RISKIQ et WHOISIQ intégration

Grâce à l’intégration des RISKIQWHOISIQ API et au Now Platform® Opérations de sécurité produit, les analystes de sécurité disposent de données d’enrichissement supplémentaires et d’un aperçu de la validité des sites Web.

L’API RISKIQ Certificats SSL effectue des recherches sur les certificats SSL, qui incluent des détails sur l’autorité de certification émettrice, les organisations qui demandent des certificats, les certificats d’entité auxquels les certificats sont délivrés et le domaine. Les recherches de certificats SSL sont effectuées automatiquement lorsque des incidents de sécurité sont créés.

L’API RISKIQ WHOISIQ effectue des recherches sur d’autres types d’observables, tels que domaine, e-mail, serveur de noms, organisation, adresse et numéro de téléphone. Les observables d’URL et de domaine sont enrichis automatiquement lorsque des incidents de sécurité sont créés.

L’intégration nécessite le et Renseignements sur les menaces les Réponse aux incidents de sécurité produits.

1. Observables pris en charge pour RISKIQ et RISKIQ WHOISIQ
   L’API RISKIQ prend en charge les recherches automatiques de certificats SSL sur l’adresse IP, le hachage de fichier, le numéro de série du certificat, le domaine et les observables d’URL. Les observables d’URL et de domaine sont enrichis automatiquement avec l’API WHOISIQ . Pour l’enrichissement des observables sur d’autres types d’observables avec l’API WHOISIQ , créez des observables et exécutez des recherches manuellement à partir de la table Observables.
2. Installer et configurer RISKIQ et WHOISIQ
   Avant d’exécuter l’intégration sur votre instance, effectuez les étapes d’installation et de configuration afin que les applications et s’intègrent RISKIQ correctement à Now Platform Opérations de sécurité.WHOISIQ
3. Vérifier les résultats attendus pour RISKIQ les recherches de certificat SSL
   Lorsqu’un incident de sécurité génère des observables pour les URL, les domaines, les adresses IP, les hachages de fichiers de certificat (empreinte digitale SHA-1) et les numéros de série de certificat, les analystes d’incidents de sécurité utilisent les résultats de recherche de certificat SSL pour vérifier que les sites disposent de certificats émis par une autorité de certification publique (CA) approuvée.
4. Vérifier les résultats attendus pour WHOISIQ les recherches d’URL
   Lorsqu’un incident de sécurité génère des observables pour des URL ou des domaines, l’API WHOISIQ procède automatiquement à l’enrichissement de l’observable lors de sa création. Les résultats de la recherche sont affichés dans les onglets Résultats de l’enrichissement des observables et Certificats SSL de l’enregistrement d’incident de sécurité.
5. Créer un observable pour les recherches manuelles WHOISIQ
   Les analystes d’incidents de sécurité utilisent les informations issues de l’enrichissement des observables avec l’API WHOISIQ pour en savoir plus sur les adresses e-mail, les noms et les numéros de téléphone des organisations.
6. Vérifier les résultats attendus pour les recherches manuelles WHOISIQ
   Exécuter une recherche manuelle sur un observable lorsque celui-ci ne génère pas automatiquement un incident de sécurité. Pour les recherches d’enrichissement d’observables à l’aide de l’API WHOISIQ pour les adresses e-mail, les noms d’organisations, les numéros de téléphone ou les adresses postales, lancez la recherche manuellement à partir de la table Observables.