[Cortex XDR/XSIAM]カスタムスクリプトを実行する - Response Action

キャンセル
次の結果を表示 
表示  限定  | 次の代わりに検索 
もしかして: 
告知
L4 Transporter
評価なし

 Cortex XDRはレスポンスアクションとして、端末側で任意のスクリプトを実行できる機能があります。

Cortex XDRが持つビルトインのスクリプトの他、お客様が自作したインシデント対応用スクリプトなども

実行することができます。

 

ここでは、簡単なサンプルスクリプトを用いて自作のスクリプトを実行する方法について説明します。

なとスクリプトはPython 3.7に対応している必要があります。

 

使用するスクリプトは、端末のホスト名とtrueという文字列をDictionaryで返すという単純なものです。

import socket

def sample_script():

    hostname=socket.gethostname()
    return {
        "hostname": hostname,
        "test": "true"
    }

 

 

自作スクリプトの設定

Script Library「New Script」ボタンをクリックします。

massaito_0-1669275688084.png

 

青字のBrowseをクリックしコードをアップロードします。上記のファイルをsample.pyという名前で

アップロードしてみます。

massaito_1-1669275714526.png

 

 

Script Nameにアップロード時のファイル名が埋め込まれます。これは編集可能です。

そのほかDescriptionやSupported OS、Timeoutなども設定します。

massaito_5-1669276137223.png

 

Inputで Run by entry endpointを選択し、エントリポイントとする関数を選択します。

この例では「sample_script」という関数しかないので、「sample_script」を選択します。

 

Outputでは、sample_scriptの戻り値を設定します。

DictionaryオブジェクトだったのでOutput TypeでDictionaryを選択します。

この例では2つのキーを定義してしているので、それらを設定します。

Friendly Nameを設定すると、実行結果をスクリプトの変数名ではなく指定した名前に置き換えて表示します。

massaito_4-1669276052049.png

 

上記のDefenitionsに記載された項目(General, Input, Output)はManifest fileというファイルを

アップロードしていただき設定するやり方もあります。こちらは一番下にあるTech Docのリンクから

ご確認ください。

 

 

「Create」をクリックすると、 

massaito_6-1669276183042.png

 

Scripts Libraryに登録されます。

massaito_7-1669276385529.png

 

 

スクリプトの実行


 作成したスクリプトを右クリックし「Run」を選択します。

massaito_8-1669276527082.png

 

以下のような画面に遷移します。

massaito_9-1669276643222.png

 

スクリプトを実行したいエンドポイントを選択します。

massaito_10-1669276685649.png

 

設定内容を確認して実行すると、

massaito_11-1669276702647.png

 

実行結果の確認

 

All Actionsで実行ステータスを確認できます。 Completed Successfullyになっていればスクリプトの実行が

完了しています。

massaito_12-1669276743661.png

 

 

実行した結果から「Additional Data」をクリックすると、

massaito_14-1669276842628.png

 

結果を確認できます。

変数「hostname」「test」に入ってきた値を確認できます。

massaito_13-1669276823448.png

 

3台の端末で実行して全て成功

massaito_0-1669885868893.png

 

「test」はtrueしか返さないので3件のtrueが得られた

massaito_1-1669885928595.png

 

「agent host name」はそれぞれの端末のホスト名が得られた

massaito_2-1669886035165.png

 

 

 青色の「Generate report」をクリックすると、Reportsから実行結果をpdfファイルでダウンロードできます。

massaito_15-1669277002646.png

 

massaito_16-1669277025702.png

 

スクリプトの実行結果を同じ画面ですね。

massaito_17-1669277066350.png

 

ご参考

Response ActrionでCISベンチマークを実施するスクリプトを実行するサンプルが紹介されておりますので、

1つのアイデアとして参考にしていただければと思います。

https://live.paloaltonetworks.com/t5/cortex-xdr-discussions/dtrh-cis-benchmarking-3rd-party-data-ing...

 

Tech Doc

カスタムスクリプトの設定の詳細はこちら

この記事を評価:
  • 1314 閲覧回数
  • 0 コメント
  • 0 賞賛
Register or Sign-in
寄稿者
記事ダッシュボード
バージョン履歴
最終更新日:
‎11-02-2023 02:47 AM
更新者: