API de conocimiento

Obtiene datos sobre los equipos que pertenecen a la infraestructura IT del cliente y sobre los ficheros que almacenan.

Obtener las características de un fichero

Obtiene la clasificación de un fichero asignada por Cytomic a partir de su MD5 y otra información.

Petición

Comando

GET

URL

/api/v1/applications/forensics/md5/{md5}/info

Parámetros requeridos en la URL

md5: hash del fichero.

Cabeceras

Accept: application/json

Formato de la llamada para obtener información de un fichero
Respuesta

JSON con la descripción de los atributos del fichero.

Campo del JSON Descripción

filename

Nombre del fichero.

filesize

Tamaño del fichero en bytes.

lastSeen

Fecha en la que el fichero fue registrado por última vez en el conocimiento global de Cytomic.

firstSeen

Fecha en la que el fichero fue registrado por primera vez en el conocimiento global de Cytomic.

classification

Valor del enumerado indicado en el campo classificationName.

classificationName

Clasificación del fichero generada por Cytomic EDR:

  • -1: Unknown

  • 0: Unknown

  • 1: Goodware

  • 2: Malware

  • 3: Suspct

  • 4: Compromised

  • 5: GWNotConfirmed

  • 6: Pup

  • 7: GwUnwanted

  • 8: GwRanked

Campos del JSON con los atributos del fichero

Obtener las características de varios ficheros

Obtiene la clasificación de una lista de ficheros asignada por Cytomic a partir de su MD5 y otra información.

Petición

Comando

POST

URL

/api/v1/forensics/md5/batch/sample

Cabeceras

  • Accept: application/json

  • Content-Type: application/json-patch+json

Formato de la llamada para obtener información de una lista de ficheros
Respuesta

Lista de JSONs con la descripción de los atributos de los ficheros.

Campo del JSON Descripción

filename

Nombre del fichero.

filesize

Tamaño del fichero en bytes.

lastSeen

Fecha en la que el fichero fue registrado por última vez en el conocimiento global de Cytomic.

firstSeen

Fecha en la que el fichero fue registrado por primera vez en el conocimiento global de Cytomic.

classification

Valor del enumerado indicado en el campo classificationName.

classificationName

Clasificación del fichero generada por Cytomic EDR:

  • -1: Unknown

  • 0: Unknown

  • 1: Goodware

  • 2: Malware

  • 3: Suspct

  • 4: Compromised

  • 5: GWNotConfirmed

  • 6: Pup

  • 7: GwUnwanted

  • 8: GwRanked

Campos del JSON con los atributos del fichero

Obtener los equipos que han visto un fichero

Obtiene una lista de MUIDs de los equipos del cliente que han visto un determinado md5.

Petición

Comando

GET

URL

/api/v1/applications/forensics/md5/{md5}/muids

Parámetros requeridos en la URL

MD5: hash del fichero.

Cabeceras

Accept: application/json

Formato de la llamada para obtener los equipos que han visto un fichero
Respuesta

Lista de JSONs con información de los equipos que vieron el fichero.

Campo del JSON Descripción

MUID

Identificador único del equipo.

clientId

Identificador único del cliente al que pertenece el equipo.

lastSeen

Fecha en la que el fichero fue visto por última vez en un equipo del parque del cliente.

firstSeen

Fecha en la que el fichero fue visto por primera vez en un equipo del parque del cliente.

lastPath

Ruta del fichero en el equipo donde se almacenaba la última vez que fue visto.

Campos del JSON con la descripción de los equipos que han visto el fichero

Obtener las características de varios equipos

Obtiene información de uno o más equipos que pertenece la infraestructura IT del cliente.

Petición

Comando

POST

URL

/api/v1/applications/forensics/muid/info

Parámetros requeridos en el cuerpo del mensaje HTTP

JSON con la lista de MUIDs de los equipos.

Cabeceras

  • Accept: application/json

  • Content-Type: application/json-patch+json

Formato de la llamada para obtener información de los equipos
Respuesta

Lista de JSONs con la información de los equipos.

Campo Descripción

MUID

Identificador único del equipo.

machineName

Nombre del equipo.

lastSeenUtc

Fecha en UTC-0 en la que el equipo se comunicó con la nube de Cytomic.

creationDate

Fecha en la que se instaló la protección Cytomic EDR en el equipo.

clientId

Identificador único del cliente al que pertenece el equipo.

clientName

Nombre del cliente.

clientCreationDate

Fecha en la que el cliente integró el primer equipo en la plataforma Cytomic Orion.

Formato del JSON que describe a un equipo

Obtener el MUID de un equipo

Obtiene el MUID de un equipo que pertenece a la infraestructura IT del cliente a partir de su nombre.

Petición

Comando

GET

URL

/api/v1/applications/clients/{ClientId}/machine-name/{MachineName}/muid

Parámetros requeridos en la URL

  • ClientId: identificador único del cliente.

  • MachineName: nombre del equipo a obtener su MUID. Admite subcadenas.

Cabeceras

Accept: application/json

Formato de la llamada para obtener el MUID de un equipos
Respuesta

Lista de JSONs con el nombre y otra información complementaria de los equipos que coinciden con la subcadena indicada en el campo MachineName de la petición.

Campo Descripción

MUID

Identificador único del equipo.

machineName

Nombre completo del equipo.

lastSeenUtc

Fecha en UTC-0 en la que el equipo se comunicó con la nube de Cytomic.

creationDate

Fecha en la que se instaló la protección Cytomic EDR en el equipo.

Formato del JSON que contiene el MUID de un equipo

Obtener el detalle de un equipo

Obtiene la información completa de un equipo que pertenece a la infraestructura IT del cliente.

Petición

Comando

GET

URL

/api/v1/remediations/muids/{muid}/detail

Parámetros requeridos en la URL

MUID: identificador único del equipo.

Cabeceras

Accept: application/json

Formato de la llamada para obtener el detalle de los equipos
Respuesta

JSON con información de detalle del equipo. Consulta Detalles del equipo para una descripción completa de los campos.

Obtener la fecha en la que se vio por última vez uno o más equipos

Obtiene la fecha en la que se vio por primera y por última vez equipos de un cliente.

  • Si no se envía el parámetro opcional machineName, se reciben datos de todos los equipos del cliente.

  • Si se envía el parámetro opcional machineName, se reciben datos del equipo concreto del cliente.

Petición

Comando

GET

URL

/api/v1/clients/{pandaClientId}/machines

Parámetros requeridos en la URL

pandaClientId: identificador del cliente.

Parámetros opcionales en la URL

machineName: nombre del equipo.

Cabeceras

Accept: application/json

Formato de la llamada para obtener las fechas de uno o más equipos
Respuesta

Colección de JSONs con los datos de los equipos.

Campo del JSON Descripción

MUID

Identificador del equipo.

MachineName

Nombre del equipo.

LastSeenUtc

Fecha de la última vez que el equipo conectó con la nube de Cytomic.

CreationDate

Fecha en la que el fichero fue registrado por primera vez en la nube de Cytomic.

Campos del JSON con los atributos del equipo

Ejemplo para obtener información extendida de equipos y ficheros

El siguiente ejemplo lista todos los equipos que han visto un fichero y muestra la información de los equipos y del propio fichero.

#cabeceras para la llamada a la API incluyendo el token de acceso

h_request_know = {

'Authorization': f'Bearer {token_access}',

'Accept': 'application/json'

#Objetivo: obtener información de un md5

#md5 del fichero

md5='6cff0673ce2002a2fe2218642605187a'

#URL de la llamada

url_md5_info = f'https://api.orion.cytomic.ai/api/v1/applications/forensics/md5/{md5}/info'

r = requests.get(url_md5_info, headers=h_request_know, verify=False)

#devuelve un JSON con información del fichero

file=r.json()

#Objetivo: obtiene ua lista de equipos que han visto el md5

#URL de la llamada

url_computers = f'https://api.orion.cytomic.ai/api/v1/applications/forensics/md5/{md5}/muids'

r = requests.get(url_computers, headers=h_request_know, verify=False)

#devuelve una lista de jsons con información de cada equipo

computers=r.json()

#Objetivo: obtener información extendida de cada equipo que vio el md5.

#para cada equipo se extrae el muid del JSON y se llama a la API de información #extendida.

for computer in computers:

#muid del equipo

muid=computer['muid']

#URL de la llamada

url_computers_info = f'https://api.orion.cytomic.ai/api/v1/applications/forensics/muid/{muid}/info'

r = requests.get(url_computers_info, headers=h_request_know, verify=False)

#devuelve un JSON con información del equipo

computer_info=r.json()