🥇API द्वारे चेक पॉइंट सँडब्लास्ट सह संवाद

तंत्रज्ञानाशी परिचित असलेल्यांना हा लेख उपयुक्त ठरेल तपासा बिंदू फाइल अनुकरणाद्वारे (धोक्याचे अनुकरण) आणि सक्रिय फाइल साफ करणे (धमकी काढणे) आणि ही कार्ये स्वयंचलित करण्याच्या दिशेने एक पाऊल उचलू इच्छित आहे. चेक पॉइंट आहे धोका प्रतिबंधक API, जे क्लाउडमध्ये आणि स्थानिक डिव्हाइसेसवर चालते, आणि कार्यात्मकदृष्ट्या ते वेब/smtp/ftp/smb/nfs ट्रॅफिक स्ट्रीममधील फाइल्स तपासण्यासारखे आहे. हा लेख अंशतः लेखकाने अधिकृत दस्तऐवजीकरणातील लेखांच्या संचाचा अर्थ लावलेला आहे, परंतु माझ्या स्वत:च्या ऑपरेटिंग अनुभवावर आणि माझ्या स्वतःच्या उदाहरणांवर आधारित आहे. तसेच लेखात तुम्हाला लेखकाचे पोस्टमन संग्रह थ्रेट प्रिव्हेंशन एपीआय सोबत काम करण्यासाठी सापडेल.

मूलभूत संक्षेप

थ्रेट प्रिव्हेंशन API तीन मुख्य घटकांसह कार्य करते, ज्यांना खालील मजकूर मूल्यांद्वारे API मध्ये कॉल केले जाते:

av — अँटी-व्हायरस घटक, ज्ञात धोक्यांच्या स्वाक्षरी विश्लेषणासाठी जबाबदार.

te - थ्रेट इम्युलेशन घटक, सँडबॉक्समधील फायली तपासण्यासाठी आणि इम्युलेशननंतर दुर्भावनापूर्ण/सौम्य निर्णय देण्यासाठी जबाबदार.

वेचा - थ्रेट एक्स्ट्रॅक्शन घटक, कार्यालयीन दस्तऐवजांना सुरक्षित स्वरूपात (ज्यात सर्व संभाव्य दुर्भावनापूर्ण सामग्री काढून टाकली जाते) त्वरीत वापरकर्त्यांना/सिस्टमपर्यंत पोहोचवण्याकरता त्वरीत रूपांतरित करण्यासाठी जबाबदार.

API संरचना आणि मुख्य मर्यादा

Threat Prevention API फक्त 4 विनंत्या वापरते − upload, query, download и quota. सर्व चार विनंत्यांसाठी हेडरमध्ये तुम्हाला पॅरामीटर वापरून API की पास करणे आवश्यक आहे अधिकृतता. पहिल्या दृष्टीक्षेपात, रचना पेक्षा खूपच सोपी वाटू शकते व्यवस्थापन API, परंतु अपलोड आणि क्वेरी विनंत्यांमधील फील्डची संख्या आणि या विनंत्यांची रचना खूपच गुंतागुंतीची आहे. गेटवे/सँडबॉक्स सुरक्षा धोरणातील थ्रेट प्रिव्हेन्शन प्रोफाइलशी त्यांची तुलना कार्यात्मकपणे केली जाऊ शकते.

याक्षणी, थ्रेट प्रिव्हेन्शन API ची एकमेव आवृत्ती रिलीझ केली गेली आहे - 1.0; API कॉलसाठी URL मध्ये समाविष्ट असावे v1 ज्या भागात तुम्हाला आवृत्ती निर्दिष्ट करायची आहे. व्यवस्थापन API च्या विपरीत, URL मध्ये API आवृत्ती सूचित करणे आवश्यक आहे, अन्यथा विनंती कार्यान्वित केली जाणार नाही.

अँटी-व्हायरस घटक, जेव्हा इतर घटकांशिवाय कॉल केला जातो (te, extract), सध्या फक्त md5 हॅश समसह क्वेरी विनंत्यांना समर्थन देतो. थ्रेट इम्युलेशन आणि थ्रेट एक्सट्रॅक्शन हे sha1 आणि sha256 हॅश समसला देखील समर्थन देतात.

प्रश्नांमध्ये चुका न करणे फार महत्वाचे आहे! विनंती त्रुटीशिवाय अंमलात आणली जाऊ शकते, परंतु पूर्णपणे नाही. थोडं पुढे बघून, क्वेरींमध्ये चुका/टायपोज झाल्यास काय होऊ शकते ते पाहू.

अहवाल (रिपोर्ट्स) शब्दासह टायपोसह विनंती

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reportss: ["tar", "pdf", "xml"]
            }
		}
	] 
}

प्रतिसादात कोणतीही त्रुटी राहणार नाही, परंतु अहवालांबद्दल कोणतीही माहिती नाही

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

परंतु अहवाल की मध्ये टायपो न करता विनंतीसाठी

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reports: ["tar", "pdf", "xml"]
            }
		}
	] 
}

आम्हाला एक प्रतिसाद प्राप्त होतो ज्यामध्ये आधीच अहवाल डाउनलोड करण्यासाठी आयडी आहे

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "b684066e-e41c-481a-a5b4-be43c27d8b65",
              "pdf_report": "e48f14f1-bcc7-4776-b04b-1a0a09335115",
              "xml_report": "d416d4a9-4b7c-4d6d-84b9-62545c588963"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

आम्ही चुकीची/कालबाह्य API की पाठवल्यास, आम्हाला प्रतिसादात 403 त्रुटी प्राप्त होईल.

सँडब्लास्ट API: क्लाउडमध्ये आणि स्थानिक उपकरणांवर

एपीआय विनंत्या चेक पॉइंट डिव्हाइसेसवर पाठवल्या जाऊ शकतात ज्यामध्ये थ्रेट इम्युलेशन घटक (ब्लेड) सक्षम आहे. विनंत्यांसाठी पत्ता म्हणून, तुम्हाला डिव्हाइसचा ip/url आणि पोर्ट 18194 वापरण्याची आवश्यकता आहे (उदाहरणार्थ, https://10.10.57.19:18194/tecloud/api/v1/file/query). तुम्ही हे देखील सुनिश्चित केले पाहिजे की डिव्हाइसवरील सुरक्षा धोरण या कनेक्शनला अनुमती देते. डीफॉल्टनुसार स्थानिक डिव्हाइसेसवर API की द्वारे अधिकृतता बंद आणि विनंती शीर्षलेखातील अधिकृतता की अजिबात पाठवली जाणार नाही.

चेकपॉईंट क्लाउडला API विनंत्या पाठवल्या पाहिजेत te.checkpoint.com (उदाहरणार्थ - https://te.checkpoint.com/tecloud/api/v1/file/query). चेक पॉइंट भागीदारांशी किंवा कंपनीच्या स्थानिक कार्यालयाशी संपर्क साधून API की चाचणी परवाना म्हणून ६० दिवसांसाठी मिळवता येते.

स्थानिक उपकरणांवर, थ्रेट एक्सट्रॅक्शन अद्याप मानक म्हणून समर्थित नाही. धोका प्रतिबंधक API आणि वापरले पाहिजे सुरक्षा गेटवे साठी धोका प्रतिबंध API (आम्ही लेखाच्या शेवटी याबद्दल अधिक तपशीलवार बोलू).

स्थानिक उपकरणे कोटा विनंतीस समर्थन देत नाहीत.

अन्यथा, स्थानिक डिव्हाइसेसना आणि क्लाउडला केलेल्या विनंत्यांमध्ये कोणताही फरक नाही.

API कॉल अपलोड करा

पद्धत वापरली - पोस्ट

कॉल पत्ता - https:///tecloud/api/v1/file/upload

विनंतीमध्ये दोन भाग असतात (फॉर्म-डेटा): इम्युलेशन/क्लीनिंगसाठी असलेली फाइल आणि मजकूरासह विनंती मुख्य भाग.

मजकूर विनंती रिक्त असू शकत नाही, परंतु त्यात कोणतेही कॉन्फिगरेशन असू शकत नाही. विनंती यशस्वी होण्यासाठी, तुम्ही विनंतीमध्ये किमान खालील मजकूर पाठवला पाहिजे:

अपलोड विनंतीसाठी किमान आवश्यक

HTTP पोस्ट

https:///tecloud/api/v1/file/upload

शीर्षलेख:

अधिकृतता:

शरीर

{

"विनंती": {

}

फाइल

या प्रकरणात, फाइलवर डीफॉल्ट पॅरामीटर्सनुसार प्रक्रिया केली जाईल: घटक - te, OS प्रतिमा - Win XP आणि Win 7, अहवाल तयार न करता.

मजकूर विनंतीमधील मुख्य फील्डवरील टिप्पण्या:

फाईलचे नाव и दस्तावेजाचा प्रकार तुम्ही त्यांना रिकामे सोडू शकता किंवा त्यांना अजिबात पाठवू शकत नाही, कारण फाइल अपलोड करताना ही विशेष उपयुक्त माहिती नाही. API प्रतिसादात, डाउनलोड केलेल्या फाईलच्या नावावर आधारित ही फील्ड स्वयंचलितपणे भरली जातील आणि कॅशेमधील माहिती अद्याप md5/sha1/sha256 हॅश रक्कम वापरून शोधावी लागेल.

रिक्त फाइल_नाव आणि फाइल_प्रकार सह उदाहरण विनंती

{

"request": {

"file_name": "",

"file_type": "",

}

}

वैशिष्ट्ये — एक सूची जी सँडबॉक्समध्ये प्रक्रिया करताना आवश्यक कार्यक्षमता दर्शवते - av (अँटी-व्हायरस), te (थ्रेट इम्युलेशन), एक्सट्रॅक्शन (थ्रेट एक्सट्रॅक्शन). जर हे पॅरामीटर अजिबात पास केले नाही, तर फक्त डीफॉल्ट घटक वापरला जाईल - te (थ्रेट इम्युलेशन).

तीन उपलब्ध घटक तपासणे सक्षम करण्यासाठी, तुम्हाला API विनंतीमध्ये हे घटक निर्दिष्ट करणे आवश्यक आहे.

av, te आणि एक्स्ट्रक्शन चेक इन केलेल्या विनंतीचे उदाहरण

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["av", "te", "extraction"]  
		}
	] 
}

ते विभागातील कळा

प्रतिमा — id सह शब्दकोश असलेली सूची आणि ऑपरेटिंग सिस्टीमचा पुनरावृत्ती क्रमांक ज्यामध्ये तपासणी केली जाईल. सर्व स्थानिक उपकरणे आणि क्लाउडसाठी आयडी आणि पुनरावृत्ती क्रमांक समान आहेत.

ऑपरेटिंग सिस्टम आणि पुनरावृत्तींची यादी

उपलब्ध OS प्रतिमा आयडी

आवृत्ती

प्रतिमा OS आणि अनुप्रयोग

e50e99f3-5963-4573-af9e-e3f4750b55e2

मायक्रोसॉफ्ट विंडोज: XP - 32bit SP3
कार्यालय: 2003, 2007
अडोब एक्रोबॅट रीडर: 9.0
फ्लॅश प्लेयर 9r115 आणि ActiveX 10.0
Java रनटाइम: 1.6.0u22

7e6fe36e-889e-4c25-8704-56378f0830df

मायक्रोसॉफ्ट विंडोज: 7 - 32 बिट
कार्यालय: 2003, 2007
अडोब एक्रोबॅट रीडर: 9.0
फ्लॅश प्लेयर: 10.2r152 (प्लगइन& ActiveX)
Java रनटाइम: 1.6.0u0

8d188031-1010-4466-828b-0cd13d4303ff

मायक्रोसॉफ्ट विंडोज: 7 - 32 बिट
कार्यालय: 2010
अडोब एक्रोबॅट रीडर: 9.4
फ्लॅश प्लेयर: 11.0.1.152 (प्लगइन & ActiveX)
Java रनटाइम: 1.7.0u0

5e5de275-a103-4f67-b55b-47532918fa59

मायक्रोसॉफ्ट विंडोज: 7 - 32 बिट
कार्यालय: 2013
अडोब एक्रोबॅट रीडर: 11.0
फ्लॅश प्लेयर: 15 (प्लगइन & ActiveX)
Java रनटाइम: 1.7.0u9

3ff3ddae-e7fd-4969-818c-d5f1a2be336d

मायक्रोसॉफ्ट विंडोज: 7 - 64 बिट
कार्यालय: 2013 (32 बिट)
अडोब एक्रोबॅट रीडर: 11.0.01
फ्लॅश प्लेयर: 13 (प्लगइन & ActiveX)
Java रनटाइम: 1.7.0u9

6c453c9b-20f7-471a-956c-3198a868dc92

मायक्रोसॉफ्ट विंडोज: 8.1 - 64 बिट
कार्यालय: 2013 (64 बिट)
अडोब एक्रोबॅट रीडर: 11.0.10
फ्लॅश प्लेयर: 18.0.0.160 (प्लगइन & ActiveX)
Java रनटाइम: 1.7.0u9

10b4a9c6-e414-425c-ae8b-fe4dd7b25244

मायक्रोसॉफ्ट विंडोज: 10
कार्यालय: Professional Plus 2016 en-us
अडोब एक्रोबॅट रीडर: DC 2015 MUI
फ्लॅश प्लेयर: 20 (प्लगइन & ActiveX)
Java रनटाइम: 1.7.0u9

Если ключ images не указать вовсе, то эмуляция будет проходить в образах, рекомендованных Check Point (на данный момент это Win XP и Win 7). Данные образы рекомендованы исходя из соображений наилучшего баланса производительности и catch rate.

अहवाल - फाईल दुर्भावनापूर्ण असल्याचे आढळल्यास आम्ही विनंती केलेल्या अहवालांची सूची. खालील पर्याय उपलब्ध आहेत:

सारांश - .tar.gz संग्रहण ज्यामध्ये द्वारे इम्युलेशनचा अहवाल आहे सर्वांना विनंती केलेल्या प्रतिमा (एचटीएमएल पृष्ठ आणि घटक जसे की एमुलेटर OS वरील व्हिडिओ, नेटवर्क ट्रॅफिक डंप, json मधील अहवाल आणि संकेतशब्द-संरक्षित संग्रहणातील नमुना). आम्ही उत्तरातील की शोधत आहोत - सारांश अहवाल अहवालाच्या त्यानंतरच्या डाउनलोडसाठी.
पीडीएफ - मध्ये अनुकरण बद्दल दस्तऐवज एक प्रतिमा, जी अनेकांना स्मार्ट कन्सोलद्वारे प्राप्त करण्याची सवय आहे. आम्ही उत्तरातील की शोधत आहोत - pdf_report अहवालाच्या त्यानंतरच्या डाउनलोडसाठी.
xml - मध्ये अनुकरण बद्दल दस्तऐवज एक प्रतिमा, अहवालातील पॅरामीटर्सच्या त्यानंतरच्या पार्सिंगसाठी सोयीस्कर. आम्ही उत्तरातील की शोधत आहोत - xml_report अहवालाच्या त्यानंतरच्या डाउनलोडसाठी.
टार - .tar.gz संग्रहण ज्यामध्ये इम्युलेशनचा अहवाल आहे एक विनंती केलेल्या प्रतिमा (एचटीएमएल पृष्ठ आणि घटक जसे की एमुलेटर OS वरील व्हिडिओ, नेटवर्क ट्रॅफिक डंप, json मधील अहवाल आणि संकेतशब्द-संरक्षित संग्रहणातील नमुना). आम्ही उत्तरातील की शोधत आहोत - पूर्ण_अहवाल अहवालाच्या त्यानंतरच्या डाउनलोडसाठी.

सारांश अहवालात काय आहे

की full_report, pdf_report, xml_report प्रत्येक OS साठी शब्दकोशात आहेत

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9e6f07d03b37db0d3902bde4e239687a9e3d650e8c368188c7095750e24ad2d5",
      "file_type": "html",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "8d18067e-b24d-4103-8469-0117cd25eea9",
              "pdf_report": "05848b2a-4cfd-494d-b949-6cfe15d0dc0b",
              "xml_report": "ecb17c9d-8607-4904-af49-0970722dd5c8"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "d7c27012-8e0c-4c7e-8472-46cc895d9185",
              "pdf_report": "488e850c-7c96-4da9-9bc9-7195506afe03",
              "xml_report": "e5a3a78d-c8f0-4044-84c2-39dc80ddaea2"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

पण सारांश_रिपोर्ट की - सर्वसाधारणपणे अनुकरणासाठी एक आहे

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "d57eadb7b2f91eea66ea77a9e098d049c4ecebd5a4c70fb984688df08d1fa833",
      "file_type": "exe",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "c9a1767b-741e-49da-996f-7d632296cf9f",
              "xml_report": "cc4dbea9-518c-4e59-b6a3-4ea463ca384b"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "ba520713-8c0b-4672-a12f-0b4a1575b913",
              "xml_report": "87bdb8ca-dc44-449d-a9ab-2d95e7fe2503"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "summary_report": "7e7db12d-5df6-4e14-85f3-2c1e29cd3e34",
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

तुम्ही एकाच वेळी टार आणि एक्सएमएल आणि पीडीएफ रिपोर्ट्सची विनंती करू शकता, तुम्ही सारांश आणि टार आणि एक्सएमएलची विनंती करू शकता. एकाच वेळी सारांश अहवाल आणि पीडीएफची विनंती करणे शक्य होणार नाही.

निष्कर्षण विभागातील कळा

धमकी काढण्यासाठी, फक्त दोन की वापरल्या जातात:

पद्धत — pdf (पीडीएफमध्ये रूपांतरित करा, डीफॉल्टनुसार वापरलेले) किंवा स्वच्छ (सक्रिय सामग्री साफ करणे).

extracted_parts_codes - सक्रिय सामग्री काढून टाकण्यासाठी कोडची सूची, फक्त स्वच्छ पद्धतीसाठी लागू

फायलींमधून सामग्री काढून टाकण्यासाठी कोड

कोड

वर्णन

1025

लिंक केलेले ऑब्जेक्ट्स

1026

मॅक्रो आणि कोड

1034

संवेदनशील हायपरलिंक्स

1137

PDF GoToR क्रिया

1139

PDF लाँच क्रिया

1141

PDF URI क्रिया

1142

पीडीएफ ध्वनी क्रिया

1143

PDF चित्रपट क्रिया

1150

PDF JavaScript क्रिया

1151

पीडीएफ सबमिट फॉर्म क्रिया

1018

डेटाबेस क्वेरी

1019

एम्बेडेड ऑब्जेक्ट्स

1021

Fast Save Data

1017

सानुकूल गुणधर्म

1036

सांख्यिकी गुणधर्म

1037

सारांश गुणधर्म

क्लीन केलेली प्रत डाउनलोड करण्यासाठी, तुम्हाला काही सेकंदांनंतर क्वेरी विनंती (ज्याची खाली चर्चा केली जाईल) करावी लागेल, फाइलची हॅश रक्कम आणि विनंती मजकूरातील एक्सट्रॅक्शन घटक निर्दिष्ट करा. तुम्ही क्‍वेरी - extracted_file_download_id या प्रतिसादातून आयडी वापरून साफ केलेली फाईल उचलू शकता. पुन्हा एकदा, थोडेसे पुढे पाहताना, मी क्लीअर केलेला डॉक्युमेंट डाउनलोड करण्यासाठी आयडी शोधण्यासाठी विनंती आणि प्रश्नाच्या प्रतिसादाची उदाहरणे देतो.

extracted_file_download_id की शोधण्यासाठी क्वेरी विनंती

{ "request":  [  

		{	
			"sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
			"features": ["extraction"] , 
			"extraction": {
		        "method": "pdf"
            }
		}
	] 
}

क्वेरीला प्रतिसाद (extracted_file_download_id की पहा)

{
    "response": [
        {
            "status": {
                "code": 1001,
                "label": "FOUND",
                "message": "The request has been fully answered."
            },
            "sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
            "file_type": "",
            "file_name": "",
            "features": [
                "extraction"
            ],
            "extraction": {
                "method": "pdf",
                "extract_result": "CP_EXTRACT_RESULT_SUCCESS",
                "extracted_file_download_id": "b5f2b34e-3603-4627-9e0e-54665a531ab2",
                "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                "time": "0.013",
                "extract_content": "Macros and Code",
                "extraction_data": {
                    "input_extension": "xls",
                    "input_real_extension": "xls",
                    "message": "OK",
                    "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                    "protection_name": "Potential malicious content extracted",
                    "protection_type": "Conversion to PDF",
                    "protocol_version": "1.0",
                    "risk": 5.0,
                    "scrub_activity": "Active content was found - XLS file was converted to PDF",
                    "scrub_method": "Convert to PDF",
                    "scrub_result": 0.0,
                    "scrub_time": "0.013",
                    "scrubbed_content": "Macros and Code"
                },
                "tex_product": false,
                "status": {
                    "code": 1001,
                    "label": "FOUND",
                    "message": "The request has been fully answered."
                }
            }
        }
    ]
}

सामान्य माहिती

एका API कॉलमध्ये, तुम्ही पडताळणीसाठी फक्त एक फाइल पाठवू शकता.

एव्ही घटकाला कीजसह अतिरिक्त विभाग आवश्यक नाही, तो शब्दकोशात निर्दिष्ट करणे पुरेसे आहे वैशिष्ट्ये.

क्वेरी API कॉल

पद्धत वापरली - पोस्ट

कॉल पत्ता - https:///tecloud/api/v1/file/query

डाउनलोड (अपलोड विनंती) साठी फाइल पाठवण्यापूर्वी, API सर्व्हरवरील लोड ऑप्टिमाइझ करण्यासाठी सँडबॉक्स कॅशे (क्वेरी विनंती) तपासण्याचा सल्ला दिला जातो, कारण API सर्व्हरकडे आधीपासूनच माहिती आणि डाउनलोड केलेल्या फाइलवर निर्णय असू शकतो. कॉलमध्ये फक्त मजकूर भाग असतो. विनंतीचा आवश्यक भाग फाईलची sha1/sha256/md5 हॅश रक्कम आहे. तसे, तुम्ही अपलोड विनंतीच्या प्रतिसादात ते मिळवू शकता.

क्वेरीसाठी किमान आवश्यक

HTTP पोस्ट

https:///tecloud/api/v1/file/query

शीर्षलेख:

अधिकृतता:

शरीर

{

"विनंती": {

"sha256":

}

अपलोड विनंतीला दिलेल्या प्रतिसादाचे उदाहरण, जेथे sha1/md5/sha256 हॅश रक्कम दृश्यमान आहे

{
  "response": {
    "status": {
      "code": 1002,
      "label": "UPLOAD_SUCCESS",
      "message": "The file was uploaded successfully."
    },
    "sha1": "954b5a851993d49ef8b2412b44f213153bfbdb32",
    "md5": "ac29b7c26e7dcf6c6fdb13ac0efe98ec",
    "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
    "file_type": "",
    "file_name": "kp-20-doc.doc",
    "features": [
      "te"
    ],
    "te": {
      "trust": 0,
      "images": [
        {
          "report": {
            "verdict": "unknown"
          },
          "status": "not_found",
          "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
          "revision": 1
        }
      ],
      "score": -2147483648,
      "status": {
        "code": 1002,
        "label": "UPLOAD_SUCCESS",
        "message": "The file was uploaded successfully."
      }
    }
  }
}

क्वेरी विनंती, हॅश रकमेव्यतिरिक्त, आदर्शपणे अपलोड विनंती सारखीच असावी (किंवा करण्याची योजना आहे), किंवा अगदी “आधीपासून” (अपलोड विनंतीपेक्षा क्वेरी विनंतीमध्ये कमी फील्ड समाविष्ट आहेत). क्वेरी विनंतीमध्ये अपलोड विनंतीपेक्षा जास्त फील्ड समाविष्ट असल्यास, तुम्हाला प्रतिसादात आवश्यक असलेली सर्व माहिती मिळणार नाही.

सर्व आवश्यक डेटा सापडला नाही अशा क्वेरीला दिलेल्या प्रतिसादाचे येथे एक उदाहरण आहे

{
  "response": [
    {
      "status": {
        "code": 1006,
        "label": "PARTIALLY_FOUND",
        "message": "The request cannot be fully answered at this time."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te",
        "extraction"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      },
      "extraction": {
        "method": "pdf",
        "tex_product": false,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

शेताकडे लक्ष द्या कोड и लेबल. ही फील्ड स्टेटस डिक्शनरीमध्ये तीन वेळा दिसतात. प्रथम आपण जागतिक की “कोड”: 1006 आणि “लेबल”: “PARTIALLY_FOUND” पाहतो. पुढे, आम्ही विनंती केलेल्या प्रत्येक घटकासाठी या की आढळतात - te आणि extract. आणि जर ते स्पष्ट झाले की डेटा सापडला आहे, तर काढण्यासाठी कोणतीही माहिती नाही.

वरील उदाहरणासाठी ही क्वेरी कशी दिसत होती

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te", "extraction"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

आपण एक्स्ट्रॅक्शन घटकाशिवाय क्वेरी विनंती पाठविल्यास

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

नंतर उत्तरामध्ये संपूर्ण माहिती असेल (“कोड”: 1001, “लेबल”: “सापडला”)

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

कॅशेमध्ये कोणतीही माहिती नसल्यास, प्रतिसाद "लेबल" असेल: "NOT_FOUND"

{
  "response": [
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd91",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

एका API कॉलमध्ये, तुम्ही पडताळणीसाठी एकाच वेळी अनेक हॅश रक्कम पाठवू शकता. विनंतीमध्ये पाठवल्याप्रमाणे प्रतिसाद त्याच क्रमाने डेटा देईल.

अनेक sha256 रकमेसह उदाहरण क्वेरी विनंती

{ "request":  [  

		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81"
        },
        		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82"
        }
	] 
}

एकाधिक sha256 रकमेसह क्वेरीला प्रतिसाद

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81",
      "file_type": "dll",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    },
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

क्वेरी विनंतीमध्ये एकाच वेळी अनेक हॅश रकमेची विनंती केल्याने API सर्व्हरच्या कार्यक्षमतेवर देखील फायदेशीर प्रभाव पडेल.

API कॉल डाउनलोड करा

पद्धत वापरली - पोस्ट (दस्तऐवजीकरणानुसार), GET देखील कार्य करते (आणि अधिक तार्किक वाटू शकते)

कॉल पत्ता - https:///tecloud/api/v1/file/download?id=

शीर्षलेखास API की पास करणे आवश्यक आहे, विनंतीचा मुख्य भाग रिक्त आहे, डाउनलोड आयडी URL पत्त्यामध्ये पास केला आहे.

क्वेरीच्या विनंतीला प्रतिसाद म्हणून, जर इम्युलेशन पूर्ण झाले असेल आणि फाइल डाउनलोड करताना अहवालांची विनंती केली असेल, तर अहवाल डाउनलोड करण्यासाठी आयडी दिसेल. साफ केलेल्या प्रतीची विनंती केल्यास, तुम्ही साफ केलेला दस्तऐवज डाउनलोड करण्यासाठी आयडी शोधा.

एकूण, लोडिंगसाठी आयडी मूल्य असलेल्या क्वेरीच्या प्रतिसादातील की या असू शकतात:

सारांश अहवाल
पूर्ण_अहवाल
pdf_report
xml_report
extracted_file_download_id

अर्थात, क्वेरी विनंतीला प्रतिसाद म्हणून या की प्राप्त करण्यासाठी, त्या विनंतीमध्ये (अहवालांसाठी) निर्दिष्ट केल्या पाहिजेत किंवा एक्सट्रॅक्शन फंक्शन (साफ केलेल्या कागदपत्रांसाठी) वापरून विनंती करणे लक्षात ठेवावे.

कोटा API कॉल

पद्धत वापरली - पोस्ट

कॉल पत्ता - https:///tecloud/api/v1/file/quota

क्लाउडमधील उर्वरित कोटा तपासण्यासाठी, कोटा क्वेरी वापरा. विनंती मुख्य भाग रिक्त आहे.

कोटा विनंतीला प्रतिसादाचे उदाहरण

{
  "response": [
    {
      "remain_quota_hour": 1250,
      "remain_quota_month": 10000000,
      "assigned_quota_hour": 1250,
      "assigned_quota_month": 10000000,
      "hourly_quota_next_reset": "1599141600",
      "monthly_quota_next_reset": "1601510400",
      "quota_id": "TEST",
      "cloud_monthly_quota_period_start": "1421712300",
      "cloud_monthly_quota_usage_for_this_gw": 0,
      "cloud_hourly_quota_usage_for_this_gw": 0,
      "cloud_monthly_quota_usage_for_quota_id": 0,
      "cloud_hourly_quota_usage_for_quota_id": 0,
      "monthly_exceeded_quota": 0,
      "hourly_exceeded_quota": 0,
      "cloud_quota_max_allow_to_exceed_percentage": 1000,
      "pod_time_gmt": "1599138715",
      "quota_expiration": "0",
      "action": "ALLOW"
    }
  ]
}

सुरक्षा गेटवे साठी धोका प्रतिबंध API

हे API धोका प्रतिबंधक API पूर्वी विकसित केले गेले होते आणि ते केवळ स्थानिक उपकरणांसाठी आहे. तुम्हाला थ्रेट एक्स्ट्रॅक्शन एपीआयची आवश्यकता असेल तरच हे सध्या उपयुक्त ठरू शकते. थ्रेट इम्युलेशनसाठी नियमित थ्रेट प्रिव्हेंशन API वापरणे चांगले. चालू करण्यासाठी SG साठी TP API आणि तुम्हाला ज्या चरणांचे अनुसरण करायचे आहे ती API की कॉन्फिगर करा sk113599. मी चरण 6b वर लक्ष देण्याची आणि पृष्ठाची प्रवेशयोग्यता तपासण्याची शिफारस करतो https://<IPAddressofSecurityGateway>/UserCheck/TPAPI потому как в случае отрицательного результата дальнейшая конфигурация не имеет смысла. На данный url будут отправляться все API вызовы. Тип вызова (upload/query) регулируется в ключе тела вызова — विनंती_नाव. आवश्यक की देखील आहेत - api_key (कॉन्फिगरेशन प्रक्रियेदरम्यान तुम्हाला ते लक्षात ठेवणे आवश्यक आहे) आणि protocol_version (सध्या वर्तमान आवृत्ती 1.1 आहे). तुम्ही या API साठी अधिकृत कागदपत्रे येथे शोधू शकता sk137032. सापेक्ष फायद्यांमध्ये अनेक फाइल्स लोड करताना इम्युलेशनसाठी एकाच वेळी पाठवण्याची क्षमता समाविष्ट आहे, कारण फाइल्स बेस64 मजकूर स्ट्रिंग म्हणून पाठवल्या जातात. बेस64 वर/वरून फाइल्स एन्कोड/डीकोड करण्यासाठी तुम्ही पोस्टमनमधील ऑनलाइन कन्व्हर्टरचा वापर प्रात्यक्षिक हेतूंसाठी करू शकता, उदाहरणार्थ - https://base64.guru. व्यावहारिक हेतूंसाठी, कोड लिहिताना तुम्ही अंगभूत एन्कोड आणि डीकोड पद्धती वापरल्या पाहिजेत.

आता फंक्शन्स जवळून पाहू te и वेचा या API मध्ये.

घटकासाठी te शब्दकोश प्रदान केला आहे te_options अपलोड/क्वेरी विनंत्यांमध्ये, आणि या विनंतीतील की पूर्णपणे te की सोबत जुळतात धोका प्रतिबंधक API.

अहवालांसह Win10 मध्ये फाइल इम्युलेशनसाठी उदाहरण विनंती

{
"request": [{
    "protocol_version": "1.1",
    "api_key": "<api_key>",
    "request_name": "UploadFile",
    "file_enc_data": "<base64_encoded_file>",
    "file_orig_name": "<filename>",
    "te_options": {
        "images": [
                {
                    "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                    "revision": 1
                }
            ],
        "reports": ["summary", "xml"]
    }
    }
    ]
}

घटकासाठी वेचा शब्दकोश प्रदान केला आहे scrub_options. ही विनंती साफसफाईची पद्धत निर्दिष्ट करते: PDF मध्ये रूपांतरित करा, सक्रिय सामग्री साफ करा किंवा धोका प्रतिबंध प्रोफाइलनुसार मोड निवडा (प्रोफाइल नाव सूचित केले आहे). फाईलसाठी एक्स्ट्रॅक्शन API विनंतीला प्रतिसाद देण्याची मोठी गोष्ट म्हणजे तुम्हाला त्या विनंतीच्या प्रतिसादात बेस64 एनक्रिप्टेड स्ट्रिंग म्हणून एक साफ प्रत मिळते (तुम्हाला क्वेरी विनंती करण्याची आणि डाउनलोड करण्यासाठी आयडी पाहण्याची आवश्यकता नाही. दस्तऐवज)

फाइल साफ करण्याच्या विनंतीचे उदाहरण

    {
	"request": [{
		"protocol_version": "1.1",
		"api_key": "<API_KEY>",
		"request_name": "UploadFile",
		"file_enc_data": "<base64_encoded_file>",
		"file_orig_name": "hi.txt",
		"scrub_options": {
			"scrub_method": 2
		}
	}]
}

विनंतीला उत्तर द्या

{
	"response": [{
		"protocol_version": "1.1",
		"src_ip": "<IP_ADDRESS>",
		"scrub": {
			"file_enc_data": "<base64_encoded_converted_to_PDF_file>",
			"input_real_extension": "js",
			"message": "OK",
			"orig_file_url": "",
			"output_file_name": "hi.cleaned.pdf",
			"protection_name": "Extract potentially malicious content",
			"protection_type": "Conversion to PDF",
			"real_extension": "txt",
			"risk": 0,
			"scrub_activity": "TXT file was converted to PDF",
			"scrub_method": "Convert to PDF",
			"scrub_result": 0,
			"scrub_time": "0.011",
			"scrubbed_content": ""
		}
	}]
}

साफ केलेली प्रत मिळविण्यासाठी कमी API विनंत्या आवश्यक आहेत हे असूनही, मला हा पर्याय फॉर्म-डेटा विनंतीपेक्षा कमी श्रेयस्कर आणि सोयीचा वाटतो. धोका प्रतिबंधक API.

पोस्टमन संग्रह

मी सुरक्षा गेटवेसाठी थ्रेट प्रिव्हेन्शन API आणि थ्रेट प्रिव्हेन्शन API या दोन्हीसाठी पोस्टमनमध्ये संग्रह तयार केले आहेत, जे सर्वात सामान्य API विनंत्या दर्शवतात. सर्व्हर ip/url API आणि की आपोआप विनंत्यांमध्ये बदलण्यासाठी आणि फाइल डाउनलोड केल्यानंतर sha256 हॅशची रक्कम लक्षात ठेवण्यासाठी, संग्रहांमध्ये तीन व्हेरिएबल्स तयार केले गेले आहेत (तुम्ही संग्रह सेटिंग्जमध्ये जाऊन ते शोधू शकता. संपादित करा -> चल): te_api (आवश्यक), api_key (स्थानिक उपकरणांसह TP API वापरताना वगळता, भरणे आवश्यक आहे), sha256 (रिकामे सोडा, SG साठी TP API मध्ये वापरलेले नाही).

थ्रेट प्रिव्हेंशन API साठी पोस्टमन संग्रह डाउनलोड करा

Скачать коллекцию Postman для Threat Prevention for Security Gateway API

वापरण्याची उदाहरणे

समाजात सोबती तपासा पायथनमध्ये लिहिलेल्या स्क्रिप्ट्स सादर केल्या जातात ज्याद्वारे इच्छित डिरेक्टरीमधून फाईल्स तपासल्या जातात TP API, आणि SG साठी TP API. थ्रेट प्रिव्हेंशन API सह परस्परसंवादाद्वारे, फायली स्कॅन करण्याची तुमची क्षमता लक्षणीयरीत्या विस्तारली आहे, कारण आता तुम्ही एकाच वेळी अनेक प्लॅटफॉर्मवर फाइल्स स्कॅन करू शकता (चेक इन VirusTotal API, आणि नंतर चेक पॉइंट सँडबॉक्समध्ये), आणि केवळ नेटवर्क रहदारीवरूनच फायली प्राप्त करा, परंतु त्या कोणत्याही नेटवर्क ड्राइव्ह आणि उदाहरणार्थ, CRM सिस्टममधून देखील घ्या.

स्त्रोत: www.habr.com

API द्वारे चेक पॉइंट सँडब्लास्टसह परस्परसंवाद

मूलभूत संक्षेप

API संरचना आणि मुख्य मर्यादा

सँडब्लास्ट API: क्लाउडमध्ये आणि स्थानिक उपकरणांवर

API कॉल अपलोड करा

ते विभागातील कळा

निष्कर्षण विभागातील कळा

सामान्य माहिती

क्वेरी API कॉल

API कॉल डाउनलोड करा

कोटा API कॉल

सुरक्षा गेटवे साठी धोका प्रतिबंध API

पोस्टमन संग्रह

वापरण्याची उदाहरणे

एक टिप्पणी जोडा Отменить ответ