🥇API を介した Check Point SandBlast との対話

この記事はテクノロジーに精通している人にとって役立ちます チェックポイント ファイルエミュレーションによる(脅威エミュレーション) およびプロアクティブなファイルクリーニング (脅威の抽出) であり、これらのタスクの自動化に向けた一歩を踏み出したいと考えています。チェックポイントは 脅威防御 API、クラウドとローカルデバイスの両方で実行されます。 機能的には、web/smtp/ftp/smb/nfs トラフィックストリーム内のファイルをチェックするのと同じです。。この記事は、公式ドキュメントの一連の記事を部分的に著者が解釈したものですが、私自身の操作経験と私自身の例に基づいています。この記事には、Threat Prevention API を使用するための著者の Postman コレクションも含まれています。

基本的な略語

Threat Prevention API は、次のテキスト値を通じて API で呼び出される XNUMX つの主要コンポーネントで動作します。

av — ウイルス対策コンポーネント。既知の脅威のシグネチャ分析を担当します。

te - 脅威エミュレーションコンポーネント。サンドボックス内のファイルをチェックし、エミュレーション後に悪意がある/良性であるかを判断します。

抽出 - 脅威抽出コンポーネント。オフィス文書を安全な形式 (潜在的に悪意のあるコンテンツがすべて削除される) に迅速に変換して、ユーザー/システムに迅速に配信します。

API の構造と主な制限事項

Threat Prevention APIは4つのリクエストのみを使用します- アップロード、クエリ、ダウンロード、クォータ。 XNUMX つのリクエストすべてのヘッダーで、パラメータを使用して API キーを渡す必要があります。承認。一見すると、構造は以前よりもはるかに単純に見えるかもしれません。 管理APIただし、アップロードリクエストとクエリリクエストのフィールドの数とこれらのリクエストの構造は非常に複雑です。これらは、ゲートウェイ/サンドボックスセキュリティポリシーの脅威防御プロファイルと機能的に比較できます。

現時点では、Threat Prevention API の唯一のバージョンがリリースされています - 1.0。API 呼び出しの URL には次のものが含まれている必要があります。 v1 バージョンを指定する必要がある部分です。 Management API とは異なり、URL に API バージョンを指定する必要があります。指定しない場合、リクエストは実行されません。

Anti-Virus コンポーネントは、他のコンポーネント (te、抽出) なしで呼び出された場合、現在、md5 ハッシュサムを使用したクエリリクエストのみをサポートしています。脅威エミュレーションと脅威抽出は、sha1 および sha256 ハッシュサムもサポートします。

クエリを間違えないことが非常に重要です。 リクエストはエラーなしで実行できますが、完全には実行できません。少し先を見て、クエリにエラーやタイプミスがあった場合に何が起こるかを見てみましょう。

reports(reportss) という単語のタイプミスのあるリクエスト

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reportss: ["tar", "pdf", "xml"]
            }
		}
	] 
}

応答にエラーはありませんが、レポートに関する情報はまったくありません。

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

ただし、レポートキーにタイプミスのないリクエストの場合

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reports: ["tar", "pdf", "xml"]
            }
		}
	] 
}

レポートをダウンロードするための ID がすでに含まれた応答を受け取ります

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "b684066e-e41c-481a-a5b4-be43c27d8b65",
              "pdf_report": "e48f14f1-bcc7-4776-b04b-1a0a09335115",
              "xml_report": "d416d4a9-4b7c-4d6d-84b9-62545c588963"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

間違った/期限切れの API キーを送信すると、応答として 403 エラーが返されます。

SandBlast API: クラウドおよびローカルデバイス上

API リクエストは、Threat Emulation コンポーネント (ブレード) が有効になっている Check Point デバイスに送信できます。リクエストのアドレスとして、デバイスの IP/URL とポート 18194 (例: https://) を使用する必要があります。10.10.57.19:18194/tecloud/api/v1/file/query)。また、デバイスのセキュリティポリシーでこの接続が許可されていることを確認する必要があります。デフォルトではローカルデバイス上の API キーによる認証オフまた、リクエストヘッダー内の認証キーはまったく送信されない可能性があります。

CheckPoint クラウドへの API リクエストは、次の宛先に送信する必要があります。 te.checkpoint.com (例 - https://te.checkpoint.com/tecloud/api/v1/file/query)。 API キーは、Check Point パートナーまたは会社の現地オフィスに連絡することで、60 日間の試用ライセンスとして取得できます。

ローカルデバイスでは、脅威抽出はまだ標準としてサポートされていません。脅威防御 API そして使用されるべきです Security Gateway 用の脅威防御 API (記事の最後で詳しく説明します)。

ローカルデバイスはクォータリクエストをサポートしていません。

それ以外の場合、ローカルデバイスへのリクエストとクラウドへのリクエストに違いはありません。

アップロード API 呼び出し

使用された方法- POST

電話番号 - https:///tecloud/api/v1/ファイル/アップロード

リクエストは、エミュレーション/クリーニング用のファイルとテキストを含むリクエスト本文の XNUMX つの部分 (フォームデータ) で構成されます。

テキストリクエストを空にすることはできませんが、設定を含めることはできません。リクエストが成功するには、少なくとも次のテキストをリクエストで送信する必要があります。

アップロードリクエストに最低限必要なもの

HTTPPOST

https:///tecloud/api/v1/ファイル/アップロード

ヘッダー：

承認：

ボディ

{

"リクエスト"： {

}

File

この場合、ファイルはデフォルトのパラメータに従って処理されます: コンポーネント - te、OS イメージ - Windows XP および Windows 7、レポートを生成せずに。

テキストリクエストの主要フィールドに関するコメント:

file_name и ファイルの種類 これはファイルをアップロードするときに特に有用な情報ではないため、空白のままにするか、まったく送信しないこともできます。 API 応答では、これらのフィールドはダウンロードされたファイルの名前に基づいて自動的に入力されますが、キャッシュ内の情報は引き続き md5/sha1/sha256 ハッシュ量を使用して検索する必要があります。

空の file_name と file_type を含むリクエストの例

{

"request": {

"file_name": "",

"file_type": "",

}

}

機能を使用 — サンドボックスで処理するときに必要な機能を示すリスト - av (ウイルス対策)、te (脅威エミュレーション)、抽出 (脅威抽出)。このパラメータがまったく渡されない場合は、デフォルトのコンポーネントである te (脅威エミュレーション) のみが使用されます。

XNUMX つの使用可能なコンポーネントのチェックインを有効にするには、API リクエストでこれらのコンポーネントを指定する必要があります。

av、te、抽出をチェックインしたリクエストの例

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["av", "te", "extraction"]  
		}
	] 
}

テセクションのキー

画像 — チェックが実行されるオペレーティングシステムの ID とリビジョン番号を含む辞書を含むリスト。 ID とリビジョン番号は、すべてのローカルデバイスとクラウドで同じです。

オペレーティングシステムとリビジョンのリスト

利用可能なOSイメージID

リビジョン

画像OSとアプリケーション

e50e99f3-5963-4573-af9e-e3f4750b55e2

Microsoft Windowsの：XP - 32bit SP3
Office：2003、2007
Adobe Acrobat Readerが：００７
Flash Playerを 9R115と アクティブエックス 10.0
Java ランタイム: 1.6.0u22

7e6fe36e-889e-4c25-8704-56378f0830df

Microsoft Windowsの：7～32ビット
Office：2003、2007
Adobe Acrobat Readerが：００７
フラッシュプレーヤー： 10.2r152 (プラグイン& アクティブエックス)
Java ランタイム: 1.6.0u0

8d188031-1010-4466-828b-0cd13d4303ff

Microsoft Windowsの：7～32ビット
Office：００７
Adobe Acrobat Readerが：００７
フラッシュプレーヤー： 11.0.1.152（プラグイン & アクティブエックス)
Java ランタイム: 1.7.0u0

5e5de275-a103-4f67-b55b-47532918fa59

Microsoft Windowsの：7～32ビット
Office：００７
Adobe Acrobat Readerが：００７
フラッシュプレーヤー： 15（プラグイン & アクティブエックス)
Java ランタイム: 1.7.0u9

3ff3ddae-e7fd-4969-818c-d5f1a2be336d

Microsoft Windowsの：7～64ビット
Office: 2013 (32bit)
Adobe Acrobat Readerが：００７
フラッシュプレーヤー： 13（プラグイン & アクティブエックス)
Java ランタイム: 1.7.0u9

6c453c9b-20f7-471a-956c-3198a868dc92

Microsoft Windowsの：8.1～64ビット
Office: 2013 (64bit)
Adobe Acrobat Readerが：００７
フラッシュプレーヤー： 18.0.0.160（プラグイン & アクティブエックス)
Java ランタイム: 1.7.0u9

10b4a9c6-e414-425c-ae8b-fe4dd7b25244

Microsoft Windowsの：００７
Office: プロフェッショナルプラス 2016 ja-us
Adobe Acrobat Readerが: DC 2015 MUI
フラッシュプレーヤー： 20（プラグイン & アクティブエックス)
Java ランタイム: 1.7.0u9

イメージキーがまったく指定されていない場合、エミュレーションは Check Point が推奨するイメージ (現在は Win XP および Win 7) で行われます。これらの画像は、パフォーマンスと捕捉率の最適なバランスを考慮して推奨されます。

レポート — ファイルが悪意のあるものであることが判明した場合に要求するレポートのリスト。次のオプションが利用可能です。

要約 - .tar.gz アーカイブには、エミュレーションに関するレポートが含まれています。 すべて リクエストされたイメージ (HTML ページと、エミュレータ OS からのビデオ、ネットワークトラフィックダンプ、JSON 形式のレポート、パスワードで保護されたアーカイブ内のサンプル自体などのコンポーネントの両方)。私たちは答えの鍵を探しています - 概略報告 後でレポートをダウンロードするために使用します。
PDFファイル - でのエミュレーションに関するドキュメント 1 この画像は、多くの人が Smart Console を通じて受け取ることに慣れています。私たちは答えの鍵を探しています - pdf_レポート 後でレポートをダウンロードするために使用します。
XML - でのエミュレーションに関するドキュメント 1 画像。レポート内のパラメータを後で解析するのに便利です。私たちは答えの鍵を探しています - xml_report 後でレポートをダウンロードするために使用します。
tar - エミュレーションに関するレポートを含む .tar.gz アーカイブ 1 リクエストされたイメージ (HTML ページと、エミュレータ OS からのビデオ、ネットワークトラフィックダンプ、JSON 形式のレポート、パスワードで保護されたアーカイブ内のサンプル自体などのコンポーネントの両方)。私たちは答えの鍵を探しています - フルレポート 後でレポートをダウンロードするために使用します。

概要レポートの内容

キー full_report、pdf_report、xml_report は各 OS の辞書にあります

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9e6f07d03b37db0d3902bde4e239687a9e3d650e8c368188c7095750e24ad2d5",
      "file_type": "html",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "8d18067e-b24d-4103-8469-0117cd25eea9",
              "pdf_report": "05848b2a-4cfd-494d-b949-6cfe15d0dc0b",
              "xml_report": "ecb17c9d-8607-4904-af49-0970722dd5c8"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "d7c27012-8e0c-4c7e-8472-46cc895d9185",
              "pdf_report": "488e850c-7c96-4da9-9bc9-7195506afe03",
              "xml_report": "e5a3a78d-c8f0-4044-84c2-39dc80ddaea2"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

ただし、summary_report キー - 一般にエミュレーション用のキーがあります

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "d57eadb7b2f91eea66ea77a9e098d049c4ecebd5a4c70fb984688df08d1fa833",
      "file_type": "exe",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "c9a1767b-741e-49da-996f-7d632296cf9f",
              "xml_report": "cc4dbea9-518c-4e59-b6a3-4ea463ca384b"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "ba520713-8c0b-4672-a12f-0b4a1575b913",
              "xml_report": "87bdb8ca-dc44-449d-a9ab-2d95e7fe2503"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "summary_report": "7e7db12d-5df6-4e14-85f3-2c1e29cd3e34",
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

tar、xml、および pdf レポートを同時にリクエストしたり、概要と tar と xml をリクエストしたりできます。概要レポートとPDFを同時にリクエストすることはできません。

抽出セクションのキー

脅威の抽出には、次の XNUMX つのキーのみが使用されます。

方法 — pdf (pdf に変換、デフォルトで使用) または clean (アクティブなコンテンツを消去)。

抽出されたパーツコード - アクティブコンテンツを削除するためのコードのリスト。クリーンメソッドにのみ適用されます。

ファイルからコンテンツを削除するコード

Code

説明

1025

リンクされたオブジェクト

1026

マクロとコード

1034

機密性の高いハイパーリンク

1137

PDF GoToR アクション

1139

PDF 起動アクション

1141

PDF URI アクション

1142

PDF のサウンドアクション

1143

PDF ムービーのアクション

1150

PDF JavaScript アクション

1151

PDF 送信フォームのアクション

1018

データベースクエリ

1019

埋め込みオブジェクト

1021

高速セーブデータ

1017

カスタムプロパティ

1036

統計プロパティ

1037

概要プロパティ

クリーンなコピーをダウンロードするには、数秒後にクエリリクエスト (これについては後述します) を作成し、リクエストテキストでファイルのハッシュ量と抽出コンポーネントを指定する必要もあります。クエリに対する応答の ID (extracted_file_download_id) を使用して、クリーンアップされたファイルを選択できます。もう一度、少し先を見据えて、クリアされたドキュメントをダウンロードするための ID を検索するためのリクエストとクエリ応答の例を示します。

extracted_file_download_id キーを検索するためのクエリリクエスト

{ "request":  [  

		{	
			"sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
			"features": ["extraction"] , 
			"extraction": {
		        "method": "pdf"
            }
		}
	] 
}

クエリへの応答 (extracted_file_download_id キーを探す)

{
    "response": [
        {
            "status": {
                "code": 1001,
                "label": "FOUND",
                "message": "The request has been fully answered."
            },
            "sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
            "file_type": "",
            "file_name": "",
            "features": [
                "extraction"
            ],
            "extraction": {
                "method": "pdf",
                "extract_result": "CP_EXTRACT_RESULT_SUCCESS",
                "extracted_file_download_id": "b5f2b34e-3603-4627-9e0e-54665a531ab2",
                "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                "time": "0.013",
                "extract_content": "Macros and Code",
                "extraction_data": {
                    "input_extension": "xls",
                    "input_real_extension": "xls",
                    "message": "OK",
                    "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                    "protection_name": "Potential malicious content extracted",
                    "protection_type": "Conversion to PDF",
                    "protocol_version": "1.0",
                    "risk": 5.0,
                    "scrub_activity": "Active content was found - XLS file was converted to PDF",
                    "scrub_method": "Convert to PDF",
                    "scrub_result": 0.0,
                    "scrub_time": "0.013",
                    "scrubbed_content": "Macros and Code"
                },
                "tex_product": false,
                "status": {
                    "code": 1001,
                    "label": "FOUND",
                    "message": "The request has been fully answered."
                }
            }
        }
    ]
}

概要

XNUMX 回の API 呼び出しで、検証のために送信できるファイルは XNUMX つだけです。

av コンポーネントにはキーを含む追加のセクションは必要ありません。辞書で指定するだけで十分です。 機能を使用.

クエリAPI呼び出し

使用された方法- POST

電話番号 - https:///tecloud/api/v1/ファイル/クエリ

API サーバーにはダウンロードされたファイルに関する情報と判定がすでに存在している可能性があるため、ダウンロード (アップロードリクエスト) のためにファイルを送信する前に、API サーバーの負荷を最適化するためにサンドボックスキャッシュ (クエリリクエスト) をチェックすることをお勧めします。通話はテキスト部分のみで構成されます。リクエストの必須部分は、ファイルの sha1/sha256/md5 ハッシュ量です。ちなみに、アップロードリクエストに対するレスポンスで取得できます。

クエリに最低限必要なもの

HTTPPOST

https:///tecloud/api/v1/ファイル/クエリ

ヘッダー：

承認：

ボディ

{

"リクエスト"： {

"sha256":

}

アップロードリクエストに対する応答の例。sha1/md5/sha256 ハッシュ量が表示されます。

{
  "response": {
    "status": {
      "code": 1002,
      "label": "UPLOAD_SUCCESS",
      "message": "The file was uploaded successfully."
    },
    "sha1": "954b5a851993d49ef8b2412b44f213153bfbdb32",
    "md5": "ac29b7c26e7dcf6c6fdb13ac0efe98ec",
    "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
    "file_type": "",
    "file_name": "kp-20-doc.doc",
    "features": [
      "te"
    ],
    "te": {
      "trust": 0,
      "images": [
        {
          "report": {
            "verdict": "unknown"
          },
          "status": "not_found",
          "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
          "revision": 1
        }
      ],
      "score": -2147483648,
      "status": {
        "code": 1002,
        "label": "UPLOAD_SUCCESS",
        "message": "The file was uploaded successfully."
      }
    }
  }
}

ハッシュ量に加えて、クエリリクエストは、理想的にはアップロードリクエストと同じであるか、または「すでに」同じである必要があります（アップロードリクエストよりもクエリリクエストに含まれるフィールドが少ない）。クエリリクエストにアップロードリクエストよりも多くのフィールドが含まれている場合、応答で必要な情報をすべて受け取ることができません。

必要なデータがすべて見つからなかった場合のクエリへの応答の例を次に示します。

{
  "response": [
    {
      "status": {
        "code": 1006,
        "label": "PARTIALLY_FOUND",
        "message": "The request cannot be fully answered at this time."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te",
        "extraction"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      },
      "extraction": {
        "method": "pdf",
        "tex_product": false,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

フィールドに注目してください コード и ラベル。これらのフィールドはステータスディクショナリに 1006 回表示されます。まず、グローバルキーの「コード」: XNUMX と「ラベル」: 「PARTIALLY_FOUND」が表示されます。次に、これらのキーは、要求した個々のコンポーネント (te と抽出) ごとに見つかります。そして、データが見つかったことが明らかな場合、抽出するための情報はありません。

上記の例のクエリは次のようになります。

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te", "extraction"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

抽出コンポーネントを使用せずにクエリリクエストを送信した場合

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

そうすると、答えには完全な情報が含まれます (「コード」: 1001、「ラベル」: 「FOUND」)

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

キャッシュに情報がまったくない場合、応答は「label」:「NOT_FOUND」になります。

{
  "response": [
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd91",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

XNUMX 回の API 呼び出しで、検証のために複数のハッシュ量を一度に送信できます。応答は、要求で送信されたのと同じ順序でデータを返します。

複数の sha256 量を含むクエリリクエストの例

{ "request":  [  

		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81"
        },
        		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82"
        }
	] 
}

複数の sha256 金額を含むクエリへの応答

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81",
      "file_type": "dll",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    },
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

クエリリクエストで一度に複数のハッシュサムをリクエストすることも、API サーバーのパフォーマンスに有益な効果をもたらします。

ダウンロード API 呼び出し

使用された方法- POST (ドキュメントによると)、 GET これも機能します（より論理的に見えるかもしれません）

電話番号 - https:///tecloud/api/v1/file/download?id=

ヘッダーには API キーを渡す必要があり、リクエストの本文は空で、ダウンロード ID は URL アドレスで渡されます。

クエリ要求に応じて、エミュレーションが完了し、ファイルのダウンロード時にレポートが要求された場合、レポートをダウンロードするための ID が表示されます。クリーンなコピーが要求された場合は、ID を検索してクリーンなドキュメントをダウンロードする必要があります。

合計すると、読み込み用の ID 値を含むクエリへの応答内のキーは次のようになります。

概略報告
フルレポート
pdf_レポート
xml_report
抽出されたファイルのダウンロード_id

もちろん、クエリリクエストに応じてこれらのキーを受け取るには、リクエストでキーを指定するか (レポートの場合)、抽出関数を使用してリクエストを忘れずに作成する必要があります (クリーンなドキュメントの場合)。

クォータ API 呼び出し

使用された方法- POST

電話番号 - https:///tecloud/api/v1/ファイル/クォータ

クラウド内の残りのクォータを確認するには、クォータクエリを使用します。リクエストの本文が空です。

クォータ要求に対する応答の例

{
  "response": [
    {
      "remain_quota_hour": 1250,
      "remain_quota_month": 10000000,
      "assigned_quota_hour": 1250,
      "assigned_quota_month": 10000000,
      "hourly_quota_next_reset": "1599141600",
      "monthly_quota_next_reset": "1601510400",
      "quota_id": "TEST",
      "cloud_monthly_quota_period_start": "1421712300",
      "cloud_monthly_quota_usage_for_this_gw": 0,
      "cloud_hourly_quota_usage_for_this_gw": 0,
      "cloud_monthly_quota_usage_for_quota_id": 0,
      "cloud_hourly_quota_usage_for_quota_id": 0,
      "monthly_exceeded_quota": 0,
      "hourly_exceeded_quota": 0,
      "cloud_quota_max_allow_to_exceed_percentage": 1000,
      "pod_time_gmt": "1599138715",
      "quota_expiration": "0",
      "action": "ALLOW"
    }
  ]
}

Security Gateway 用の脅威防御 API

この API は、Threat Prevention API より前に開発され、ローカルデバイスのみを対象としています。現時点では、脅威抽出 API が必要な場合にのみ役立ちます。脅威エミュレーションの場合は、通常の脅威防御 API を使用することをお勧めします。スイッチをつける SG 向け TP API の手順に従う必要がある API キーを設定します。 sk113599。ステップ 6b に注意して、ページのアクセシビリティを確認することをお勧めします。 https://<IPAddressofSecurityGateway>/UserCheck/TPAPI 結果が否定的な場合、それ以上の設定は意味をなさないためです。すべての API 呼び出しはこの URL に送信されます。呼び出しタイプ（アップロード/クエリ）は、呼び出し本体キーで規制されています- リクエスト名. また必要なキーは次のとおりです - api_key (設定プロセス中に覚えておく必要があります) プロトコルのバージョン (現在のバージョンは 1.1)。この API の公式ドキュメントは次の場所にあります。 sk137032。相対的な利点には、ファイルが Base64 テキスト文字列として送信されるため、複数のファイルをロードするときにエミュレーションのために一度に送信できる機能が含まれます。ファイルを Base64 にエンコード/デコードするには、デモ目的で Postman のオンラインコンバータを使用できます。 https://base64.guru。実際には、コードを記述するときに組み込みのエンコードおよびデコードメソッドを使用する必要があります。

では、機能を詳しく見てみましょう te и 抽出この API では。

コンポーネント用 te 辞書あり te_options アップロード/クエリリクエストのキーは、アップロード/クエリリクエストのキーと完全に一致します。脅威防御 API.

Win10 でのファイルエミュレーションのリクエストとレポートの例

{
"request": [{
    "protocol_version": "1.1",
    "api_key": "<api_key>",
    "request_name": "UploadFile",
    "file_enc_data": "<base64_encoded_file>",
    "file_orig_name": "<filename>",
    "te_options": {
        "images": [
                {
                    "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                    "revision": 1
                }
            ],
        "reports": ["summary", "xml"]
    }
    }
    ]
}

コンポーネント用抽出辞書あり スクラブオプション。このリクエストでは、クリーニング方法を指定します。PDF への変換、アクティブコンテンツのクリア、または脅威対策プロファイル (プロファイル名が示されています) に従ったモードの選択です。ファイルの抽出 API リクエストに応答することの優れた点は、そのリクエストへの応答でクリーンなコピーを Base64 暗号化文字列として取得できることです (クエリリクエストを作成して、ファイルをダウンロードするために ID を検索する必要はありません)書類）

ファイルをクリアするリクエストの例

    {
	"request": [{
		"protocol_version": "1.1",
		"api_key": "<API_KEY>",
		"request_name": "UploadFile",
		"file_enc_data": "<base64_encoded_file>",
		"file_orig_name": "hi.txt",
		"scrub_options": {
			"scrub_method": 2
		}
	}]
}

リクエストに返信する

{
	"response": [{
		"protocol_version": "1.1",
		"src_ip": "<IP_ADDRESS>",
		"scrub": {
			"file_enc_data": "<base64_encoded_converted_to_PDF_file>",
			"input_real_extension": "js",
			"message": "OK",
			"orig_file_url": "",
			"output_file_name": "hi.cleaned.pdf",
			"protection_name": "Extract potentially malicious content",
			"protection_type": "Conversion to PDF",
			"real_extension": "txt",
			"risk": 0,
			"scrub_activity": "TXT file was converted to PDF",
			"scrub_method": "Convert to PDF",
			"scrub_result": 0,
			"scrub_time": "0.011",
			"scrubbed_content": ""
		}
	}]
}

クリアされたコピーを取得するために必要な API リクエストの数が少ないという事実にもかかわらず、このオプションは、で使用されるフォームデータリクエストよりも好ましくなく、利便性も低いと思います。脅威防御 API.

郵便配達員コレクション

Postman で、最も一般的な API リクエストを表す Threat Prevention API と Security Gateway の Threat Prevention API の両方のコレクションを作成しました。サーバーの IP/URL API とキーがリクエストに自動的に置き換えられ、ファイルのダウンロード後に sha256 ハッシュ量が記憶されるように、コレクション内に XNUMX つの変数が作成されています (コレクションの設定に移動すると見つけることができます)編集 -> 変数): te_api (必須), api_key (ローカルデバイスで TP API を使用する場合を除き、入力が必要です), sha256 (空のままにしておきます。SG の TP API では使用されません).

Threat Prevention API の Postman コレクションをダウンロードする

Security Gateway API の脅威対策用の Postman コレクションをダウンロードする

使用例

コミュニティの中でチェックメイト Python で書かれたスクリプトが表示され、目的のディレクトリからファイルをチェックします。 TP APIと SG 向け TP API。 Threat Prevention API との対話により、ファイルをスキャンする機能が大幅に拡張され、複数のプラットフォームでファイルを一度にスキャンできるようになりました (チェックイン ウイルストータル API、次に Check Point サンドボックス内)、ネットワークトラフィックからファイルを受信するだけでなく、任意のネットワークドライブや CRM システムなどからもファイルを取得します。

出所： habr.com

API を介した Check Point SandBlast との対話

基本的な略語

API の構造と主な制限事項

SandBlast API: クラウドおよびローカルデバイス上

アップロード API 呼び出し

テセクションのキー

抽出セクションのキー

概要

クエリAPI呼び出し

ダウンロード API 呼び出し

クォータ API 呼び出し

Security Gateway 用の脅威防御 API

郵便配達員コレクション

使用例

コメントを追加します 返信をキャンセル

コメントを追加します返信をキャンセル