एपीआई के माध्यम से चेक प्वाइंट सैंडब्लास्ट के साथ इंटरेक्शन

यह लेख उन लोगों के लिए उपयोगी होगा जो तकनीक से परिचित हैं प्वाइंट की जाँच करें फ़ाइल अनुकरण द्वारा (खतरा अनुकरण) और सक्रिय फ़ाइल सफ़ाई (ख़तरा निष्कर्षण) और इन कार्यों को स्वचालित करने की दिशा में एक कदम उठाना चाहता है। चेक प्वाइंट है खतरा निवारण एपीआई, जो क्लाउड और स्थानीय डिवाइस दोनों पर चलता है, और कार्यात्मक रूप से यह वेब/एसएमटीपी/एफटीपी/एसएमबी/एनएफएस ट्रैफिक स्ट्रीम में फाइलों की जांच करने के समान है. यह लेख आंशिक रूप से आधिकारिक दस्तावेज से लेखों के एक सेट की लेखक की व्याख्या है, लेकिन यह मेरे अपने परिचालन अनुभव और मेरे अपने उदाहरणों पर आधारित है। साथ ही लेख में आपको ख़तरा निवारण एपीआई के साथ काम करने के लिए लेखक के पोस्टमैन संग्रह भी मिलेंगे।

बुनियादी संक्षिप्ताक्षर

ख़तरा निवारण एपीआई तीन मुख्य घटकों के साथ काम करता है, जिन्हें निम्नलिखित पाठ मानों के माध्यम से एपीआई में बुलाया जाता है:

av - एंटी-वायरस घटक, ज्ञात खतरों के हस्ताक्षर विश्लेषण के लिए जिम्मेदार।

te - ख़तरा अनुकरण घटक, सैंडबॉक्स में फ़ाइलों की जाँच करने और अनुकरण के बाद दुर्भावनापूर्ण/सौम्य निर्णय देने के लिए ज़िम्मेदार है।

निष्कर्षण - थ्रेट एक्सट्रैक्शन घटक, कार्यालय दस्तावेज़ों को उपयोगकर्ताओं/सिस्टमों तक शीघ्रता से पहुंचाने के लिए उन्हें एक सुरक्षित रूप में (जिसमें सभी संभावित दुर्भावनापूर्ण सामग्री हटा दी जाती है) परिवर्तित करने के लिए जिम्मेदार है।

एपीआई संरचना और मुख्य सीमाएँ

खतरा निवारण एपीआई केवल 4 अनुरोधों का उपयोग करता है - अपलोड, क्वेरी, डाउनलोड और कोटा. सभी चार अनुरोधों के हेडर में आपको पैरामीटर का उपयोग करके एपीआई कुंजी पास करने की आवश्यकता है प्राधिकरण. पहली नज़र में, संरचना इसकी तुलना में बहुत सरल लग सकती है प्रबंधन एपीआई, लेकिन अपलोड और क्वेरी अनुरोधों में फ़ील्ड की संख्या और इन अनुरोधों की संरचना काफी जटिल है। इनकी तुलना गेटवे/सैंडबॉक्स सुरक्षा नीति में खतरा निवारण प्रोफाइल से कार्यात्मक रूप से की जा सकती है।

फिलहाल, खतरा निवारण एपीआई का एकमात्र संस्करण जारी किया गया है - 1.0; एपीआई कॉल के लिए यूआरएल में शामिल होना चाहिए v1 उस भाग में जहां आपको संस्करण निर्दिष्ट करने की आवश्यकता है। प्रबंधन एपीआई के विपरीत, यूआरएल में एपीआई संस्करण को इंगित करना आवश्यक है, अन्यथा अनुरोध निष्पादित नहीं किया जाएगा।

एंटी-वायरस घटक, जब अन्य घटकों (टीई, निष्कर्षण) के बिना बुलाया जाता है, वर्तमान में केवल एमडी5 हैश रकम के साथ क्वेरी अनुरोधों का समर्थन करता है। थ्रेट इम्यूलेशन और थ्रेट एक्सट्रैक्शन भी sha1 और sha256 हैश रकम का समर्थन करते हैं।

प्रश्नों में गलतियाँ न करना बहुत महत्वपूर्ण है! अनुरोध को त्रुटि के बिना निष्पादित किया जा सकता है, लेकिन पूरी तरह से नहीं। थोड़ा आगे देखते हुए, आइए देखें कि प्रश्नों में त्रुटियाँ/टाइपो होने पर क्या हो सकता है।

रिपोर्ट(रिपोर्ट) शब्द के साथ एक टाइपो के साथ अनुरोध करें

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reportss: ["tar", "pdf", "xml"]
            }
		}
	] 
}

जवाब में कोई त्रुटि नहीं होगी, लेकिन रिपोर्ट के बारे में बिल्कुल भी जानकारी नहीं होगी

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

लेकिन रिपोर्ट कुंजी में किसी टाइपो के बिना अनुरोध के लिए

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reports: ["tar", "pdf", "xml"]
            }
		}
	] 
}

हमें एक प्रतिक्रिया प्राप्त होती है जिसमें रिपोर्ट डाउनलोड करने के लिए पहले से ही आईडी शामिल है

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "b684066e-e41c-481a-a5b4-be43c27d8b65",
              "pdf_report": "e48f14f1-bcc7-4776-b04b-1a0a09335115",
              "xml_report": "d416d4a9-4b7c-4d6d-84b9-62545c588963"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

यदि हम गलत/समाप्त एपीआई कुंजी भेजते हैं, तो हमें प्रतिक्रिया में 403 त्रुटि प्राप्त होगी।

सैंडब्लास्ट एपीआई: क्लाउड में और स्थानीय उपकरणों पर

एपीआई अनुरोध उन चेक प्वाइंट डिवाइसों पर भेजे जा सकते हैं जिनमें थ्रेट इम्यूलेशन घटक (ब्लेड) सक्षम है। अनुरोधों के पते के रूप में, आपको डिवाइस के आईपी/यूआरएल और पोर्ट 18194 का उपयोग करना होगा (उदाहरण के लिए, https://10.10.57.19:18194/tecloud/api/v1/फ़ाइल/क्वेरी)। आपको यह भी सुनिश्चित करना चाहिए कि डिवाइस की सुरक्षा नीति ऐसे कनेक्शन की अनुमति देती है। डिफ़ॉल्ट रूप से स्थानीय उपकरणों पर एपीआई कुंजी के माध्यम से प्राधिकरण बंद और अनुरोध शीर्षलेखों में प्राधिकरण कुंजी बिल्कुल भी नहीं भेजी जा सकती है।

चेकप्वाइंट क्लाउड पर एपीआई अनुरोध भेजे जाने चाहिए te.checkpoint.com (उदाहरण के लिए - https://te.checkpoint.com/tecloud/api/v1/फ़ाइल/क्वेरी)। एपीआई कुंजी को चेक प्वाइंट भागीदारों या कंपनी के स्थानीय कार्यालय से संपर्क करके 60 दिनों के लिए परीक्षण लाइसेंस के रूप में प्राप्त किया जा सकता है।

स्थानीय उपकरणों पर, थ्रेट एक्सट्रैक्शन अभी तक मानक के रूप में समर्थित नहीं है। खतरा निवारण एपीआई और प्रयोग किया जाना चाहिए सुरक्षा गेटवे के लिए खतरा निवारण एपीआई (हम लेख के अंत में इसके बारे में अधिक विस्तार से बात करेंगे)।

स्थानीय उपकरण कोटा अनुरोध का समर्थन नहीं करते.

अन्यथा, स्थानीय उपकरणों और क्लाउड के अनुरोधों के बीच कोई अंतर नहीं है।

एपीआई कॉल अपलोड करें

प्रयुक्त विधि − पोस्ट

कॉल पता - https:///tecloud/api/v1/file/upload

अनुरोध में दो भाग होते हैं (फॉर्म-डेटा): अनुकरण/सफाई के लिए एक फ़ाइल और पाठ के साथ एक अनुरोध निकाय।

टेक्स्ट अनुरोध खाली नहीं हो सकता, लेकिन इसमें कोई कॉन्फ़िगरेशन नहीं हो सकता है। अनुरोध सफल होने के लिए, आपको अनुरोध में कम से कम निम्नलिखित पाठ भेजना होगा:

अपलोड अनुरोध के लिए न्यूनतम आवश्यक

HTTP पोस्ट

https:///tecloud/api/v1/file/upload

हेडर:

प्राधिकरण:

तन

{

"अनुरोध": {

}

}

पट्टिका

पट्टिका

इस स्थिति में, फ़ाइल को डिफ़ॉल्ट मापदंडों के अनुसार संसाधित किया जाएगा: घटक - te, ओएस छवियाँ - विन एक्सपी और विन 7, बिना रिपोर्ट तैयार किये।

पाठ अनुरोध में मुख्य फ़ील्ड पर टिप्पणियाँ:

फ़ाइल का नाम и फाइल का प्रकार आप उन्हें खाली छोड़ सकते हैं या बिल्कुल नहीं भेज सकते हैं, क्योंकि फ़ाइल अपलोड करते समय यह विशेष रूप से उपयोगी जानकारी नहीं है। एपीआई प्रतिक्रिया में, ये फ़ील्ड डाउनलोड की गई फ़ाइल के नाम के आधार पर स्वचालित रूप से भरी जाएंगी, और कैश में जानकारी को अभी भी md5/sha1/sha256 हैश मात्रा का उपयोग करके खोजना होगा।

खाली फ़ाइल_नाम और फ़ाइल_प्रकार के साथ उदाहरण अनुरोध

{

"request": {

"file_name": "",

"file_type": "",

}

}

विशेषताएं — एक सूची जो सैंडबॉक्स में प्रसंस्करण करते समय आवश्यक कार्यक्षमता को इंगित करती है - एवी (एंटी-वायरस), टीई (खतरा अनुकरण), निष्कर्षण (खतरा निष्कर्षण)। यदि यह पैरामीटर बिल्कुल भी पारित नहीं किया गया है, तो केवल डिफ़ॉल्ट घटक का उपयोग किया जाएगा - ते (खतरा अनुकरण)।

तीन उपलब्ध घटकों में जाँच सक्षम करने के लिए, आपको इन घटकों को एपीआई अनुरोध में निर्दिष्ट करना होगा।

एवी, टीई और निष्कर्षण में जाँच के साथ अनुरोध का उदाहरण

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["av", "te", "extraction"]  
		}
	] 
}

ते अनुभाग में कुंजियाँ

छवियों - ऑपरेटिंग सिस्टम की आईडी और संशोधन संख्या वाले शब्दकोशों वाली एक सूची जिसमें चेक किया जाएगा। सभी स्थानीय उपकरणों और क्लाउड के लिए आईडी और संशोधन संख्या समान हैं।

ऑपरेटिंग सिस्टम और संशोधनों की सूची

उपलब्ध ओएस छवि आईडी

संशोधन

छवि ओएस और अनुप्रयोग

e50e99f3-5963-4573-af9e-e3f4750b55e2

1

माइक्रोसॉफ्ट विंडोज: XP - 32 बिट SP3
Office: 2003, 2007
एडोब एक्रोबेट रीडर: 9.0
फ़्लैश प्लेयर 9r115 और ActiveX 10.0
जावा रनटाइम: 1.6.0u22

7e6fe36e-889e-4c25-8704-56378f0830df

1

माइक्रोसॉफ्ट विंडोज: 7 - 32 बिट
Office: 2003, 2007
एडोब एक्रोबेट रीडर: 9.0
फ़्लैश प्लेयर: 10.2r152 (लगाना& ActiveX)
जावा रनटाइम: 1.6.0u0

8d188031-1010-4466-828b-0cd13d4303ff

1

माइक्रोसॉफ्ट विंडोज: 7 - 32 बिट
Office: 2010
एडोब एक्रोबेट रीडर: 9.4
फ़्लैश प्लेयर: 11.0.1.152 (लगाना & ActiveX)
जावा रनटाइम: 1.7.0u0

5e5de275-a103-4f67-b55b-47532918fa59

1

माइक्रोसॉफ्ट विंडोज: 7 - 32 बिट
Office: 2013
एडोब एक्रोबेट रीडर: 11.0
फ़्लैश प्लेयर: 15 (लगाना & ActiveX)
जावा रनटाइम: 1.7.0u9

3ff3ddae-e7fd-4969-818c-d5f1a2be336d

1

माइक्रोसॉफ्ट विंडोज: 7 - 64 बिट
Office: 2013 (32बिट)
एडोब एक्रोबेट रीडर: 11.0.01
फ़्लैश प्लेयर: 13 (लगाना & ActiveX)
जावा रनटाइम: 1.7.0u9

6c453c9b-20f7-471a-956c-3198a868dc92 

 

1 

माइक्रोसॉफ्ट विंडोज: 8.1 - 64 बिट
Office: 2013 (64बिट)
एडोब एक्रोबेट रीडर: 11.0.10
फ़्लैश प्लेयर: 18.0.0.160 (लगाना & ActiveX)
जावा रनटाइम: 1.7.0u9

10b4a9c6-e414-425c-ae8b-fe4dd7b25244 

 

1

माइक्रोसॉफ्ट विंडोज: 10
Office: प्रोफेशनल प्लस 2016 एन-यूएस  
एडोब एक्रोबेट रीडर: डीसी 2015 एमयूआई
फ़्लैश प्लेयर: 20 (लगाना & ActiveX)
जावा रनटाइम: 1.7.0u9

यदि छवि कुंजी बिल्कुल निर्दिष्ट नहीं है, तो अनुकरण चेक प्वाइंट (वर्तमान में विन एक्सपी और विन 7) द्वारा अनुशंसित छवियों में होगा। प्रदर्शन और कैच दर के सर्वोत्तम संतुलन को ध्यान में रखते हुए इन छवियों की अनुशंसा की जाती है।

रिपोर्टों - रिपोर्टों की एक सूची जो हम फ़ाइल के दुर्भावनापूर्ण होने की स्थिति में अनुरोध करते हैं। निम्न विकल्प उपलब्ध हैं:

1. सारांश - .tar.gz संग्रह में अनुकरण पर एक रिपोर्ट शामिल है हर अनुरोधित छवियां (दोनों एक HTML पेज और घटक जैसे कि एमुलेटर ओएस से एक वीडियो, एक नेटवर्क ट्रैफिक डंप, json में एक रिपोर्ट, और एक पासवर्ड-संरक्षित संग्रह में नमूना)। हम उत्तर में कुंजी ढूंढ रहे हैं - सारांश रिपोर्ट बाद में रिपोर्ट डाउनलोड करने के लिए।

2. पीडीएफ - अनुकरण के बारे में दस्तावेज़ एक छवि, जिसे कई लोग स्मार्ट कंसोल के माध्यम से प्राप्त करने के आदी हैं। हम उत्तर में कुंजी ढूंढ रहे हैं - पीडीएफ_रिपोर्ट बाद में रिपोर्ट डाउनलोड करने के लिए।

3. एक्सएमएल - अनुकरण के बारे में दस्तावेज़ एक छवि, रिपोर्ट में मापदंडों के बाद के विश्लेषण के लिए सुविधाजनक। हम उत्तर में कुंजी ढूंढ रहे हैं - xml_रिपोर्ट बाद में रिपोर्ट डाउनलोड करने के लिए।

4. टार - .tar.gz संग्रह में अनुकरण पर एक रिपोर्ट शामिल है एक अनुरोधित छवियां (दोनों एक HTML पेज और घटक जैसे कि एमुलेटर ओएस से एक वीडियो, एक नेटवर्क ट्रैफिक डंप, json में एक रिपोर्ट, और एक पासवर्ड-संरक्षित संग्रह में नमूना)। हम उत्तर में कुंजी ढूंढ रहे हैं - पूरी रिपोर्ट बाद में रिपोर्ट डाउनलोड करने के लिए।

सारांश रिपोर्ट के अंदर क्या है?

प्रत्येक OS के लिए शब्दकोश में पूर्ण_रिपोर्ट, पीडीएफ_रिपोर्ट, xml_report कुंजियाँ हैं

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9e6f07d03b37db0d3902bde4e239687a9e3d650e8c368188c7095750e24ad2d5",
      "file_type": "html",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "8d18067e-b24d-4103-8469-0117cd25eea9",
              "pdf_report": "05848b2a-4cfd-494d-b949-6cfe15d0dc0b",
              "xml_report": "ecb17c9d-8607-4904-af49-0970722dd5c8"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "d7c27012-8e0c-4c7e-8472-46cc895d9185",
              "pdf_report": "488e850c-7c96-4da9-9bc9-7195506afe03",
              "xml_report": "e5a3a78d-c8f0-4044-84c2-39dc80ddaea2"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

लेकिन सारांश_रिपोर्ट कुंजी - सामान्य रूप से अनुकरण के लिए एक है

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "d57eadb7b2f91eea66ea77a9e098d049c4ecebd5a4c70fb984688df08d1fa833",
      "file_type": "exe",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "c9a1767b-741e-49da-996f-7d632296cf9f",
              "xml_report": "cc4dbea9-518c-4e59-b6a3-4ea463ca384b"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "ba520713-8c0b-4672-a12f-0b4a1575b913",
              "xml_report": "87bdb8ca-dc44-449d-a9ab-2d95e7fe2503"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "summary_report": "7e7db12d-5df6-4e14-85f3-2c1e29cd3e34",
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

आप एक ही समय में टार और एक्सएमएल और पीडीएफ रिपोर्ट का अनुरोध कर सकते हैं, आप सारांश और टार और एक्सएमएल का अनुरोध कर सकते हैं। एक ही समय में सारांश रिपोर्ट और पीडीएफ का अनुरोध करना संभव नहीं होगा।

निष्कर्षण अनुभाग में कुंजियाँ

खतरा निवारण के लिए, केवल दो कुंजियों का उपयोग किया जाता है:

तरीका - पीडीएफ (पीडीएफ में कनवर्ट करें, डिफ़ॉल्ट रूप से उपयोग किया जाता है) या साफ़ करें (सक्रिय सामग्री को साफ़ करना)।

निकाले गए_पार्ट्स_कोड - सक्रिय सामग्री को हटाने के लिए कोड की सूची, केवल स्वच्छ विधि के लिए लागू

फ़ाइलों से सामग्री हटाने के लिए कोड

कोड

Description

1025

लिंक्ड ऑब्जेक्ट

1026

मैक्रोज़ और कोड

1034

संवेदनशील हाइपरलिंक

1137

पीडीएफ GoToR क्रियाएँ

1139

पीडीएफ लॉन्च क्रियाएँ

1141

पीडीएफ यूआरआई क्रियाएँ

1142

पीडीएफ ध्वनि क्रियाएँ

1143

पीडीएफ मूवी एक्शन

1150

पीडीएफ जावास्क्रिप्ट क्रियाएँ

1151

पीडीएफ सबमिट फॉर्म क्रियाएँ

1018

डेटाबेस प्रश्नों

1019

एंबेडेड ऑब्जेक्ट्स

1021

तेजी से डेटा सहेजें

1017

कस्टम गुण

1036

सांख्यिकी गुण

1037

सारांश गुण

साफ़ की गई प्रतिलिपि डाउनलोड करने के लिए, आपको कुछ सेकंड के बाद एक क्वेरी अनुरोध (जिसकी चर्चा नीचे की जाएगी) करने की भी आवश्यकता होगी, जिसमें फ़ाइल की हैश मात्रा और अनुरोध पाठ में निष्कर्षण घटक निर्दिष्ट करना होगा। आप क्वेरी के जवाब से आईडी का उपयोग करके साफ़ की गई फ़ाइल उठा सकते हैं - एक्सट्रैक्टेड_फ़ाइल_डाउनलोड_आईडी। एक बार फिर, थोड़ा आगे देखते हुए, मैं एक साफ़ किए गए दस्तावेज़ को डाउनलोड करने के लिए एक आईडी की खोज के लिए एक अनुरोध और एक क्वेरी प्रतिक्रिया का उदाहरण देता हूं।

Extracted_file_download_id कुंजी खोजने के लिए क्वेरी अनुरोध

{ "request":  [  

		{	
			"sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
			"features": ["extraction"] , 
			"extraction": {
		        "method": "pdf"
            }
		}
	] 
}

क्वेरी का जवाब (extracted_file_download_id कुंजी देखें)

{
    "response": [
        {
            "status": {
                "code": 1001,
                "label": "FOUND",
                "message": "The request has been fully answered."
            },
            "sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
            "file_type": "",
            "file_name": "",
            "features": [
                "extraction"
            ],
            "extraction": {
                "method": "pdf",
                "extract_result": "CP_EXTRACT_RESULT_SUCCESS",
                "extracted_file_download_id": "b5f2b34e-3603-4627-9e0e-54665a531ab2",
                "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                "time": "0.013",
                "extract_content": "Macros and Code",
                "extraction_data": {
                    "input_extension": "xls",
                    "input_real_extension": "xls",
                    "message": "OK",
                    "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                    "protection_name": "Potential malicious content extracted",
                    "protection_type": "Conversion to PDF",
                    "protocol_version": "1.0",
                    "risk": 5.0,
                    "scrub_activity": "Active content was found - XLS file was converted to PDF",
                    "scrub_method": "Convert to PDF",
                    "scrub_result": 0.0,
                    "scrub_time": "0.013",
                    "scrubbed_content": "Macros and Code"
                },
                "tex_product": false,
                "status": {
                    "code": 1001,
                    "label": "FOUND",
                    "message": "The request has been fully answered."
                }
            }
        }
    ]
}

अवलोकन

एक एपीआई कॉल में, आप सत्यापन के लिए केवल एक फ़ाइल भेज सकते हैं।

एवी घटक को कुंजियों के साथ एक अतिरिक्त अनुभाग की आवश्यकता नहीं है, यह इसे शब्दकोश में निर्दिष्ट करने के लिए पर्याप्त है विशेषताएं.

क्वेरी एपीआई कॉल

प्रयुक्त विधि − पोस्ट

कॉल पता - https:///tecloud/api/v1/file/query

डाउनलोड (अपलोड अनुरोध) के लिए फ़ाइल भेजने से पहले, एपीआई सर्वर पर लोड को अनुकूलित करने के लिए सैंडबॉक्स कैश (क्वेरी अनुरोध) की जांच करना उचित है, क्योंकि एपीआई सर्वर में पहले से ही डाउनलोड की गई फ़ाइल पर जानकारी और निर्णय हो सकता है। कॉल में केवल टेक्स्ट भाग होता है। अनुरोध का आवश्यक भाग फ़ाइल की sha1/sha256/md5 हैश मात्रा है। वैसे, आप इसे अपलोड अनुरोध के जवाब में प्राप्त कर सकते हैं।

क्वेरी के लिए न्यूनतम आवश्यक

HTTP पोस्ट

https:///tecloud/api/v1/file/query

हेडर:

प्राधिकरण:

तन

{

"अनुरोध": {

"sha256":

}

}

अपलोड अनुरोध के जवाब का एक उदाहरण, जहां sha1/md5/sha256 हैश मात्रा दिखाई देती है

{
  "response": {
    "status": {
      "code": 1002,
      "label": "UPLOAD_SUCCESS",
      "message": "The file was uploaded successfully."
    },
    "sha1": "954b5a851993d49ef8b2412b44f213153bfbdb32",
    "md5": "ac29b7c26e7dcf6c6fdb13ac0efe98ec",
    "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
    "file_type": "",
    "file_name": "kp-20-doc.doc",
    "features": [
      "te"
    ],
    "te": {
      "trust": 0,
      "images": [
        {
          "report": {
            "verdict": "unknown"
          },
          "status": "not_found",
          "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
          "revision": 1
        }
      ],
      "score": -2147483648,
      "status": {
        "code": 1002,
        "label": "UPLOAD_SUCCESS",
        "message": "The file was uploaded successfully."
      }
    }
  }
}

क्वेरी अनुरोध, हैश राशि के अलावा, आदर्श रूप से वही होना चाहिए जो अपलोड अनुरोध था (या होने की योजना है), या यहां तक ​​कि "पहले से ही" (अपलोड अनुरोध की तुलना में क्वेरी अनुरोध में कम फ़ील्ड शामिल हैं)। ऐसे मामले में जहां क्वेरी अनुरोध में अपलोड अनुरोध की तुलना में अधिक फ़ील्ड हैं, आपको प्रतिक्रिया में सभी आवश्यक जानकारी प्राप्त नहीं होगी।

यहां एक प्रश्न के उत्तर का उदाहरण दिया गया है जहां सभी आवश्यक डेटा नहीं मिला

{
  "response": [
    {
      "status": {
        "code": 1006,
        "label": "PARTIALLY_FOUND",
        "message": "The request cannot be fully answered at this time."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te",
        "extraction"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      },
      "extraction": {
        "method": "pdf",
        "tex_product": false,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

खेतों पर ध्यान दें कोड и लेबल. ये फ़ील्ड स्थिति शब्दकोशों में तीन बार दिखाई देते हैं। सबसे पहले हम वैश्विक कुंजी "कोड": 1006 और "लेबल": "PARTIALLY_FOUND" देखते हैं। इसके बाद, ये कुंजियाँ प्रत्येक व्यक्तिगत घटक के लिए पाई जाती हैं जिसका हमने अनुरोध किया था - ते और निष्कर्षण। और यदि ते के लिए यह स्पष्ट है कि डेटा मिल गया है, तो निष्कर्षण के लिए कोई जानकारी नहीं है।

उपरोक्त उदाहरण के लिए क्वेरी इस तरह दिखती थी

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te", "extraction"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

यदि आप निष्कर्षण घटक के बिना कोई क्वेरी अनुरोध भेजते हैं

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

फिर उत्तर में पूरी जानकारी होगी ("कोड": 1001, "लेबल": "फाउंड")

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

यदि कैश में कोई जानकारी नहीं है, तो प्रतिक्रिया "लेबल" होगी: "NOT_FOUND"

{
  "response": [
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd91",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

एक एपीआई कॉल में, आप सत्यापन के लिए एक साथ कई हैश राशियाँ भेज सकते हैं। प्रतिक्रिया उसी क्रम में डेटा लौटाएगी जिस क्रम में अनुरोध में भेजा गया था।

कई sha256 मात्राओं के साथ उदाहरण क्वेरी अनुरोध

{ "request":  [  

		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81"
        },
        		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82"
        }
	] 
}

एकाधिक sha256 मात्राओं वाली एक क्वेरी का उत्तर

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81",
      "file_type": "dll",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    },
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

किसी क्वेरी अनुरोध में एक साथ कई हैश रकम का अनुरोध करने से एपीआई सर्वर के प्रदर्शन पर भी लाभकारी प्रभाव पड़ेगा।

एपीआई कॉल डाउनलोड करें

प्रयुक्त विधि − पोस्ट (दस्तावेज़ीकरण के अनुसार), GET भी काम करता है (और अधिक तार्किक लग सकता है)

कॉल पता - https:///tecloud/api/v1/file/download?id=

हेडर को एपीआई कुंजी पारित करने की आवश्यकता है, अनुरोध का मुख्य भाग खाली है, डाउनलोड आईडी यूआरएल पते में पारित की गई है।

किसी क्वेरी अनुरोध के जवाब में, यदि अनुकरण पूरा हो गया है और फ़ाइल डाउनलोड करते समय रिपोर्ट का अनुरोध किया गया था, तो रिपोर्ट डाउनलोड करने की आईडी दिखाई देगी। यदि एक साफ प्रति का अनुरोध किया जाता है, तो आपको साफ किए गए दस्तावेज़ को डाउनलोड करने के लिए आईडी की तलाश करनी चाहिए।

कुल मिलाकर, लोडिंग के लिए आईडी मान वाली क्वेरी के जवाब में कुंजियाँ हो सकती हैं:

• सारांश रिपोर्ट

• पूरी रिपोर्ट

• पीडीएफ_रिपोर्ट

• xml_रिपोर्ट

• निकाली गई_फ़ाइल_डाउनलोड_आईडी

बेशक, क्वेरी अनुरोध के जवाब में इन कुंजियों को प्राप्त करने के लिए, उन्हें अनुरोध में निर्दिष्ट किया जाना चाहिए (रिपोर्ट के लिए) या निष्कर्षण फ़ंक्शन का उपयोग करके अनुरोध करना याद रखें (साफ किए गए दस्तावेज़ों के लिए)

कोटा एपीआई कॉल

प्रयुक्त विधि − पोस्ट

कॉल पता - https:///tecloud/api/v1/file/quota

क्लाउड में शेष कोटा जांचने के लिए, कोटा क्वेरी का उपयोग करें। अनुरोध का मुख्य भाग खाली है.

कोटा अनुरोध पर उदाहरण प्रतिक्रिया

{
  "response": [
    {
      "remain_quota_hour": 1250,
      "remain_quota_month": 10000000,
      "assigned_quota_hour": 1250,
      "assigned_quota_month": 10000000,
      "hourly_quota_next_reset": "1599141600",
      "monthly_quota_next_reset": "1601510400",
      "quota_id": "TEST",
      "cloud_monthly_quota_period_start": "1421712300",
      "cloud_monthly_quota_usage_for_this_gw": 0,
      "cloud_hourly_quota_usage_for_this_gw": 0,
      "cloud_monthly_quota_usage_for_quota_id": 0,
      "cloud_hourly_quota_usage_for_quota_id": 0,
      "monthly_exceeded_quota": 0,
      "hourly_exceeded_quota": 0,
      "cloud_quota_max_allow_to_exceed_percentage": 1000,
      "pod_time_gmt": "1599138715",
      "quota_expiration": "0",
      "action": "ALLOW"
    }
  ]
}

सुरक्षा गेटवे के लिए खतरा निवारण एपीआई

यह एपीआई ख़तरा निवारण एपीआई से पहले विकसित किया गया था और यह केवल स्थानीय उपकरणों के लिए है। अभी के लिए यह केवल तभी उपयोगी हो सकता है जब आपको थ्रेट एक्सट्रैक्शन एपीआई की आवश्यकता हो। ख़तरे के अनुकरण के लिए नियमित ख़तरे की रोकथाम एपीआई का उपयोग करना बेहतर है। चालू करने के लिए एसजी के लिए टीपी एपीआई और उस एपीआई कुंजी को कॉन्फ़िगर करें जिसकी आपको चरण निष्पादित करने के लिए आवश्यकता है sk113599. मैं चरण 6बी पर ध्यान देने और पृष्ठ की पहुंच की जांच करने की सलाह देता हूं https://<IPAddressofSecurityGateway>/UserCheck/TPAPI क्योंकि नकारात्मक परिणाम के मामले में, आगे के कॉन्फ़िगरेशन का कोई मतलब नहीं है। सभी एपीआई कॉल इस यूआरएल पर भेजी जाएंगी। कॉल प्रकार (अपलोड/क्वेरी) को कॉल बॉडी कुंजी में विनियमित किया जाता है - अनुरोध_नाम. इसके अलावा आवश्यक चाबियाँ हैं - एपीआई कुंजी (आपको कॉन्फ़िगरेशन प्रक्रिया के दौरान इसे याद रखना होगा) और प्रोटोकॉल_संस्करण (वर्तमान में वर्तमान संस्करण 1.1 है)। आप इस एपीआई के लिए आधिकारिक दस्तावेज यहां पा सकते हैं sk137032. सापेक्ष लाभ में उन्हें लोड करते समय अनुकरण के लिए एक साथ कई फाइलें भेजने की क्षमता शामिल है, क्योंकि फाइलें बेस 64 टेक्स्ट स्ट्रिंग के रूप में भेजी जाती हैं। बेस64 से/से फ़ाइलों को एन्कोड/डीकोड करने के लिए आप प्रदर्शन उद्देश्यों के लिए पोस्टमैन में एक ऑनलाइन कनवर्टर का उपयोग कर सकते हैं, उदाहरण के लिए - https://base64.guru. व्यावहारिक उद्देश्यों के लिए, आपको कोड लिखते समय अंतर्निहित एन्कोड और डिकोड विधियों का उपयोग करना चाहिए।

आइए अब कार्यों पर करीब से नज़र डालें te и निष्कर्षण इस एपीआई में.

घटक के लिए te शब्दकोश प्रदान किया गया te_options अपलोड/क्वेरी अनुरोधों में, और इस अनुरोध की कुंजियाँ पूरी तरह से ते कुंजियों से मेल खाती हैं खतरा निवारण एपीआई.

रिपोर्ट के साथ Win10 में फ़ाइल अनुकरण के लिए उदाहरण अनुरोध

{
"request": [{
    "protocol_version": "1.1",
    "api_key": "<api_key>",
    "request_name": "UploadFile",
    "file_enc_data": "<base64_encoded_file>",
    "file_orig_name": "<filename>",
    "te_options": {
        "images": [
                {
                    "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                    "revision": 1
                }
            ],
        "reports": ["summary", "xml"]
    }
    }
    ]
}

घटक के लिए निष्कर्षण शब्दकोश प्रदान किया गया स्क्रब_विकल्प. यह अनुरोध सफाई विधि निर्दिष्ट करता है: पीडीएफ में कनवर्ट करें, सक्रिय सामग्री साफ़ करें, या खतरा निवारण प्रोफ़ाइल (प्रोफ़ाइल नाम इंगित किया गया है) के अनुसार एक मोड का चयन करें। किसी फ़ाइल के लिए निष्कर्षण एपीआई अनुरोध का जवाब देने के बारे में सबसे अच्छी बात यह है कि आपको उस अनुरोध के जवाब में बेस 64 एन्क्रिप्टेड स्ट्रिंग के रूप में एक साफ प्रति मिलती है (आपको डाउनलोड करने के लिए क्वेरी अनुरोध करने और आईडी देखने की आवश्यकता नहीं है) दस्तावेज़)

किसी फ़ाइल को साफ़ करने के अनुरोध का उदाहरण

    {
	"request": [{
		"protocol_version": "1.1",
		"api_key": "<API_KEY>",
		"request_name": "UploadFile",
		"file_enc_data": "<base64_encoded_file>",
		"file_orig_name": "hi.txt",
		"scrub_options": {
			"scrub_method": 2
		}
	}]
}

किसी अनुरोध का उत्तर दें

{
	"response": [{
		"protocol_version": "1.1",
		"src_ip": "<IP_ADDRESS>",
		"scrub": {
			"file_enc_data": "<base64_encoded_converted_to_PDF_file>",
			"input_real_extension": "js",
			"message": "OK",
			"orig_file_url": "",
			"output_file_name": "hi.cleaned.pdf",
			"protection_name": "Extract potentially malicious content",
			"protection_type": "Conversion to PDF",
			"real_extension": "txt",
			"risk": 0,
			"scrub_activity": "TXT file was converted to PDF",
			"scrub_method": "Convert to PDF",
			"scrub_result": 0,
			"scrub_time": "0.011",
			"scrubbed_content": ""
		}
	}]
} 

इस तथ्य के बावजूद कि साफ़ प्रति प्राप्त करने के लिए कम एपीआई अनुरोधों की आवश्यकता होती है, मुझे यह विकल्प फॉर्म-डेटा अनुरोध की तुलना में कम बेहतर और सुविधाजनक लगता है। खतरा निवारण एपीआई.

डाकिया संग्रह

मैंने पोस्टमैन में थ्रेट प्रिवेंशन एपीआई और सिक्योरिटी गेटवे के लिए थ्रेट प्रिवेंशन एपीआई दोनों के लिए संग्रह बनाए, जो सबसे आम एपीआई अनुरोधों का प्रतिनिधित्व करते हैं। सर्वर आईपी/यूआरएल एपीआई और कुंजी को अनुरोधों में स्वचालित रूप से प्रतिस्थापित करने के लिए, और फ़ाइल डाउनलोड करने के बाद sha256 हैश राशि को याद रखने के लिए, संग्रह के अंदर तीन चर बनाए गए हैं (आप उन्हें संग्रह सेटिंग्स पर जाकर पा सकते हैं) संपादित करें -> चर): te_api (आवश्यक), api_key (स्थानीय उपकरणों के साथ टीपी एपीआई का उपयोग करने को छोड़कर, भरना आवश्यक है), sha256 (खाली छोड़ें, एसजी के लिए टीपी एपीआई में उपयोग नहीं किया गया).

खतरा निवारण एपीआई के लिए पोस्टमैन संग्रह डाउनलोड करें

सुरक्षा गेटवे एपीआई के लिए ख़तरे की रोकथाम के लिए पोस्टमैन संग्रह डाउनलोड करें

उपयोग के उदाहरण

समुदाय में साथियों की जाँच करें पायथन में लिखी गई स्क्रिप्ट प्रस्तुत की जाती हैं जो वांछित निर्देशिका से फ़ाइलों की जांच करती हैं टीपी एपीआईऔर एसजी के लिए टीपी एपीआई. ख़तरा निवारण एपीआई के साथ बातचीत के माध्यम से, फ़ाइलों को स्कैन करने की आपकी क्षमता में काफी विस्तार हुआ है, क्योंकि अब आप एक साथ कई प्लेटफ़ॉर्म में फ़ाइलों को स्कैन कर सकते हैं (चेकिंग इन) वायरसटोटल एपीआई, और फिर चेक प्वाइंट सैंडबॉक्स में), और न केवल नेटवर्क ट्रैफ़िक से फ़ाइलें प्राप्त करते हैं, बल्कि उन्हें किसी भी नेटवर्क ड्राइव और, उदाहरण के लिए, सीआरएम सिस्टम से भी लेते हैं।

स्रोत: www.habr.com