数値phantom container id
ラベルオプションアーティファクトラベル（デフォルト：イベント）弦
source_data_identifier必須ソースデータIdenitifier弦
CEF_NAMEオプションCEF名弦
CEF_VALUEオプション価値弦*
CEF_DictionaryオプションCEF JSON弦
含むオプション各CEFフィールドのデータ型弦
run_automationオプション新しく作成されたアーティファクトで自動化を実行する（デフォルト：false）ブール
sechine_containsオプション提供されたcONTの任意のCEFフィールドのコンテンツを決定する値が含まれます（デフォルト：true）ブール

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.cef_dictionary弦{"test_key"： "test_value"}
action_result.parameter.cef_name弦
action_result.parameter.cef_value弦*
action_result.parameter.container_id数値phantom container id 1234
action_result.parameter.contains弦ドメイン
Action_result.parameter.label弦イベント
action_result.parameter.name弦artifact_demo
action_result.parameter.run_automation弦真の偽
Action_result.parameter.source_data_identifier弦
action_result.parameter.determine_containsブール
action_result.data。*。既存の_artifact_id数値
action_result.data。*。失敗ブール
action_result.data。*。id数値123
action_result.data。*。成功ブール真の偽
action_result.summary.artifact_id数値12345
action_result.summary.container_id数値1234
Action_result.summary.server弦url https://10.1.1.10
action_result.message弦アーティファクトID：12345、コンテナID：1234、サーバー：https：//10.1.1.10
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「アイテムをデフレート」

金庫からアイテムを収縮させます

タイプ：ジェネリック
読み取りのみ： false

アクションは、 PHANTOM_SERVERパラメーター（アセット構成内）がローカルPHANTOMインスタンス、つまりアクションが実行されているインスタンスに構成されている場合にのみサポートされます。

アクションは、入力ボールトアイテムが圧縮ファイルであるかどうかを検出し、それをデフレートします。デフレ後に見つかったすべてのファイルがボールトに追加されます。 Container_idが指定されている場合、その金庫に追加されます。このアクションは、 ZIP 、 GZIP 、 BZ2 、 TAR 、およびTGZファイルタイプをサポートします。圧縮されたファイルに別の圧縮ファイルが含まれている場合、再帰パラメーターをTrueに設定して、内側の圧縮ファイルをデフレートします。

再帰が有効になり、パスワードが指定されている場合、アプリケーションは指定されたzipファイルのみのパスワードを使用します。内側のzipファイルは、ファイルがパスワードで保護されていない場合にのみ抽出されます。さまざまな圧縮方法の中で、ZIPのみがパスワード保護機能をサポートしています。

特定のUnicode文字の場合、ファイル名はZipfileモジュールによって解凍されません。

アクションパラメーター

パラメーター必須説明タイプ含む
vault_id必須ボールトID弦sha1 vault id
container_idオプション宛先コンテナID数値phantom container id
パスワードオプションファイルのパスワード弦
再帰オプション再帰的に抽出する（デフォルト：false）ブール

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.container_id数値phantom container id 3
Action_result.parameter.password弦p@$$ w0rd
Action_Result.Parameter.Recursiveブール真の偽
action_result.parameter.vault_id弦sha1 vault id F582ED9120FA3BE94852C73E1CD188F2948F677F
action_result.data。*。別名。*弦test.txt
action_result.data。*。コンテナ弦phantom_test
action_result.data。*。container_id数値phantom container id 1234
action_result.data。*。contains。*弦ボールトID
action_result.data。*。create_time弦0分前
action_result.data。*。created_via弦オートメーション
action_result.data。*。ハッシュ弦sha1 0A0E6C7AB7F77D058EFD444279B81C4C6A9CF4CE
action_result.data。*。id数値12
action_result.data。*。M​​etadata.Contains弦ボールトID
action_result.data。*。M​​etadata.md5弦md5 0DB33A0790B6D6D5C2E4425646EEE7FC
action_result.data。*。M​​etadata.sha1弦sha1 fece6c7ab7f77d058efd444279b81c4c6a9cf4ce
action_result.data。*。M​​etadata.sha256弦sha256 4F2155212CB0F74207BD0E4FD5ECAE548EE2BAE1D2DCD36C1D0BA0B6254BD4A1
action_result.data。*。M​​etadata.size数値33
action_result.data。*。mime_type弦テキスト/プレーン
action_result.data。*。名前弦TGZテスト
action_result.data。*。パス弦
action_result.data。*。サイズ数値10240
action_result.data。*。タスク弦
action_result.data。*。ユーザー弦
action_result.data。*。vault_document数値
action_result.data。*。vault_id弦sha1 vault id B90E6C7AB7F77D058EFD444279B81C4C6A9CF4CE
Action_result.summary.total_vault_items数値9
action_result.message弦総ボールト項目：9
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「エクスポートコンテナ」

構成されたファントム資産にローカルコンテナをエクスポートします

タイプ：ジェネリック
読み取りのみ： false

このアクションは、ローカルPhantomインスタンス（アクションが実行されているインスタンス）から構成されたPhantomアセット（アクションが実行されていること）にコンテナ（コンテナ_IDと一致する）をエクスポートします。

local Phantomインスタンスのコンテナメタデータと構成されたPhantomアセットが一致しない場合、名前はu'criticalという名前の重大度インスタンスのようなエラーメッセージでアクションが失敗します。

設定されたPhantomインスタンスのコンテナの所有者にローカルインスタンスの所有者を一致させる場合は、 keep_ownerパラメーターをtrueに設定します。これは、所有者名ではなく所有者IDに基づいていることに注意してください。

アクションパラメーター

パラメーター必須説明タイプ含む
container_id必須コピーするコンテナID数値phantom container id
Keep_ownerオプション所有者を維持しますブール
ラベルオプション輸出コンテナに名前を付けるラベル。空白の場合、輸出容器はローカルコンテナと同じ名前を持っています弦
run_automationオプションアクティブなプレイブックを実行しますブール

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.container_id数値phantom container id 3
action_result.parameter.keep_ownerブール真の偽
Action_result.parameter.label弦イベント
action_result.parameter.run_automationブール真の偽
action_result.data弦
action_result.summary.artifact_count数値268
action_result.summary.container_id数値phantom container id 94
action_result.message弦コンテナID：94、アーティファクトカウント：268
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「輸入コンテナ」

外部ファントムインスタンスからコンテナをインポートします

タイプ：ジェネリック
読み取りのみ： false

このアクションは、構成されたファントム資産（アクションが実行されている）からコンテナ（コンテナ_IDと一致する）をローカルファントムインスタンス（アクションが実行されている場合）にインポートします。

構成されたPhantomアセットのコンテナメタデータとローカルPhantomインスタンスが一致しない場合、名前はu'criticalという名前の重大度インスタンスのようなエラーメッセージでアクションが失敗します。

keep_ownerパラメーターをtrueに設定します。ローカルファントムインスタンスのコンテナの所有者に設定されたインスタンスの所有者を一致させたい場合。これは、所有者名ではなく所有者IDに基づいていることに注意してください。

アクションパラメーター

パラメーター必須説明タイプ含む
container_id必須コピーするコンテナID数値phantom container id
Keep_ownerオプション所有者を維持しますブール

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.container_id弦phantom container id 3
action_result.parameter.keep_ownerブール真の偽
action_result.data弦
action_result.summary.artifact_count数値268
action_result.summary.container_id数値phantom container id 94
action_result.message弦コンテナID：94、アーティファクトカウント：268
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「コンテナの作成」

Phantomインスタンスで新しいコンテナを作成します

タイプ：ジェネリック
読み取りのみ： false

このアクションは、 Phantom_serverアセットパラメーターで構成されているPhantomサーバーに新しいコンテナを作成します。 container_jsonパラメーターはJSON文字列である必要があります。 container_jsonパラメーターにラベルキーを提供することが必須です。 container_jsonに宛先Phantomアセットに存在しないラベルがある場合、アクションは失敗します。
例：{"name"： "Test container"、 "label"： "events"}

container_artifactsは、JSON文字列としてのアーティファクトオブジェクトのリストである必要があるオプションのパラメーターです。各アーティファクトJSONオブジェクトには、CEF、CEF_TYPES、データ、説明、END_TIME、INGEST_APP_ID、KILL_CHAIN、LABEL、NAME、OWNER_ID、SEVERITY、SOURTY_DATA_IDENTIFIER、START_TIME、TAGS、TYPEを含める必要があります。他のすべてのキーは無視されます。
eg、[{"name"： "artifact 1"、 "label"： "label1"、 "cef"：{"test"： "123"}}、{"name"： "artifact 2"、 "label"： "label2"、 "cef"：{"test"： "456"}}]

詳細については、 Splunk Phantomのドキュメントを参照してください。

アクションパラメーター

パラメーター必須説明タイプ含む
container_json必須コンテナJSONオブジェクト弦
container_artifactsオプションアーティファクトJSONオブジェクトのリスト弦

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.container_artifacts弦[{"name"： "artifact（1）"の人間に優しい名前（1）、 "label"： "event"、 "source_data_identifier"：1}、{"name"： "Artifactの人間に優しい名前（2）"、 "label"： "event"、 "source_data_identifier"：2}、{"name"： "Artifact（3）"の人間に優しい名前（3）、 "ラベル"： "event"、 "source_data_identifier"：3}]
Action_result.parameter.container_json弦{"severity"： "medium"、 "label"： "events"、 "version"：1、 "asset"：7、 "status"： "new"、 "description"： "ファントムヘルパーからの新しいコンテナ"、 "タグ "：[]、" data "：{}、" name "："これはコンテナです}}
action_result.data弦
action_result.summary.artifact_count数値3
action_result.summary.container_id数値phantom container id
action_result.summary.failed_artifact_count数値7
action_result.message弦コンテナID：82、アーティファクトカウント：3
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「アクション結果を取得」

以前に実行されるアクションの結果を見つけます

タイプ：調査
読む唯一： true

このアクションは、指定されたtime_limit内の指定されたパラメーターを使用して起動された指定されたaction_nameの最新の結果を返します。

このアクションにより、 MAX_RESULTSの値に返される結果の数が制限されます。デフォルトでは、制限は10です。すべての結果を取得するには、 max_resultsパラメーターを0に設定します。

パラメーターパラメーターは、次の形式でJSON文字列を取得します。

 {
 「parameter_name1」：「parameter_value1」
 "parameter_name2"： "parameter_value2"
 ...
 }

APPパラメーターはアプリ名を取得し、それが含まれている場合、アクションはそのアプリのアクション結果のみを検索します。同様に、アセットパラメーターは資産名を取得し、それが含まれている場合、アクションはその資産からのアクション結果のみを検索します。

アクションパラメーター

パラメーター必須説明タイプ含む
action_name必須アクション名弦
パラメーターオプションJSON一連のアクションパラメーター弦
アプリオプションアプリ名弦
資産オプション資産名弦
time_limitオプション検索する時間数数値
max_resultsオプション戻るアクション結果の最大数数値

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.action_name弦ブラックリストIP
Action_result.parameter.app弦ファントム
Action_result.parameter.asset弦test_phantom
action_result.parameter.max_results数値5
Action_Result.Parameter.Parameters弦{"ip"： "1.8.9.0"}
action_result.parameter.time_limit数値24
action_result.data。*。アクション弦ブラックリストIP
action_result.data。*。action_run数値2724
action_result.data。*。アプリ数値121
action_result.data。*。app_name弦ファントム
action_result.data。*。app_version弦1.0.0
action_result.data。*。資産数値137
action_result.data。*。コンテナ数値1154
action_result.data弦
action_result.data。*。end_time弦2017-11-06T20：30：27.991000Z
action_result.data。*。exception_occuredブール真の偽
action_result.data。*。extra_data弦
action_result.data。*。id数値2761
action_result.data。*。メッセージ弦ブラックリストに登録されたIP
action_result.data。*。playbook_run数値1056
action_result.data。*。result_data。*。データ数値
action_result.data。*。result_data。*。メッセージ弦IPは正常にブラックリストに登録されました
action_result.data。*。result_data。*。パラメーター弦
action_result.data。*。result_data。*。parameter.context.artifact_id数値0
action_result.data。*。result_data。*。parameter.context.guid弦293D0369-4801-417D-A1AF-A73CF1200D3D
action_result.data。*。result_data弦
action_result.data。*。result_data。*。ステータス弦成功
action_result.data。*。result_data。*。概要弦
action_result.data。*。result_summary.total_objects数値1
action_result.data。*。result_summary.total_objects_successful数値1
action_result.data。*。start_time弦2017-11-06T20：30：04.879000Z
action_result.data。*。ステータス弦成功は失敗しました
action_result.data。*。バージョン数値1
action_result.summary.action_run_id数値2761
Action_result.summary.num_results数値
action_result.message弦アクション実行ID：2761
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「更新リスト」

リストを更新します

タイプ：ジェネリック
読み取りのみ： false

list_nameまたはidが必要です。両方の場合、 list_nameパラメーターとIDパラメーターが提供され、両方が異なるリストを指している場合、 list_nameパラメーターが優先され、アクションがlist_nameパラメーターで指定されたリストを更新します。

アクションパラメーター

パラメーター必須説明タイプ含む
list_nameオプションリスト名弦
idオプションリストID数値
row_number必須変更するリストの行番号数値
row_values_as_list必須JSONは、行の新しい値のリストをフォーマットしました弦

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.id数値
action_result.parameter.list_name弦私の最初のリスト
action_result.parameter.row_number数値0
action_result.parameter.row_values_as_list弦["this"、 "is"、 "a"、 "test"]
action_result.data。*。成功ブール真実
Action_Result.Summary弦
action_result.message弦
summary.otal_objects数値1
summary.otal_objects_successful数値1

アクション：「OPなし」

指定された秒数を待ちます

タイプ：調査
読む唯一： true

アクションパラメーター

パラメーター必須説明タイプ含む
sleep_seconds必須これは何秒間も眠ります数値

アクション出力

データパスタイプ含む値の例
action_result.status弦成功は失敗しました
action_result.parameter.sleep_seconds数値15
action_result.data弦
Action_Result.Summary弦
action_result.message弦15秒間眠りました
summary.otal_objects数値1
summary.otal_objects_successful数値1
拡大する
追加情報
関連アプリ
おすすめ
関連情報 すべて