एपीआई मार्फत चेक पोइन्ट SandBlast संग अन्तरक्रिया

यो लेख टेक्नोलोजी संग परिचित को लागी उपयोगी हुनेछ चेक प्वाइन्ट फाइल अनुकरण द्वारा (खतरा अनुकरण) र सक्रिय फाइल सफाई (खतरा निकासी) र यी कार्यहरूलाई स्वचालित गर्ने दिशामा कदम चाल्न चाहन्छ। चेक पोइन्ट छ खतरा रोकथाम API, जुन दुबै क्लाउड र स्थानीय यन्त्रहरूमा चल्छ, र कार्यात्मक रूपमा यो वेब/smtp/ftp/smb/nfs ट्राफिक स्ट्रिमहरूमा फाइलहरू जाँच गर्न समान छ।। यो लेख आंशिक रूपमा आधिकारिक कागजातबाट लेखहरूको सेटको लेखकको व्याख्या हो, तर मेरो आफ्नै सञ्चालन अनुभव र मेरो आफ्नै उदाहरणहरूमा आधारित छ। साथै लेखमा तपाईले लेखकको पोस्टम्यान संग्रहहरू थ्रेट प्रिभेन्सन एपीआईसँग काम गर्न पाउनुहुनेछ।

आधारभूत संक्षिप्त नामहरू

The Threat Prevention API ले तीन मुख्य कम्पोनेन्टहरूसँग काम गर्छ, जसलाई निम्न पाठ मानहरू मार्फत API मा बोलाइन्छ:

av - एन्टि-भाइरस कम्पोनेन्ट, ज्ञात खतराहरूको हस्ताक्षर विश्लेषणको लागि जिम्मेवार।

te - थ्रेट इम्युलेसन कम्पोनेन्ट, स्यान्डबक्समा फाइलहरू जाँच गर्नका लागि जिम्मेवार, र इमुलेशन पछि खराब/सौम्य निर्णय गर्ने।

निकासी - थ्रेट एक्स्ट्र्याक्शन कम्पोनेन्ट, अफिसका कागजातहरूलाई द्रुत रूपमा प्रयोगकर्ताहरू/प्रणालीहरूमा डेलिभर गर्नका लागि सुरक्षित फारममा (जसमा सबै सम्भावित दुर्भावनापूर्ण सामग्री हटाइन्छ) रूपान्तरण गर्न जिम्मेवार।

API संरचना र मुख्य सीमाहरू

खतरा रोकथाम API ले 4 अनुरोधहरू मात्र प्रयोग गर्दछ - अपलोड, क्वेरी, डाउनलोड र कोटा। सबै चार अनुरोधहरूको लागि हेडरमा तपाईंले प्यारामिटर प्रयोग गरेर API कुञ्जी पास गर्न आवश्यक छ प्राधिकरण। पहिलो नजर मा, संरचना मा भन्दा धेरै सरल लाग्न सक्छ व्यवस्थापन API, तर अपलोड र क्वेरी अनुरोधहरूमा क्षेत्रहरूको संख्या र यी अनुरोधहरूको संरचना एकदम जटिल छ। यी कार्यात्मक रूपमा गेटवे/स्यान्डबक्स सुरक्षा नीतिमा खतरा रोकथाम प्रोफाइलहरूसँग तुलना गर्न सकिन्छ।

हाल, खतरा रोकथाम API को मात्र संस्करण जारी गरिएको छ - 1.0; API कलहरूको लागि URL समावेश हुनुपर्छ v1 भाग मा जहाँ तपाइँ संस्करण निर्दिष्ट गर्न आवश्यक छ। व्यवस्थापन API को विपरीत, URL मा API संस्करण संकेत गर्न आवश्यक छ, अन्यथा अनुरोध कार्यान्वयन हुनेछैन।

एन्टि-भाइरस कम्पोनेन्ट, जब अन्य कम्पोनेन्टहरू (te, एक्स्ट्र्याक्शन) बिना बोलाइन्छ, हाल मात्र md5 ह्यास योगहरूको साथ क्वेरी अनुरोधहरूलाई समर्थन गर्दछ। थ्रेट इम्युलेसन र थ्रेट एक्स्ट्र्याक्सनले sha1 र sha256 ह्यास रकमहरूलाई पनि समर्थन गर्दछ।

प्रश्नहरूमा गल्ती नगर्नु धेरै महत्त्वपूर्ण छ! अनुरोध त्रुटि बिना कार्यान्वयन गर्न सकिन्छ, तर पूर्ण रूपमा होइन। थोरै अगाडि हेर्दै, प्रश्नहरूमा त्रुटि/टाइपोहरू हुँदा के हुन सक्छ हेरौं।

रिपोर्टहरू (रिपोर्ट्स) शब्दको साथ टाइपोको साथ अनुरोध गर्नुहोस्

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reportss: ["tar", "pdf", "xml"]
            }
		}
	] 
}

प्रतिक्रियामा कुनै त्रुटि हुनेछैन, तर रिपोर्टहरूको बारेमा कुनै जानकारी हुनेछैन

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

तर रिपोर्ट कुञ्जीमा टाइपो बिना अनुरोधको लागि

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                reports: ["tar", "pdf", "xml"]
            }
		}
	] 
}

हामीले एउटा प्रतिक्रिया प्राप्त गर्छौं जसमा पहिले नै रिपोर्टहरू डाउनलोड गर्नको लागि आईडी समावेश छ

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9cc488fa6209caeb201678f8360a6bb806bd2f85b59d108517ddbbf90baec33a",
      "file_type": "pdf",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "b684066e-e41c-481a-a5b4-be43c27d8b65",
              "pdf_report": "e48f14f1-bcc7-4776-b04b-1a0a09335115",
              "xml_report": "d416d4a9-4b7c-4d6d-84b9-62545c588963"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

यदि हामीले गलत/समय समाप्त API कुञ्जी पठायौं भने, हामीले प्रतिक्रियामा 403 त्रुटि प्राप्त गर्नेछौं।

SandBlast API: क्लाउडमा र स्थानीय उपकरणहरूमा

API अनुरोधहरू थ्रेट इमुलेशन कम्पोनेन्ट (ब्लेड) सक्षम भएका चेक पोइन्ट उपकरणहरूमा पठाउन सकिन्छ। अनुरोधहरूको लागि ठेगानाको रूपमा, तपाईंले यन्त्रको ip/url र पोर्ट 18194 प्रयोग गर्न आवश्यक छ (उदाहरणका लागि, https://10.10.57.19:18194/tecloud/api/v1/file/query)। तपाईंले यो पनि सुनिश्चित गर्नुपर्छ कि यन्त्रमा सुरक्षा नीतिले यस्तो जडानलाई अनुमति दिन्छ। पूर्वनिर्धारित रूपमा स्थानीय उपकरणहरूमा API कुञ्जी मार्फत प्राधिकरण बन्द र अनुरोध हेडरमा प्राधिकरण कुञ्जी सबै पठाउन सकिँदैन।

चेकपोइन्ट क्लाउडमा API अनुरोधहरू पठाइनुपर्छ te.checkpoint.com (उदाहरणका लागि - https://te.checkpoint.com/tecloud/api/v1/file/query)। एपीआई कुञ्जी चेक पोइन्ट साझेदारहरू वा कम्पनीको स्थानीय कार्यालयमा सम्पर्क गरेर ६० दिनको लागि परीक्षण इजाजतपत्रको रूपमा प्राप्त गर्न सकिन्छ।

स्थानीय उपकरणहरूमा, थ्रेट एक्स्ट्र्याक्शन अझै मानकको रूपमा समर्थित छैन। खतरा रोकथाम API र प्रयोग गर्नुपर्छ सुरक्षा गेटवे को लागी खतरा रोकथाम API (हामी लेखको अन्त्यमा थप विवरणमा यसको बारेमा कुरा गर्नेछौं)।

स्थानीय यन्त्रहरूले कोटा अनुरोधलाई समर्थन गर्दैनन्।

अन्यथा, स्थानीय उपकरणहरू र क्लाउडमा अनुरोधहरू बीच कुनै भिन्नता छैन।

API कल अपलोड गर्नुहोस्

प्रयोग गरिएको विधि - पोस्ट

कल ठेगाना - https:///tecloud/api/v1/file/upload

अनुरोधमा दुई भागहरू हुन्छन् (फारम-डेटा): इमुलेशन/सफाईको लागि अभिप्रेरित फाइल र पाठ सहितको अनुरोधको मुख्य भाग।

पाठ अनुरोध खाली हुन सक्दैन, तर यसमा कुनै पनि कन्फिगरेसन समावेश नहुन सक्छ। अनुरोध सफल हुनको लागि, तपाईंले अनुरोधमा कम्तिमा निम्न पाठ पठाउनु पर्छ:

अपलोड अनुरोधको लागि न्यूनतम आवश्यक छ

HTTP POST

https:///tecloud/api/v1/file/upload

हेडरहरू:

प्राधिकरण:

शारीरिक

{

"अनुरोध": {

}

}

फाइल

फाइल

यस अवस्थामा, फाइल पूर्वनिर्धारित प्यारामिटरहरू अनुसार प्रशोधन गरिनेछ: घटक - te, OS छविहरू - Win XP र Win 7, प्रतिवेदन उत्पन्न नगरी।

पाठ अनुरोधमा मुख्य क्षेत्रहरूमा टिप्पणीहरू:

फाइल_नाम и फाइल_प्रकार तपाईंले तिनीहरूलाई खाली छोड्न सक्नुहुन्छ वा तिनीहरूलाई पठाउन सक्नुहुन्न, किनकि फाइल अपलोड गर्दा यो विशेष रूपमा उपयोगी जानकारी होइन। API प्रतिक्रियामा, यी फिल्डहरू डाउनलोड गरिएको फाइलको नामको आधारमा स्वचालित रूपमा भरिनेछ, र क्यासमा रहेको जानकारी अझै पनि md5/sha1/sha256 ह्यास मात्राहरू प्रयोग गरेर खोजी गर्नुपर्नेछ।

खाली फाइल_नाम र फाइल_प्रकारको साथ उदाहरण अनुरोध

{

"request": {

"file_name": "",

"file_type": "",

}

}

विशेषताहरु — एक सूची जसले स्यान्डबक्समा प्रशोधन गर्दा आवश्यक कार्यक्षमता संकेत गर्दछ - av (एन्टि-भाइरस), te (धम्की इमुलेशन), निकासी (धम्की निकाल्ने)। यदि यो प्यारामिटर सबै पास छैन भने, केवल पूर्वनिर्धारित घटक प्रयोग गरिनेछ - te (धम्की इमुलेशन)।

तीन उपलब्ध कम्पोनेन्टहरूमा जाँच सक्षम गर्न, तपाईंले API अनुरोधमा यी कम्पोनेन्टहरू निर्दिष्ट गर्न आवश्यक छ।

av, te र एक्स्ट्र्याक्सन जाँच गर्ने अनुरोधको उदाहरण

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["av", "te", "extraction"]  
		}
	] 
}

te खण्डमा कुञ्जीहरू

तस्बिरहरू — जाँच गरिने अपरेटिङ सिस्टमहरूको आईडी र रिभिजन नम्बर सहितको शब्दकोश समावेश गरिएको सूची। ID र संशोधन नम्बरहरू सबै स्थानीय यन्त्रहरू र क्लाउडका लागि समान छन्।

अपरेटिङ सिस्टम र संशोधनहरूको सूची

उपलब्ध OS छवि ID

संशोधन

छवि OS र अनुप्रयोग

e50e99f3-5963-4573-af9e-e3f4750b55e2

1

Microsoft Windows: XP - 32bit SP3
कार्यालय: 2003, 2007
Adobe Acrobat Reader: 9.0
फ्लैश प्लेयर 9r115 र एक्टिभएक्स 10.0
जाभा रनटाइम: 1.6.0u22

7e6fe36e-889e-4c25-8704-56378f0830df

1

Microsoft Windows: 7 - 32 बिट
कार्यालय: 2003, 2007
Adobe Acrobat Reader: 9.0
फ्ल्यास प्लेयर: 10.2r152 (जोड्नु& एक्टिभएक्स)
जाभा रनटाइम: 1.6.0u0

8d188031-1010-4466-828b-0cd13d4303ff

1

Microsoft Windows: 7 - 32 बिट
कार्यालय: 2010
Adobe Acrobat Reader: 9.4
फ्ल्यास प्लेयर: 11.0.1.152 (जोड्नु & एक्टिभएक्स)
जाभा रनटाइम: 1.7.0u0

5e5de275-a103-4f67-b55b-47532918fa59

1

Microsoft Windows: 7 - 32 बिट
कार्यालय: 2013
Adobe Acrobat Reader: 11.0
फ्ल्यास प्लेयर: 15 (जोड्नु & एक्टिभएक्स)
जाभा रनटाइम: 1.7.0u9

3ff3ddae-e7fd-4969-818c-d5f1a2be336d

1

Microsoft Windows: 7 - 64 बिट
कार्यालय: २०१३ (३२ बिट)
Adobe Acrobat Reader: 11.0.01
फ्ल्यास प्लेयर: 13 (जोड्नु & एक्टिभएक्स)
जाभा रनटाइम: 1.7.0u9

6c453c9b-20f7-471a-956c-3198a868dc92 

 

1 

Microsoft Windows: 8.1 - 64 बिट
कार्यालय: २०१३ (३२ बिट)
Adobe Acrobat Reader: 11.0.10
फ्ल्यास प्लेयर: 18.0.0.160 (जोड्नु & एक्टिभएक्स)
जाभा रनटाइम: 1.7.0u9

10b4a9c6-e414-425c-ae8b-fe4dd7b25244 

 

1

Microsoft Windows: 10
कार्यालय: Professional Plus 2016 en-us  
Adobe Acrobat Reader: DC 2015 MUI
फ्ल्यास प्लेयर: 20 (जोड्नु & एक्टिभएक्स)
जाभा रनटाइम: 1.7.0u9

यदि छवि कुञ्जी सबै निर्दिष्ट गरिएको छैन भने, इमुलेशन चेक पोइन्ट (हाल Win XP र Win 7) द्वारा सिफारिस गरिएका छविहरूमा हुनेछ। यी छविहरू प्रदर्शन र क्याच दरको उत्कृष्ट सन्तुलनको विचारमा आधारित सिफारिस गरिन्छ।

रिपोर्ट - फाइल दुर्भावनापूर्ण भएको अवस्थामा हामीले अनुरोध गर्ने रिपोर्टहरूको सूची। निम्न विकल्पहरू उपलब्ध छन्:

1. सारांश - .tar.gz अभिलेख जसमा द्वारा इमुलेशनमा रिपोर्ट छ सबैलाई अनुरोध गरिएका तस्बिरहरू (दुवै html पृष्ठ र कम्पोनेन्टहरू जस्तै इमुलेटर OS बाट भिडियो, नेटवर्क ट्राफिक डम्प, json मा रिपोर्ट, र नमूना आफैं पासवर्ड-सुरक्षित अभिलेखमा)। हामी जवाफमा कुञ्जी खोजिरहेका छौं - सारांश_रिपोर्ट रिपोर्ट को पछि डाउनलोड को लागी।

2. PDF - मा इमुलेशन बारे कागजात एक छवि, जुन धेरै स्मार्ट कन्सोल मार्फत प्राप्त गर्न अभ्यस्त छन्। हामी जवाफमा कुञ्जी खोजिरहेका छौं - pdf_report रिपोर्ट को पछि डाउनलोड को लागी।

3. XML - मा इमुलेशन बारे कागजात एक छवि, प्रतिवेदनमा प्यारामिटरहरूको पछिल्लो पार्सिङको लागि सुविधाजनक। हामी जवाफमा कुञ्जी खोजिरहेका छौं - xml_report रिपोर्ट को पछि डाउनलोड को लागी।

4. tar - .tar.gz अभिलेखमा इमुलेशनमा रिपोर्ट समावेश छ एक अनुरोध गरिएका तस्बिरहरू (दुवै html पृष्ठ र कम्पोनेन्टहरू जस्तै इमुलेटर OS बाट भिडियो, नेटवर्क ट्राफिक डम्प, json मा रिपोर्ट, र नमूना आफैं पासवर्ड-सुरक्षित अभिलेखमा)। हामी जवाफमा कुञ्जी खोजिरहेका छौं - full_report रिपोर्ट को पछि डाउनलोड को लागी।

सारांश रिपोर्ट भित्र के छ

कुञ्जीहरू full_report, pdf_report, xml_report प्रत्येक OS को लागि शब्दकोशमा छन्।

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "9e6f07d03b37db0d3902bde4e239687a9e3d650e8c368188c7095750e24ad2d5",
      "file_type": "html",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "8d18067e-b24d-4103-8469-0117cd25eea9",
              "pdf_report": "05848b2a-4cfd-494d-b949-6cfe15d0dc0b",
              "xml_report": "ecb17c9d-8607-4904-af49-0970722dd5c8"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "d7c27012-8e0c-4c7e-8472-46cc895d9185",
              "pdf_report": "488e850c-7c96-4da9-9bc9-7195506afe03",
              "xml_report": "e5a3a78d-c8f0-4044-84c2-39dc80ddaea2"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

तर summary_report कुञ्जी - त्यहाँ सामान्य रूपमा अनुकरणको लागि एउटा छ

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "d57eadb7b2f91eea66ea77a9e098d049c4ecebd5a4c70fb984688df08d1fa833",
      "file_type": "exe",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "full_report": "c9a1767b-741e-49da-996f-7d632296cf9f",
              "xml_report": "cc4dbea9-518c-4e59-b6a3-4ea463ca384b"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          },
          {
            "report": {
              "verdict": "malicious",
              "full_report": "ba520713-8c0b-4672-a12f-0b4a1575b913",
              "xml_report": "87bdb8ca-dc44-449d-a9ab-2d95e7fe2503"
            },
            "status": "found",
            "id": "6c453c9b-20f7-471a-956c-3198a868dc92",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "summary_report": "7e7db12d-5df6-4e14-85f3-2c1e29cd3e34",
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

तपाइँ एकै समयमा tar र xml र pdf रिपोर्टहरू अनुरोध गर्न सक्नुहुन्छ, तपाइँ सारांश र tar र xml अनुरोध गर्न सक्नुहुन्छ। एकै समयमा सारांश रिपोर्ट र पीडीएफ अनुरोध गर्न सम्भव छैन।

निकासी खण्डमा कुञ्जीहरू

खतरा निकासीको लागि, केवल दुई कुञ्जीहरू प्रयोग गरिन्छ:

विधि - pdf (pdf मा रूपान्तरण, पूर्वनिर्धारित रूपमा प्रयोग गरिएको) वा सफा (सक्रिय सामग्री सफा गर्दै)।

extracted_parts_codes - सक्रिय सामग्री हटाउनका लागि कोडहरूको सूची, सफा विधिको लागि मात्र लागू हुन्छ

फाइलहरूबाट सामग्री हटाउनका लागि कोडहरू

कोड

विवरण

1025

लिङ्क गरिएका वस्तुहरू

1026

म्याक्रो र कोड

1034

संवेदनशील हाइपरलिङ्कहरू

1137

PDF GoToR कार्यहरू

1139

PDF लन्च कार्यहरू

1141

PDF URI कार्यहरू

1142

PDF ध्वनि कार्यहरू

1143

PDF चलचित्र कार्यहरू

1150

PDF JavaScript कार्यहरू

1151

PDF पेश फारम कार्यहरू

1018

डाटाबेस क्वेरीहरू

1019

इम्बेडेड वस्तुहरू

1021

छिटो बचत डाटा

1017

अनुकूलन गुणहरू

1036

तथ्याङ्क गुण

1037

सारांश गुणहरू

सफा गरिएको प्रतिलिपि डाउनलोड गर्नको लागि, तपाईंले केही सेकेन्ड पछि क्वेरी अनुरोध (जसलाई तल छलफल गरिनेछ) बनाउन आवश्यक छ, फाइलको ह्यास रकम र अनुरोध पाठमा निकाल्ने घटक निर्दिष्ट गर्दै। तपाईंले क्वेरीको जवाफबाट आइडी प्रयोग गरी सफा गरिएको फाइल उठाउन सक्नुहुन्छ - extracted_file_download_id। एक पटक फेरि, अलिकति अगाडि हेर्दै, म एक अनुरोध र एक क्लियर कागजात डाउनलोड गर्न को लागी एक आईडी खोज्न को लागी एक प्रश्न प्रतिक्रिया को उदाहरण दिन्छु।

extracted_file_download_id कुञ्जी खोज्नको लागि क्वेरी अनुरोध

{ "request":  [  

		{	
			"sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
			"features": ["extraction"] , 
			"extraction": {
		        "method": "pdf"
            }
		}
	] 
}

प्रश्नको जवाफ (extracted_file_download_id कुञ्जी खोज्नुहोस्)

{
    "response": [
        {
            "status": {
                "code": 1001,
                "label": "FOUND",
                "message": "The request has been fully answered."
            },
            "sha256": "9a346005ee8c9adb489072eb8b5b61699652962c17596de9c326ca68247a8876",
            "file_type": "",
            "file_name": "",
            "features": [
                "extraction"
            ],
            "extraction": {
                "method": "pdf",
                "extract_result": "CP_EXTRACT_RESULT_SUCCESS",
                "extracted_file_download_id": "b5f2b34e-3603-4627-9e0e-54665a531ab2",
                "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                "time": "0.013",
                "extract_content": "Macros and Code",
                "extraction_data": {
                    "input_extension": "xls",
                    "input_real_extension": "xls",
                    "message": "OK",
                    "output_file_name": "kp-20-xls.cleaned.xls.pdf",
                    "protection_name": "Potential malicious content extracted",
                    "protection_type": "Conversion to PDF",
                    "protocol_version": "1.0",
                    "risk": 5.0,
                    "scrub_activity": "Active content was found - XLS file was converted to PDF",
                    "scrub_method": "Convert to PDF",
                    "scrub_result": 0.0,
                    "scrub_time": "0.013",
                    "scrubbed_content": "Macros and Code"
                },
                "tex_product": false,
                "status": {
                    "code": 1001,
                    "label": "FOUND",
                    "message": "The request has been fully answered."
                }
            }
        }
    ]
}

सामान्य जानकारी

एउटा API कलमा, तपाईंले प्रमाणीकरणका लागि एउटा मात्र फाइल पठाउन सक्नुहुन्छ।

av कम्पोनेन्टलाई कुञ्जीहरूसँग थप खण्डको आवश्यकता पर्दैन, यो शब्दकोशमा निर्दिष्ट गर्न पर्याप्त छ विशेषताहरु.

क्वेरी API कल

प्रयोग गरिएको विधि - पोस्ट

कल ठेगाना - https:///tecloud/api/v1/file/query

डाउनलोड (अपलोड अनुरोध) को लागी फाइल पठाउनु अघि, एपीआई सर्भरमा लोड अप्टिमाइज गर्नको लागि स्यान्डबक्स क्यास (क्वेरी अनुरोध) जाँच गर्न सल्लाह दिइन्छ, किनकि एपीआई सर्भरसँग पहिले नै डाउनलोड गरिएको फाइलमा जानकारी र निर्णय हुन सक्छ। कलमा टेक्स्ट पार्ट मात्र हुन्छ। अनुरोधको आवश्यक भाग फाइलको sha1/sha256/md5 ह्यास रकम हो। वैसे, तपाईले यसलाई अपलोड अनुरोधको प्रतिक्रियामा प्राप्त गर्न सक्नुहुन्छ।

प्रश्नको लागि न्यूनतम आवश्यक छ

HTTP POST

https:///tecloud/api/v1/file/query

हेडरहरू:

प्राधिकरण:

शारीरिक

{

"अनुरोध": {

"sha256":

}

}

अपलोड अनुरोधको प्रतिक्रियाको उदाहरण, जहाँ sha1/md5/sha256 ह्यास मात्राहरू देखिने छन्

{
  "response": {
    "status": {
      "code": 1002,
      "label": "UPLOAD_SUCCESS",
      "message": "The file was uploaded successfully."
    },
    "sha1": "954b5a851993d49ef8b2412b44f213153bfbdb32",
    "md5": "ac29b7c26e7dcf6c6fdb13ac0efe98ec",
    "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
    "file_type": "",
    "file_name": "kp-20-doc.doc",
    "features": [
      "te"
    ],
    "te": {
      "trust": 0,
      "images": [
        {
          "report": {
            "verdict": "unknown"
          },
          "status": "not_found",
          "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
          "revision": 1
        }
      ],
      "score": -2147483648,
      "status": {
        "code": 1002,
        "label": "UPLOAD_SUCCESS",
        "message": "The file was uploaded successfully."
      }
    }
  }
}

क्वेरी अनुरोध, ह्यास रकमको अतिरिक्त, आदर्श रूपमा अपलोड अनुरोध जस्तै हुनुपर्छ (वा योजना गरिएको छ), वा "पहिले नै" (अपलोड अनुरोधमा भन्दा क्वेरी अनुरोधमा कम क्षेत्रहरू समावेश गर्दछ)। यदि क्वेरी अनुरोधमा अपलोड अनुरोधमा भन्दा बढी फिल्डहरू समावेश छन् भने, तपाईंले प्रतिक्रियामा सबै आवश्यक जानकारी प्राप्त गर्नुहुने छैन।

यहाँ एउटा प्रश्नको जवाफको उदाहरण छ जहाँ सबै आवश्यक डेटा फेला परेन

{
  "response": [
    {
      "status": {
        "code": 1006,
        "label": "PARTIALLY_FOUND",
        "message": "The request cannot be fully answered at this time."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te",
        "extraction"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      },
      "extraction": {
        "method": "pdf",
        "tex_product": false,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

क्षेत्रहरूमा ध्यान दिनुहोस् कोड и लेबल। यी क्षेत्रहरू स्थिति शब्दकोशमा तीन पटक देखा पर्दछ। पहिले हामी विश्वव्यापी कुञ्जी "कोड": 1006 र "लेबल": "PARTIALLY_FOUND" देख्छौं। अर्को, यी कुञ्जीहरू हामीले अनुरोध गरेका प्रत्येक व्यक्तिगत कम्पोनेन्टका लागि पाइन्छ - te र एक्स्ट्र्याक्शन। र यदि तपाइँको लागि यो स्पष्ट छ कि डाटा फेला परेको छ, त्यसपछि निकासीको लागि कुनै जानकारी छैन।

यो माथिको उदाहरणको लागि क्वेरी जस्तो देखिन्छ

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te", "extraction"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

यदि तपाईंले एक्स्ट्र्याक्सन कम्पोनेन्ट बिना क्वेरी अनुरोध पठाउनुभयो भने

{ "request":  [  

		{	
			"sha256": {{sha256}},
			"features": ["te"] , 
			"te": {
				"images": [
                    {
                        "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                        "revision": 1
                    }
                ],
                "reports": [
                    "xml", "pdf"
                ]
            }
		}
	] 
}

त्यसपछि जवाफमा पूर्ण जानकारी समावेश हुनेछ ("कोड": 1001, "लेबल": "फेलायो")

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd90",
      "file_type": "doc",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious",
              "pdf_report": "4e9cddaf-03a4-489f-aa03-3c18f8d57a52",
              "xml_report": "9c18018f-c761-4dea-9372-6a12fcb15170"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 1,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    }
  ]
}

यदि त्यहाँ क्यासमा कुनै जानकारी छैन भने, त्यसपछि प्रतिक्रिया "लेबल" हुनेछ: "NOT_FOUND"

{
  "response": [
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "313c0feb009356495b7f4a60e96737120beb30e1912c6d866218cee830aebd91",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

एउटा API कलमा, तपाईंले प्रमाणीकरणका लागि एकै पटक धेरै ह्यास रकमहरू पठाउन सक्नुहुन्छ। प्रतिक्रियाले अनुरोधमा पठाइएका क्रममा डेटा फिर्ता गर्नेछ।

धेरै sha256 रकम सहितको क्वेरी अनुरोधको उदाहरण

{ "request":  [  

		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81"
        },
        		{	
			"sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82"
        }
	] 
}

धेरै sha256 रकमहरू भएको प्रश्नको जवाफ

{
  "response": [
    {
      "status": {
        "code": 1001,
        "label": "FOUND",
        "message": "The request has been fully answered."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd81",
      "file_type": "dll",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 10,
        "images": [
          {
            "report": {
              "verdict": "malicious"
            },
            "status": "found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "combined_verdict": "malicious",
        "severity": 4,
        "confidence": 3,
        "status": {
          "code": 1001,
          "label": "FOUND",
          "message": "The request has been fully answered."
        }
      }
    },
    {
      "status": {
        "code": 1004,
        "label": "NOT_FOUND",
        "message": "Could not find the requested file. Please upload it."
      },
      "sha256": "b84531d3829bf6131655773a3863d6b16f6389b7f4036aef9b81c0cb60e7fd82",
      "file_type": "",
      "file_name": "",
      "features": [
        "te"
      ],
      "te": {
        "trust": 0,
        "images": [
          {
            "report": {
              "verdict": "unknown"
            },
            "status": "not_found",
            "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
            "revision": 1
          }
        ],
        "score": -2147483648,
        "status": {
          "code": 1004,
          "label": "NOT_FOUND",
          "message": "Could not find the requested file. Please upload it."
        }
      }
    }
  ]
}

क्वेरी अनुरोधमा एकै पटक धेरै ह्यास रकमहरू अनुरोध गर्दा API सर्भरको कार्यसम्पादनमा पनि लाभदायक प्रभाव पर्नेछ।

API कल डाउनलोड गर्नुहोस्

प्रयोग गरिएको विधि - पोस्ट (कागजात अनुसार), प्राप्त पनि काम गर्दछ (र अधिक तार्किक लाग्न सक्छ)

कल ठेगाना - https:///tecloud/api/v1/file/download?id=

हेडरलाई API कुञ्जी पास गर्न आवश्यक छ, अनुरोधको मुख्य भाग खाली छ, डाउनलोड आईडी URL ठेगानामा पास गरिएको छ।

क्वेरी अनुरोधको जवाफमा, यदि इमुलेशन पूरा भयो र फाइल डाउनलोड गर्दा रिपोर्टहरू अनुरोध गरियो भने, रिपोर्टहरू डाउनलोड गर्ने आईडी देखिनेछ। यदि सफा गरिएको प्रतिलिपि अनुरोध गरिएको छ भने, तपाईंले सफा गरिएको कागजात डाउनलोड गर्न आईडी खोज्नुपर्छ।

कुलमा, लोडिङको लागि आईडी मान समावेश गरिएको क्वेरीको जवाफमा कुञ्जीहरू हुन सक्छन्:

• सारांश_रिपोर्ट

• full_report

• pdf_report

• xml_report

• extracted_file_download_id

निस्सन्देह, क्वेरी अनुरोधको जवाफमा यी कुञ्जीहरू प्राप्त गर्नका लागि, तिनीहरू अनुरोधमा निर्दिष्ट हुनुपर्छ (रिपोर्टहरूका लागि) वा एक्स्ट्र्यासन प्रकार्य प्रयोग गरेर अनुरोध गर्न सम्झनु पर्छ (साफ गरिएका कागजातहरूका लागि)।

कोटा API कल

प्रयोग गरिएको विधि - पोस्ट

कल ठेगाना - https:///tecloud/api/v1/file/quota

क्लाउडमा बाँकी कोटा जाँच गर्न, कोटा क्वेरी प्रयोग गर्नुहोस्। अनुरोधको मुख्य भाग खाली छ।

कोटा अनुरोधको उदाहरणको जवाफ

{
  "response": [
    {
      "remain_quota_hour": 1250,
      "remain_quota_month": 10000000,
      "assigned_quota_hour": 1250,
      "assigned_quota_month": 10000000,
      "hourly_quota_next_reset": "1599141600",
      "monthly_quota_next_reset": "1601510400",
      "quota_id": "TEST",
      "cloud_monthly_quota_period_start": "1421712300",
      "cloud_monthly_quota_usage_for_this_gw": 0,
      "cloud_hourly_quota_usage_for_this_gw": 0,
      "cloud_monthly_quota_usage_for_quota_id": 0,
      "cloud_hourly_quota_usage_for_quota_id": 0,
      "monthly_exceeded_quota": 0,
      "hourly_exceeded_quota": 0,
      "cloud_quota_max_allow_to_exceed_percentage": 1000,
      "pod_time_gmt": "1599138715",
      "quota_expiration": "0",
      "action": "ALLOW"
    }
  ]
}

सुरक्षा गेटवे को लागी खतरा रोकथाम API

यो API खतरा रोकथाम API अघि विकसित गरिएको थियो र स्थानीय उपकरणहरूको लागि मात्र हो। अहिलेको लागि यो केवल उपयोगी हुन सक्छ यदि तपाईलाई Threat Extraction API चाहिन्छ। थ्रेट इमुलेशनको लागि नियमित थ्रेट प्रिभेन्सन एपीआई प्रयोग गर्नु राम्रो हुन्छ। खोल्नको लागि SG को लागि TP API र API कुञ्जी कन्फिगर गर्नुहोस् जुन तपाईले चरणहरू पछ्याउन आवश्यक छ sk113599। म चरण 6b मा ध्यान दिन र पृष्ठको पहुँच जाँच गर्न सिफारिस गर्दछु https://<IPAddressofSecurityGateway>/UserCheck/TPAPI किनभने नकारात्मक नतिजाको अवस्थामा, थप कन्फिगरेसनको अर्थ हुँदैन। सबै API कलहरू यो url मा पठाइनेछ। कल प्रकार (अपलोड/क्वेरी) कल बडी कुञ्जी - मा विनियमित छ अनुरोध_नाम. आवश्यक कुञ्जीहरू पनि छन् - api_key (तपाईले यसलाई कन्फिगरेसन प्रक्रियाको समयमा सम्झनु आवश्यक छ) र protocol_version (हालको हालको संस्करण १.१ हो)। तपाईंले यस API को लागि आधिकारिक कागजातहरू फेला पार्न सक्नुहुन्छ sk137032। सापेक्षिक फाइदाहरूमा इम्युलेसनको लागि धेरै फाइलहरू एकैचोटि पठाउने क्षमता समावेश छ जब फाइलहरू आधार 64 पाठ स्ट्रिङको रूपमा पठाइन्छ। बेस64 मा/बाट फाइलहरू इन्कोड/डिकोड गर्न तपाईंले प्रदर्शन उद्देश्यका लागि पोस्टम्यानमा अनलाइन कन्भर्टर प्रयोग गर्न सक्नुहुन्छ, उदाहरणका लागि - https://base64.guru। व्यावहारिक उद्देश्यका लागि, तपाईंले कोड लेख्दा निर्मित इनकोड र डिकोड विधिहरू प्रयोग गर्नुपर्छ।

अब कार्यहरू नजिकबाट हेरौं te и निकासी यस API मा।

कम्पोनेन्टका लागि te शब्दकोश प्रदान गरियो te_options अपलोड/क्वेरी अनुरोधहरूमा, र यस अनुरोधमा भएका कुञ्जीहरू te कुञ्जीहरूसँग पूर्ण रूपमा मेल खान्छ खतरा रोकथाम API.

रिपोर्टहरू सहित Win10 मा फाइल इमुलेशनको लागि उदाहरण अनुरोध

{
"request": [{
    "protocol_version": "1.1",
    "api_key": "<api_key>",
    "request_name": "UploadFile",
    "file_enc_data": "<base64_encoded_file>",
    "file_orig_name": "<filename>",
    "te_options": {
        "images": [
                {
                    "id": "10b4a9c6-e414-425c-ae8b-fe4dd7b25244",
                    "revision": 1
                }
            ],
        "reports": ["summary", "xml"]
    }
    }
    ]
}

कम्पोनेन्टका लागि निकासी शब्दकोश प्रदान गरियो scrub_options। यो अनुरोधले सफाई विधि निर्दिष्ट गर्दछ: PDF मा रूपान्तरण गर्नुहोस्, सक्रिय सामग्री खाली गर्नुहोस्, वा खतरा रोकथाम प्रोफाइल (प्रोफाइल नाम संकेत गरिएको छ) अनुसार मोड चयन गर्नुहोस्। फाईलको लागि एक्स्ट्र्यासन एपीआई अनुरोधको जवाफ दिने बारेमा ठूलो कुरा यो हो कि तपाईंले बेस64 इन्क्रिप्टेड स्ट्रिङको रूपमा त्यो अनुरोधको जवाफमा सफा प्रतिलिपि प्राप्त गर्नुहुन्छ (तपाईले क्वेरी अनुरोध गर्न आवश्यक छैन र डाउनलोड गर्नको लागि आईडी खोज्नु पर्दैन। कागजात)

फाइल खाली गर्न अनुरोधको उदाहरण

    {
	"request": [{
		"protocol_version": "1.1",
		"api_key": "<API_KEY>",
		"request_name": "UploadFile",
		"file_enc_data": "<base64_encoded_file>",
		"file_orig_name": "hi.txt",
		"scrub_options": {
			"scrub_method": 2
		}
	}]
}

अनुरोधको जवाफ दिनुहोस्

{
	"response": [{
		"protocol_version": "1.1",
		"src_ip": "<IP_ADDRESS>",
		"scrub": {
			"file_enc_data": "<base64_encoded_converted_to_PDF_file>",
			"input_real_extension": "js",
			"message": "OK",
			"orig_file_url": "",
			"output_file_name": "hi.cleaned.pdf",
			"protection_name": "Extract potentially malicious content",
			"protection_type": "Conversion to PDF",
			"real_extension": "txt",
			"risk": 0,
			"scrub_activity": "TXT file was converted to PDF",
			"scrub_method": "Convert to PDF",
			"scrub_result": 0,
			"scrub_time": "0.011",
			"scrubbed_content": ""
		}
	}]
} 

कम एपीआई अनुरोधहरू क्लियर गरिएको प्रतिलिपि प्राप्त गर्न आवश्यक छ भन्ने तथ्यको बावजुद, मलाई यो विकल्पमा प्रयोग गरिएको फारम-डेटा अनुरोध भन्दा कम उपयुक्त र सुविधाजनक लाग्छ। खतरा रोकथाम API.

पोस्टम्यान संग्रह

मैले पोस्टम्यानमा दुबै खतरा रोकथाम API र सुरक्षा गेटवेका लागि खतरा रोकथाम API को लागि संग्रहहरू सिर्जना गरें, जुन सबैभन्दा सामान्य API अनुरोधहरू प्रतिनिधित्व गर्दछ। सर्भर ip/url API र कुञ्जीलाई स्वचालित रूपमा अनुरोधहरूमा प्रतिस्थापन गर्नको लागि, र फाइल डाउनलोड गरेपछि sha256 ह्यास रकम सम्झिनको लागि, संग्रह भित्र तीन चरहरू सिर्जना गरिएका छन् (तपाईले संग्रह सेटिङहरूमा गएर तिनीहरूलाई फेला पार्न सक्नुहुन्छ। सम्पादन -> चर): te_api (आवश्यक), api_key (स्थानीय उपकरणहरूमा TP API प्रयोग गर्दा बाहेक, भर्न आवश्यक छ), sha256 (खाली छोड्नुहोस्, SG को लागि TP API मा प्रयोग गरिएको छैन).

Threat Prevention API को लागि Postman संग्रह डाउनलोड गर्नुहोस्

सुरक्षा गेटवे API को लागी खतरा रोकथाम को लागी पोस्टम्यान संग्रह डाउनलोड गर्नुहोस्

प्रयोगका उदाहरणहरू

समुदायमा साथीहरू जाँच गर्नुहोस् पाइथनमा लेखिएका स्क्रिप्टहरू प्रस्तुत गरिएका छन् जसले मार्फत इच्छित डाइरेक्टरीबाट फाइलहरू जाँच गर्दछ TP API, र SG को लागि TP API। थ्रेट प्रिभेन्सन एपीआईसँगको अन्तर्क्रिया मार्फत, फाइलहरू स्क्यान गर्ने तपाईंको क्षमता उल्लेखनीय रूपमा विस्तार भएको छ, किनकि अब तपाईं एकै पटक धेरै प्लेटफर्महरूमा फाइलहरू स्क्यान गर्न सक्नुहुन्छ (चेक इन VirusTotal API, र त्यसपछि चेक पोइन्ट स्यान्डबक्समा), र नेटवर्क ट्राफिकबाट मात्र नभई कुनै पनि नेटवर्क ड्राइभहरू र उदाहरणका लागि, CRM प्रणालीहरूबाट फाइलहरू प्राप्त गर्नुहोस्।

स्रोत: www.habr.com