首頁>編程相關>其他源碼
下載

幻影

出版商：Splunk
連接器版本：3.7.1
產品供應商：幻影
產品名稱：幻影
支持產品版本（REGEX）：“。*”
最低產品版本：6.2.1

該應用程序將各種幻影API視為動作

auth_token配置參數可用於幻影實例。如果給出了令牌和用戶名/密碼，則將使用用戶名和密碼對Phantom實例進行身份驗證。

請注意，使用的IP（或名稱）必須與遠程Phantom實例的REST資產配置中的允許IP匹配。

如果phantom_server配置參數設置為當前幻影實例，即使用該應用程序的幻象服務器，則應將verify_certificate設置為false在資產配置中。

有關如何獲得授權令牌的信息，請參見Phantom REST REST概述文檔中的授權令牌。

如果phantom_server配置參數中提供的值為0.0.0.0，則測試連接成功通過，操作將在當前幻影實例（即使用該應用程序的服務器）上運行。

請參閱KB第7條和KB第16條，介紹如何為您的Phantom實例創建和驗證有效的HTTPS證書。

出於安全原因，不允許訪問127.0.0.1。

對於NRI實例，設備IP/HostName配置參數也需要指定端口號。 （例如xxxx：9999）

劇本向後兼容

  • 現有的操作參數已在下面給出的操作中進行了修改。因此，請最終用戶要求通過重新插入相應的操作塊或為這些操作參數提供適當的值來更新其現有的劇本，以確保在應用程序的早期版本上創建的劇本的正確功能。

    • 更新列表 - ROW_VALUES_AS_LIST參數已從逗號分隔的新值更改為JSON格式的新值列表。這將允許用戶提供一個包含逗號（'，'）字符的值。該示例的示例已在示例值中進行了更新。

    • 添加工件 -包含參數，可以使用字符串（或逗號分隔的字符串列表）或JSON字典，其中鍵匹配CEF_DICTIONARY的鍵，並且值為列表的值包含CEF字段。如果包含參數是字符串（或字符串的逗號分隔列表），則提供的值將映射到CEF_NAME參數。
      輸出datapaths， action_result.summary.artifact ID和action_result.summary.container ID分別替換為action_result.summary.artifact_id和action_result.summary.conmary.container_id 。

    • 查找工件 - action_result.summary.Artifacts發現的數據已被action_result.summary.artifacts_found替換。

    • 查找listItem -action_result.summary.found匹配datapath已被action_result.summary.found_matches替換。

    • 更新偽影標籤 - 添加了以下輸出數據路徑：

      • action_result.summary.tags_added
      • action_result.summary.tags_already_absent
      • action_result.summary.tags_already_present
      • action_result.summary.tags_remaved

    • 更新工件 - 此操作的動作參數已修改。請根據新參數更新您現有的劇本。以下是附加參數的列表：

      • 名稱：工件名稱（始終覆蓋（如果提供））
      • 標籤：文物標籤（如果提供的話，請始終覆蓋）
      • 嚴重性：偽像的嚴重性（如果提供的話，請始終覆蓋）
      • CEF_TYPES_JSON：CEF類型的JSON格式（例如，{'Myip'：['ip'，'ipv6']}）
      • 標籤：逗號分隔的標籤列表要添加或替換在工件中
      • 覆蓋：帶有提供的輸入的覆蓋偽像（適用於：cef_json，contains_json，tags）
      • artifact_json：整個偽像的json格式（始終覆蓋鍵）

      有關更多詳細信息，請檢查“更新工件”部分。

端口信息

該應用使用HTTP/ HTTPS協議與Phantom Server通信。以下是Splunk Soar使用的默認端口。

服務名稱運輸協議港口
http TCP 80
https TCP 443

已知問題

  • 查找ListItem操作無法獲取列表，其中列表名稱包含一個前向斜杠（'/'）字符。
  • 添加ListItem操作無法更新列表，其中列表名稱包含一個前向斜杠（'/'）字符。
  • 在CEF_VALUE中我們具有後斜線（''）字符的情況下，查找工件動作無法按照期望工作。這是針對精確匹配和非表現匹配而發生的。
  • 查找工件動作無法獲取phantom版本4.8.23319上的CEF值包含Unicode字符的工件。該動作在Phantom版本4.5.15922上正常工作。

配置變量

該連接器需要以下配置變量。在配置SOAR中的幻影資產時，指定這些變量。

多變的必需的類型描述
phantom_server必需的細繩Phantom IP或主機名（例如10.1.1.10或有效_phantom_hostname）
auth_token選修的密碼Phantom auth令牌
使用者名稱選修的細繩用戶名（http Basic Auth）
密碼選修的密碼密碼（用於HTTP基本驗證）
verify_certificate選修的布爾驗證HTTPS證書（默認：false）
deflate_item_extensions選修的細繩只有具有指定擴展名（逗號分隔）的文件。如果空白，則不會檢查文件擴展名

支持的行動

測試連通性 - 驗證資產配置的連接
更新工件 - 更新或覆蓋提供的輸入的幻影工件
添加註意 - 在容器中添加註釋
更新文物標籤 - 從工件中添加/刪除標籤
查找工件 - 查找包含CEF值的工件
添加ListItem-將值添加到自定義列表
查找ListItem-在自定義列表中找到值
添加工件 - 在容器中添加新的工件
放氣項目 - 從庫中縮放一個項目
導出容器 - 將本地容器導出到配置的幻影資產
導入容器 - 從外部幻影實例導入容器
創建容器 - 在幻影實例上創建一個新容器
獲取行動結果 - 找到先前運行的動作的結果
更新列表 - 更新列表
無操作 - 等待指定的秒數

動作：“測試連接”

驗證連接的資產配置

類型：測試
僅閱讀：正確

動作參數

此操作不需要參數

動作輸出

沒有輸出

動作：“更新工件”

用提供的輸入更新或覆蓋幻影工件

類型：通用
僅閱讀： false

覆蓋

默認情況下，此操作將附加或更新以下字段：“ CEF_JSON”，“ CEF_TYPES_JSON”和“ TAGS”，除非啟用“覆蓋”。在這種情況下，這些參數將替換該人工製品所包含的內容的整個當前版本。

可選字段

雖然不需要所有操作，但要採取行動，至少需要提供以下可選參數之一：
範圍例子
姓名文物名稱
標籤artifact_label
嚴重程度高的
cef_json {“ key1”：“ value1”，“ gooddomain”：“ www.splunk.com”，“ remove_me”：“”}
cef_types_json {“ gooddomain”：[“域”]}
標籤tag1，tag3或[“ tag2”，“ tag4”]
artifact_json {“ source_data_identifier”：“ myticket1234”，“ label”：“ new_label”}

文物JSON

應將工件JSON用於幻影工件的更高級方面。參見幻影REST API文檔，特別是有關工件的文檔。

動作參數

範圍必需的描述類型包含
artifact_id必需的文物的ID更新細繩phantom artifact id
姓名選修的文物名稱（如果提供，請始終覆蓋）細繩
標籤選修的文物標籤（如果提供，請始終覆蓋）細繩
嚴重程度選修的人工製品的嚴重程度（如果提供，請始終覆蓋）細繩
cef_json選修的您想要的文物中CEF字段的JSON格式細繩
cef_types_json選修的CEF類型的JSON格式（例如，{'myip'：['ip'，'ipv6']}）細繩
標籤選修的逗號分隔的標籤列表要添加或替換在工件中細繩
覆蓋選修的帶有提供的輸入的覆蓋工件（適用於：cef_json，contains_json，標籤）布爾
artifact_json選修的整個工件的JSON格式（始終提供鑰匙）細繩

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.artifact_id細繩phantom artifact id 2388
Action_Result.Parameter.Artifact_json細繩{“嚴重性”：“ High”，“ Label”：“測試標籤”，“ Descript”：“由我添加的trifact”，“ source_data_identifier”：“ my_custom_sdi”}
action_result.parameter.cef_json細繩{“ new_field”：“ new_value”，“ deleted_field”：“”}
action_result.parameter.cef_types_json細繩{“ new_field”：[“ new contains”]}
action_result.parameter.label細繩測試標籤
action_result.parameter.name細繩新名稱
action_result.parameter.overwrite布爾是的
Action_Result.Parameter.Severity細繩高的
action_result.parameter.tags細繩[“ tag2”]
action_result.data。*。請求_artifact.cef.deleted_field細繩
action_result.data。*。請求_ARTIFACT.CEF.NEW_FIELD細繩new_value
action_result.data。*。請求_artifact.cef.test細繩FFF
action_result.data。*。請求_artifact.cef_types.new_field細繩新包含
action_result.data。*。請求_ARTIFACT.DESCRIPTION細繩我添加了工件
action_result.data。*。請求_ARTIFACT.LABEL細繩測試標籤
action_result.data。*。請求_artifact.name細繩新名稱
action_result.data。*。請求_ARTIFACT.SEVERITY細繩高的
action_result.data。*。請求_ARTIFACT.SOURCE_DATA_IDENDIFIER細繩my_custom_sdi
action_result.data。*。請求_artifact.tags細繩tag2
action_result.data。*。響應數字2388
Action_Result.Data。*。響應。Success布爾是的
action_result.summary細繩
action_result.message細繩人工製品成功更新了。
summary.total_objects數字1
summary.total_objects_successful數字1

動作：'添加註意'

在容器中添加筆記

類型：通用
僅閱讀： false

如果container_id參數是空的，則將其初始化為當前容器的ID（從運行操作的地方），並且狀態將相應地反映。如果容器是一個情況，則可以提供ephas_ID參數以將註釋與特定階段相關聯。

動作參數

範圍必需的描述類型包含
標題必需的筆記的標題細繩
內容選修的注意內容細繩
container_id選修的容器ID（默認為當前容器）數字phantom container id
phase_id選修的階段註釋將與細繩

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.container_id數字phantom container id 35
action_result.parameter.content細繩通過應用程序添加註釋
action_result.parameter.phase_id細繩
action_result.parameter.title細繩注意測試
action_result.data細繩
action_result.summary細繩
action_result.message細繩創建的註釋
summary.total_objects數字1
summary.total_objects_successful數字1

動作：“更新工件標籤”

從工件中添加/刪除標籤

類型：通用
僅閱讀： false

動作參數

範圍必需的描述類型包含
artifact_id必需的工件ID細繩phantom artifact id
add_tags選修的逗號分隔的標籤列表要添加到工件細繩
remove_tags選修的逗號分隔的標籤列表要從工件中刪除細繩

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.add_tags細繩tag1，tag3
action_result.parameter.artifact_id細繩phantom artifact id 94
action_result.parameter.remove_tags細繩tag2，tag4
action_result.data細繩
action_result.summary.tags_added細繩tag1
action_result.summary.tags_already_absent細繩tag4
action_result.summary.tags_already_present細繩tag3
action_result.summary.tags_remaved細繩tag2
action_result.message細繩添加標籤：tag1，刪除標籤：tag2，標籤已經存在：tag3，標籤已經缺少：tag4
summary.total_objects數字1
summary.total_objects_successful數字1

行動：“找到工件”

查找包含CEF值的工件

類型：調查
僅閱讀：正確

如果limit_search參數設置為true，則該操作將僅在提供的container_ids中搜索所需的偽像。否則，將忽略Container_IDS參數。

如果在Container_IDS參數中提供了任何非啟動值，則將刪除所有非授權值，並將相應地更新參數。如果container_ids參數的值是當前的，則將其替換為當前容器的ID（從中運行該操作），並且狀態將相應地反映。

如果Exact_Match參數設置為false，則操作將返回所有這些值參數為其CEF值中任何一個的子字符串。否則，它將返回其任何一個CEF值與值參數完全匹配的偽像。

對於類型整數，float或字符串的值，建議將Exact_Match參數設置為false。

默認情況下，返回了10個工件。如果您想返回更多或少於10個工件，請更新MAX_RESULTS參數。

動作參數

範圍必需的描述類型包含
cef_key選修的cef dict的關鍵您正在查詢：ACT，APP，Application Protocol，BaseeventCount，Bytesin等。如果空白，它將搜索整個CEF字典細繩
值必需的在人工製品中找到此值細繩*
extcent_match選修的確切匹配（默認：true）布爾
limit_search選修的將搜索限制為指定的容器（默認值：false）布爾
container_ids選修的空間或逗號分隔的容器ID列表。 “電流”一詞將被當前容器ID替換細繩
max_results選修的返回的最大工件數量數字

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.cef_key細繩ACT App Application Protocol
action_result.parameter.container_ids細繩當前的
action_result.parameter.exact_match布爾是的
action_result.parameter.limit_search布爾是的
action_result.parameter.values細繩* test_value
action_result.data。*。容器數字1234
action_result.data。*。container_name細繩phantom_test
action_result.data。*。找到細繩test_key
action_result.data。*。id數字12345
action_result.data。*。匹配細繩test_value
action_result.data。*。名稱細繩artifact_demo
Action_Result.Summary.Artifacts_Found數字1
Action_Result.Summary.Server細繩https://10.1.1.10
action_result.message細繩發現工件：1，服務器：https：//10.1.1.10
summary.total_objects數字1
summary.total_objects_successful數字1
action_result.parameter.max_results數字2

操作：'添加listItem'

將價值添加到自定義列表

類型：通用
僅閱讀： false

要在列表中添加包含單個值的行，只需傳遞該值即可。但是，要連續傳遞多個值，請像JSON數組一樣格式化（例如[“ item1”，“ item2”，“ item3”]）。

如果列表已經存在（即使創建參數設置為true，則操作將更新列表。

通過此操作創建或更新列表後，如果從UI更新了相同的列表，則用戶需要在再次通過此操作更新列表之前保存這些更改，否則，UI所做的更改將被覆蓋。

動作參數

範圍必需的描述類型包含
列表必需的自定義列表的名稱或ID細繩
new_row必需的新行（字符串或JSON列表）細繩*
創造選修的如果不存在，則創建列表（默認：false）布爾

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
Action_Result.Parameter.Create布爾是的
action_result.parameter.list細繩demo_list
action_result.parameter.new_row細繩* [“ value1”，“ value2”，“ value3”]
action_result.data。*。失敗布爾
Action_Result.Data。*。成功布爾是的
Action_Result.Summary.Server細繩url https://10.1.1.10
action_result.message細繩服務器：https：//10.1.1.10
summary.total_objects數字1
summary.total_objects_successful數字1

動作：“查找ListItem”

在自定義列表中找到值

類型：調查
僅閱讀：正確

每個匹配值的行和列坐標都可以在“位置”下的結果摘要中找到。比賽對案例敏感。

如果Exact_Match參數設置為false，則操作將返回所有值參數為其子字符串的字符串。否則，它將返回與值參數完全匹配的字符串。

動作參數

範圍必需的描述類型包含
列表必需的自定義列表的名稱或ID細繩
column_index選修的搜索列號（基於0）數字
值必需的搜索的價值細繩*
extcent_match選修的確切匹配（默認：true）布爾

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.column_index數字
action_result.parameter.exact_match布爾是的
action_result.parameter.list細繩list_demo
action_result.parameter.values細繩* Value1
action_result.data細繩
Action_Result.Data。*細繩
action_result.summary.found_matches數字1
action_result.summary.list_id數字18
action_result.summary.Locations數字
Action_Result.Summary.Locations。*數字
Action_Result.Summary.Server細繩url https://10.1.1.10
action_result.message細繩服務器：https：//10.1.10，找到匹配：1，位置：[（1，0）]，列表ID：18
summary.total_objects數字1
summary.total_objects_successful數字1

動作：“加工”

在容器中添加新的工件

類型：通用
僅閱讀： false

如果container_id參數是空的，則將其初始化為當前容器的ID（從中運行操作），並且狀態將相應地反映。

CEF字段可以通過使用CEF_NAME和CEF_VALUE參數或使用CEF_Dictionary參數將CEF字段添加到工件中。如果包括CEF_NAME ， CEF_VALUE和CEF_DICTINARY參數，則操作將將CEF_NAME字段添加到CEF_DICTIONARY 。

僅使用CEF_NAME和CEF_VALUE參數將導致具有一個CEF字段的工件。

CEF_DICTIONARY參數採用JSON字典，帶有代表CEF鍵值對的鍵值對。要提供包含雙引號（“）的值，請在雙引號之前添加一個後斜線（）。
例如，{“ X- Universly-Unique-sidentifier”：“ test”，“ content-type”：“ Multipart/替代方案; boundard; boundard = “ apple-mail = _0DA95D7E-B791-4751-4751-8043-1759494949088A2C ” >“ ，“ message-id”：“ [email protected]”}

包含參數可以採用JSON字典，其中鍵匹配CEF_DICTIONARY的鍵，並且值為CEF字段可能包含的值。如果包含字典中不存在CEF_DICTIONARY中的給定值，則該操作將首先檢查默認CEF字段的列表。如果不是默認的CEF字段，則該操作將嘗試確定包含的適當值。
包含參數還可以採用代表CEF_VALUE參數包含的字符串（或逗號分隔的字符串列表）。僅當使用CEF_NAME和CEF_VALUE參數時，才應使用此方法。

如果run_automation參數設置為true，則在添加工件後，活動劇本將自動運行。主動劇本將在添加工件的相同容器上運行。

有關工件，CEF字段和包含的更多信息，請參見REST API文檔。

動作參數

範圍必需的描述類型包含
姓名選修的新工件的名稱細繩
container_id選修的新工件的數字容器ID數字phantom container id
標籤選修的文物標籤（默認：事件）細繩
source_data_istifier必需的來源數據idenitifier細繩
cef_name選修的CEF名稱細繩
cef_value選修的價值細繩*
cef_dictionary選修的CEF JSON細繩
包含選修的每個CEF字段的數據類型細繩
run_automation選修的在新創建的工件上運行自動化（默認：false）布爾
確定_contains選修的確定未提供的任何CEF字段的包含值包含值（默認：true）布爾

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.cef_dictionary細繩{“ test_key”：“ test_value”}
action_result.parameter.cef_name細繩
action_result.parameter.cef_value細繩*
action_result.parameter.container_id數字phantom container id 1234
action_result.parameter.contains細繩領域
action_result.parameter.label細繩事件
action_result.parameter.name細繩artifact_demo
action_result.parameter.run_automation細繩是的
action_result.parameter.source_data_identifier細繩
action_result.parameter.determine_contains布爾
action_result.data。*數字
action_result.data。*。失敗布爾
action_result.data。*。id數字123
Action_Result.Data。*。成功布爾是的
Action_Result.Summary.Artifact_ID數字12345
action_result.summary.container_id數字1234
Action_Result.Summary.Server細繩url https://10.1.1.10
action_result.message細繩工件ID：12345，容器ID：1234，服務器：https：//10.1.1.10
summary.total_objects數字1
summary.total_objects_successful數字1

動作：“放氣項目”

從保險庫中縮成項目

類型：通用
僅閱讀： false

只有在將phantom_server參數（在資產配置中）配置為本地幻影實例，即運行操作的實例時，才會支持該操作。

該操作檢測輸入庫項目是否是壓縮文件並將其放氣。然後將通縮後發現的每個文件添加到保險庫中。如果指定了Container_ID ，將添加到其保管庫中，否則將當前（執行操作執行的上下文）容器的當前容器添加到其保管庫中。該動作支持ZIP ， GZIP ， BZ2 ， TAR和TGZ文件類型。在壓縮文件中包含另一個壓縮文件的情況下，將遞歸參數設置為true以使內部壓縮文件放氣。

如果啟用了遞歸併指定了密碼，則該應用程序將僅使用給定ZIP文件的密碼。僅當文件不受密碼保護時，才會提取內zip文件。在不同的壓縮方法中，只有ZIP支持密碼保護功能。

對於某些Unicode字符，Zipfile模塊不會像它那樣解壓縮文件名。

動作參數

範圍必需的描述類型包含
VAULT_ID必需的保險庫ID細繩sha1 vault id
container_id選修的目標容器ID數字phantom container id
密碼選修的文件的密碼細繩
遞迴選修的遞歸提取（默認：false）布爾

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.container_id數字phantom container id 3
Action_Result.Parameter.Password細繩P@$$ W0rd
Action_Result.Parameter.Recursive布爾是的
action_result.parameter.vault_id細繩sha1 vault id F582ED9120FA3BE94852C73E1CD188F2948F677F
action_result.data。*。aka。*細繩test.txt
action_result.data。*。容器細繩phantom_test
action_result.data。*。container_id數字phantom container id 1234
action_result.data。*。包含。*細繩保險庫ID
action_result.data。*。create_time細繩0分鐘前
action_result.data。*。create_via細繩自動化
action_result.data。*。哈希細繩sha1 0A0E6C7AB7F77D058EFD4444279B81C4C6A9CF4CE
action_result.data。*。id數字12
action_result.data。*。元數據細繩保險庫ID
action_result.data。*。元數據.md5細繩md5 0DB33A0790B6D6D5C2E4425646EEEEE7FC
Action_Result.Data。*。元數據。SHA1細繩sha1 FECE6C7AB7F77D058EFD4444279B81C4C6A9CF4CE
Action_Result.Data。*。元數據。SHA256細繩sha256 4F2155212CB0F74207BD0E4FD5ECAE548EE2BAE1D2DCD36C1D0BA0BA0BA0B6254BD4A1
action_result.data。*。元數據數字33
action_result.data。*。mime_type細繩文字/平原
action_result.data。*。名稱細繩TGZ檢驗
action_result.data。*。路徑細繩
action_result.data。*。大小數字10240
action_result.data。*。任務細繩
action_result.data。*。用戶細繩
action_result.data。*。vault_document數字
action_result.data。*。vault_id細繩sha1 vault id B90E6C7AB7F77D058EFD4444279B81C4C6A9CF4CE
action_result.summary.total_vault_items數字9
action_result.message細繩總保險庫項目：9
summary.total_objects數字1
summary.total_objects_successful數字1

動作：“導出容器”

將本地容器導出到配置的幻影資產

類型：通用
僅閱讀： false

此操作從本地幻影實例（從運行該操作的實例）將容器（與容器_ID匹配）到已配置的Phantom資產（該操作正在執行）。

如果本地幻影實例上的容器元數據和配置的Phantom Asset與不匹配，則該操作將失敗，例如具有名稱U'Critical'的嚴重性實例。

如果您希望在配置的Phantom實例上的容器所有者與本地實例上的所有者匹配，則將keep_owner參數設置為true。請注意，這將基於所有者ID，而不是所有者名稱。

動作參數

範圍必需的描述類型包含
container_id必需的集裝箱ID複製數字phantom container id
keep_owner選修的保留所有者布爾
標籤選修的標籤以命名導出容器。如果空白，導出容器的名稱將與本地容器相同細繩
run_automation選修的運行活躍的劇本布爾

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.container_id數字phantom container id 3
action_result.parameter.keep_owner布爾是的
action_result.parameter.label細繩事件
action_result.parameter.run_automation布爾是的
action_result.data細繩
Action_Result.Summary.Artifact_Count數字268
action_result.summary.container_id數字phantom container id 94
action_result.message細繩集裝箱ID：94，人工工具：268
summary.total_objects數字1
summary.total_objects_successful數字1

動作：“導入容器”

從外部幻影實例導入容器

類型：通用
僅閱讀： false

此操作將來自配置的幻影資產（該操作正在執行）的容器（與容器_ID匹配）到本地幻影實例（該實例正在運行該操作的實例）。

如果配置幻影資產上的容器元數據和本地幻影實例不匹配，則該操作將失敗。

如果您希望在本地幻影實例上的容器的所有者匹配配置的實例上的所有者，則將keep_owner參數設置為true。請注意，這將基於所有者ID，而不是所有者名稱。

動作參數

範圍必需的描述類型包含
container_id必需的集裝箱ID複製數字phantom container id
keep_owner選修的保留所有者布爾

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.container_id細繩phantom container id 3
action_result.parameter.keep_owner布爾是的
action_result.data細繩
Action_Result.Summary.Artifact_Count數字268
action_result.summary.container_id數字phantom container id 94
action_result.message細繩集裝箱ID：94，人工工具：268
summary.total_objects數字1
summary.total_objects_successful數字1

動作：“創建容器”

在幻影實例上創建一個新容器

類型：通用
僅閱讀： false

此操作在Phantom服務器上創建一個新容器，該容器在Phantom_server Asset參數中配置。 container_json參數需要是JSON字符串。必須在container_json參數中提供標籤密鑰。如果Container_json的標籤在目標幻影資產上不存在，則該操作將失敗。
例如，{“名稱”：“測試容器”，“標籤”：“ events”}

Container_Artifacts是一個可選參數，需要作為JSON字符串的工件對象列表。每個偽影JSON對像都應包含以下鍵： CEF，CEF_TYPES，數據，描述，END_TIME，INGEST_APP_ID，KILL_CHAIN，標籤，名稱，名稱，所有者，source_data_idefier，start_time_time，start_time，start_time，tags，tags，type 。所有其他密鑰都將被忽略。
例如，[{“ name”：“ artifact 1”，“ label”：“ label1”，“ cef”：{“ test”：“ 123”}}，{“ name”：“ artifact 2”，“ label”， “ label”： “ label2”，“ cef”：{“ test”：“ 456”}}]]

有關更多詳細信息，請參見Splunk Phantom文檔。

動作參數

範圍必需的描述類型包含
Container_json必需的容器JSON對象細繩
Container_Artifacts選修的工件json對象列表細繩

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.container_artifacts細繩[{{“ name”：“偽像的人類友好名稱（1）”，“ label”：“ event”，“ source_data_identifier”：1}，{“ name”：“ for Artifact（2）”，“ “ label ”：“ event”，“ source_data_identifier”：2}，{“ name”：“偽像的人類友好名稱（3）”，“ label”：“ event”，“ source_data_identifier”：3}]]
action_result.parameter.container_json細繩{“嚴重性”：“中”，“ label”：“事件”，“版本”：1，“ Asset”：7，“狀態”：“ New”，“ Descript”：“來自Phantom Helper”，“新容器”，“標籤“：[]，“ data”：{}，“名稱”：“這是一個容器”}
action_result.data細繩
Action_Result.Summary.Artifact_Count數字3
action_result.summary.container_id數字phantom container id
action_result.summary.failed_artifact_count數字7
action_result.message細繩集裝箱ID：82，人工工具：3
summary.total_objects數字1
summary.total_objects_successful數字1

行動：“獲取行動結果”

找到先前運行的動作的結果

類型：調查
僅閱讀：正確

此操作返回給定time_limit中給定參數啟動的給定action_name的最新結果。

該操作將限制返回到max_results中值的結果數。默認情況下，限制為10。要獲得所有結果，請將MAX_RESULTS參數設置為0。

參數參數採用格式的JSON字符串：

 {
 “ parameter_name1”：“ parameter_value1”
 “ parameter_name2”：“ parameter_value2”
 ...
 }

App參數獲取一個應用程序名稱，如果包含該應用程序，則該操作將僅搜索該應用程序的操作結果。同樣，資產參數以資產名稱為單位，如果包括在內，則操作只會從該資產中搜索行動結果。

動作參數

範圍必需的描述類型包含
action_name必需的動作名稱細繩
參數選修的JSON動作參數字符串細繩
應用程式選修的應用名稱細繩
資產選修的資產名稱細繩
time_limit選修的搜索的小時數數字
max_results選修的返回的最大動作結果數量數字

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.action_name細繩黑名單IP
Action_Result.Parameter.App細繩幻影
action_result.parameter.sest細繩test_phantom
action_result.parameter.max_results數字5
action_result.parameter.parameters細繩{“ ip”：“ 1.8.9.0”}
action_result.parameter.time_limit數字24
Action_Result.Data。*。動作細繩黑名單IP
action_result.data。*。action_run數字2724
action_result.data。*。app數字121
action_result.data。*。app_name細繩幻影
action_result.data。*。app_version細繩1.0.0
Action_Result.Data。*。資產數字137
action_result.data。*。容器數字1154
action_result.data。*。有效_user細繩
action_result.data。*。end_time細繩2017-11-06T20：30：27.991000Z
action_result.data布爾是的
action_result.data。*。extra_data細繩
action_result.data。*。id數字2761
action_result.data。*。消息細繩成功黑名單的IP
action_result.data。*。playbook_run數字1056
action_result.data。*。result_data。*。數據數字
action_result.data。*。result_data。*。消息細繩IP黑名單成功
action_result.data。*。result_data。*。參數細繩
action_result.data。*。result_data。*。參數.context.artifact_id數字0
action_result.data。*。result_data。*。參數parameter.context.guid細繩293D0369-4801-417D-A1AF-A73CF1200D3D
action_result.data。*。result_data。*。參數.context.parent_action_run細繩
action_result.data。*。result_data。*。狀態細繩成功
action_result.data。*。result_data。*。摘要細繩
action_result.data。*。result_summary.total_objects數字1
action_result.data。*。result_summary.total_objects_successful數字1
action_result.data。*。start_time細繩2017-11-06T20：30：04.879000Z
action_result.data。*。狀態細繩成功失敗了
action_result.data。*。版本數字1
action_result.summary.action_run_id數字2761
action_result.summary.num_results數字
action_result.message細繩動作運行ID：2761
summary.total_objects數字1
summary.total_objects_successful數字1

操作：“更新列表”

更新列表

類型：通用
僅閱讀： false

list_name或ID是必需的。如果兩者都提供list_name和ID參數，並且兩個都指向不同的列表，則將首選list_name參數，並且操作將更新list_name參數中指定的列表。

動作參數

範圍必需的描述類型包含
list_name選修的列表名稱細繩
ID選修的列表ID數字
row_number必需的列表中要修改的行號數字
ROW_VALUES_AS_LIST必需的JSON格式化該行的新值列表細繩

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.id數字
action_result.parameter.list_name細繩我的第一個清單
Action_Result.Parameter.Row_Number數字0
action_result.parameter.row_values_as_list細繩[“ this”，“ is”，“ a”，“ test”]
Action_Result.Data。*。成功布爾真的
action_result.summary細繩
action_result.message細繩
summary.total_objects數字1
summary.total_objects_successful數字1

動作：'否op'

等待指定的秒數

類型：調查
僅閱讀：正確

動作參數

範圍必需的描述類型包含
Sleep_seconds必需的睡幾秒鐘數字

動作輸出

數據路徑類型包含示例值
action_result.status細繩成功失敗了
action_result.parameter.sleep_seconds數字15
action_result.data細繩
action_result.summary細繩
action_result.message細繩睡15秒
summary.total_objects數字1
summary.total_objects_successful數字1
展開
附加信息
相關應用
爲您推薦
相關資訊 全部