Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Anomali in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Anomali in Google Security Operations (Google SecOps) einbinden.

Hinweis

So erhalten Sie Ihren persönlichen API-Schlüssel:

Melden Sie sich in Ihrem Anomali ThreatStream-Konto an.
Klicken Sie auf My API Keys (Meine API-Schlüssel).
Kopieren Sie den Wert des API-Schlüssels und fügen Sie ihn in Google SecOps im Dialogfeld Instanz konfigurieren in das Parameterfeld „API-Schlüssel“ ein.

Netzwerk

Funktion	Standardport	Richtung	Protokoll
API	Mehrfachwerte	Ausgehend	apikey

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Instanzname	String	–	Nein	Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung	String	–	Nein	Beschreibung der Instanz.
API-Stamm	String	https://api.threatstream.com/api	Ja	Adresse der Anomali-Instanz.
Nutzername	String	`user@domain.com`	Ja	Die E-Mail-Adresse des Nutzers, die für die Verbindung mit Anomali verwendet werden soll.
Passwort	Passwort	–	Ja	Das Passwort des entsprechenden Nutzers.
API-Schlüssel	String	–	Ja	In der AlienVault-Konsole generierter API-Schlüssel.
Remote ausführen	Kästchen	Deaktiviert	Nein	Setzen Sie ein Häkchen, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Informationen zu Bedrohungen abrufen

Entitäten mit Informationen aus Anomali ThreatStream anreichern. Unterstützte Entitäten: IP, URL, Hash, E-Mail-Adressen (Nutzerentitäten, die dem regulären Ausdruck für E-Mail-Adressen entsprechen).

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Limit	String	10	Ja	Geben Sie an, wie viele Datensätze pro Entität zurückgegeben werden sollen.
Schwellenwert für Schweregrad	DDL	Mittel Mögliche Werte: Sehr hoch Hoch Mittel Niedrig	Nein	Geben Sie den Schwellenwert für den Schweregrad der Entität an, ab dem sie als verdächtig markiert werden soll. Wenn für dieselbe Entität mehrere Einträge gefunden werden, wird die Aktion mit dem höchsten Schweregrad aus allen verfügbaren Einträgen ausgewählt.
Konfidenzwert	Ganzzahl	50	Nein	Geben Sie den Konfidenzschwellenwert für die Entität an, damit sie als verdächtig markiert wird. Hinweis: Der Höchstwert ist 100. Wenn mehrere Datensätze für die Entität gefunden werden, wird der Durchschnitt verwendet. Aktive Einträge haben Priorität. Standardeinstellung: 50.
Status „Falsch positiv“ ignorieren	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird der Status „Falsch positiv“ ignoriert und die Entität wird basierend auf dem Schweregrad- und Konfidenzschwellenwert als verdächtig markiert. Wenn diese Option deaktiviert ist, werden falsch positive Entitäten nie als verdächtig gekennzeichnet, unabhängig davon, ob sie die Bedingungen für den Schweregrad- und Konfidenzschwellenwert erfüllen oder nicht.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

IP-Adresse
URL
Hash
E‑Mail-Adressen (Nutzerentitäten, die mit dem regulären Ausdruck für E‑Mail-Adressen übereinstimmen)

Aktionsergebnisse

Entitätsanreicherung

Name	Logik – Wann anwenden?
id	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Status	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
itype	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
expiration_time	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
ip	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
feed_id	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Konfidenz	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
uuid	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
retina_confidence	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
trusted_circle_ids	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Quelle	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
latitude	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Typ	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Beschreibung	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Tags	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
threat_score	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
source_confidence	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
modification_time	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
org_name	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
asn	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
creation_time	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
tlp	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
country	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
longitude	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
die Ausprägung	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
subtype	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	True oder False	success:False

JSON-Ergebnis

    {
        "Entity": "ENTITY_ID",
        "EntityResult": {
            "Info": [{
                "source_created": null,
                "status": "inactive",
                "itype": "mal_domain",
                "expiration_ts": "2020-11-28T13:29:57.000Z",
                "ip": "192.0.2.1",
                "is_editable": false,
                "feed_id": 1111111,
                "update_id": 1111111111,
                "longitude": -0.1223454,
                "is_public": true,
                "threat_type": "malware",
                "workgroups": [],
                "rdns": null,
                "confidence": 11111,
                "uuid": "UUID",
                "retina_confidence": 1111111,
                "trusted_circle_ids": null,
                "id": 111111111111111110000,
                "source": "COVID19 Cyber Threat Coalition Blocklist - Domains",
                "owner_organization_id": 111,
                "import_session_id": null,
                "source_modified": null,
                "type": "domain",
                "sort": [1607193157800, "56224953198"],
                "description": null,
                "tags": [{
                    "id": "wu6",
                    "name": "Blocklist"
                }, {
                    "id": "pvj",
                    "name": "Coronavirus"
                }, {
                    "id": "01i",
                    "name": "COVID-19"
                }, {
                    "id": "o70",
                    "name": "Malicious"
                }, {
                    "id": "fk0",
                    "name": "Source:COVID19-Cyber-Threat-Coalition"
                }],
                "threatscore": 11111,
                "source_reported_confidence": 11111,
                "modified_ts": "2020-12-05T18:32:37.800Z",
                "org": "Namecheap",
                "asn": "11111111",
                "created_ts": "2020-10-29T13:33:24.904Z",
                "tlp": null,
                "is_anonymous": false,
                "latitude": 51.4964,
                "country": "GB",
                "can_add_public_tags": false,
                "value": "VALUE",
                "subtype": null,
                "meta": {
                    "registration_updated": "2020-10-24T22:16:59+00:00",
                    "detail2": "bifocals_deactivated_on_2020-12-05_18:30:00.085789",
                    "severity": "high",
                    "registration_created": "2020-10-24T22:16:42+00:00"
                },
                "resource_uri": "/api/v2/intelligence/"
            }],
            "Campaigns": [{
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.200283",
                    "from_id": "ID"
                }],
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-15T04:24:55.428496",
                "end_date": "2020-03-23T16:05:00.761000",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:19.892072",
                "name": "Coronavirus (COVID-19)",
                "objective": null,
                "organization": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "publication_status": "published",
                "published_ts": "2020-04-06T21:40:24.452312",
                "resource_uri": "/api/v1/campaign/",
                "source_created": null,
                "source_modified": null,
                "start_date": "2020-01-30T13:10:00.070000",
                "status": {
                    "display_name": "Ongoing",
                    "id": 1,
                    "resource_uri": "/api/v1/campaignstatus/1/"
                },
                "tags": ["Malware", "Fraud", "Phishing", "COVID-19", "Coronavirus", "Scams"],
                "tags_v2": [{
                    "id": "wqe",
                    "name": "Coronavirus"
                }, {
                    "id": "hlg",
                    "name": "COVID-19"
                }, {
                    "id": "74i",
                    "name": "Phishing"
                }, {
                    "id": "0y2",
                    "name": "Malware"
                }, {
                    "id": "u63",
                    "name": "Scams"
                }, {
                    "id": "1er",
                    "name": "Fraud"
                }],
                "tlp": "white",
                "uuid": "UUID",
                "workgroups": []
            }],
            "Tip": [{
                "all_circles_visible": true,
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.212118",
                    "from_id": "ID"
                }],
                "body_content_type": "richtext",
                "campaign": null,
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-19T04:23:35.714929",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_editable": true,
                "is_email": false,
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:20.061912",
                "name": "Coronavirus (COVID-19) Cyber Threats",
                "original_source": null,
                "original_source_id": null,
                "owner_org": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "parent": null,
                "published_ts": "2020-05-25T18:39:36.890647",
                "resource_uri": "/api/v1/ID/",
                "source_created": null,
                "source_modified": null,
                "starred_by_me": false,
                "starred_total_count": 5,
                "status": "published",
                "tags": ["Scams", "HCL-", "Malware"],
                "tags_v2": [{
                    "id": "ID",
                    "name": "Coronavirus"
                }, {
                    "id": "ID",
                    "name": "COVID-19"
                }, {
                    "id": "ID",
                    "name": "Phishing"
                }],
                "threat_actor": null,
                "tlp": "white",
                "ttp": null,
                "uuid": "UUID",
                "votes": {
                    "me": null,
                    "total": 0
                },
                "watched_by_me": false,
                "watched_total_count": 11111,
                "workgroups": []
            }],
            "Actors": [],
            "Incidents": [],
            "TTP": []
        }
    }

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Wenn Daten für eine Entität verfügbar sind (is_success=true): „Informationen zu den folgenden Entitäten wurden erfolgreich von Anomali ThreatStream zurückgegeben: {entity.identifier}“ Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte keine Informationen zu den folgenden Entitäten aus Anomali ThreatStream zurückgeben: {entity.identifier}“ Wenn nicht für alle Entitäten verfügbar (is_success=false): „Es wurden keine Entitäten angereichert. Kritischer Fehler (Fehlgeschlagen): Fehler beim Ausführen der Aktion „Bedrohungsinformationen abrufen“. Grund: {error traceback}"	Allgemein

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Wenn Daten für eine Entität verfügbar sind (is_success=true): „Informationen zu den folgenden Entitäten wurden erfolgreich von Anomali ThreatStream zurückgegeben: {entity.identifier}“

Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte keine Informationen zu den folgenden Entitäten aus Anomali ThreatStream zurückgeben: {entity.identifier}“

Wenn nicht für alle Entitäten verfügbar (is_success=false): „Es wurden keine Entitäten angereichert.

Kritischer Fehler (Fehlgeschlagen): Fehler beim Ausführen der Aktion „Bedrohungsinformationen abrufen“. Grund: {error traceback}"

Allgemein

Ping

Testen Sie die Verbindung zu Anomali ThreatStream.

Parameter

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	True oder False	success:False

Zugehörige Verknüpfungen abrufen

Entitätsbezogene Verknüpfungen aus Anomali ThreatStream abrufen.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Rückgabekampagnen	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden mit der Aktion ähnliche Kampagnen und Details dazu abgerufen.
Bedrohungsbulletins zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden zugehörige Bedrohungsbulletins und Details dazu abgerufen.
Akteure zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden die zugehörigen Akteure und Details zu ihnen abgerufen.
Angriffsmuster zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Angriffsmuster und Details dazu abgerufen.
Maßnahmen zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden zugehörige Maßnahmen und Details dazu abgerufen.
Identitäten zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Identitäten und Details dazu abgerufen.
Retourenvorfälle	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Vorfälle und Details dazu abgerufen.
Infrastruktur zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden die zugehörige Infrastruktur und Details dazu abgerufen.
Intrusion Sets zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden zugehörige Intrusion Sets und Details dazu abgerufen.
Malware zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden die zugehörige Malware und Details dazu abgerufen.
Signaturen zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden zugehörige Signaturen und Details dazu abgerufen.
Tools zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Tools und Details dazu abgerufen.
Taktiken, Techniken und Verfahren zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige TTPs und Details dazu abgerufen.
Sicherheitslücken zurückgeben	Kästchen	Aktiviert	Nein	Wenn diese Option aktiviert ist, werden zugehörige Sicherheitslücken und Details dazu abgerufen.
Kampagnenentität erstellen	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird mit der Aktion eine Entität aus verfügbaren Kampagnenverknüpfungen erstellt.
Entität „Actors“ erstellen	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus verfügbaren Akteurverknüpfungen erstellt.
Signatur-Entität erstellen	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus verfügbaren Signaturzuordnungen erstellt.
Sicherheitslücken-Entität erstellen	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus verfügbaren Verknüpfungen mit Sicherheitslücken erstellt.
Maximale Anzahl zurückzugebender Verknüpfungen	Ganzzahl	5	Nein	Geben Sie an, wie viele Verknüpfungen pro Typ zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

Hash
IP-Adresse
URL
E-Mail

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	True oder False	success:False

JSON-Ergebnis

{
    "campaign": [
        {
            "name": "Example 1",
            "id": 1
        },
        {
            "name": "Example 2",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn erfolgreich und mindestens eine Verknüpfung zwischen Entitäten gefunden wird (is_success=true): „Zugehörige Verknüpfungen wurden erfolgreich von Anomali abgerufen“ Wenn keine Verknüpfungen gefunden werden (is_success=false): „Es wurden keine zugehörigen Verknüpfungen gefunden.“ Asynchrone Nachricht: „Warten, bis alle Verknüpfungsdetails abgerufen wurden“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Zugehörige Verknüpfung abrufen‘. Reason: {0}''.format(error.Stacktrace)	Allgemein
Tabelle mit Fall-Repository	Tabellenname: „Zugehörige Verknüpfungen“ Tabellenspalten: ID Name Typ Status

Ergebnistyp

Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens eine Verknüpfung zwischen Entitäten gefunden wird (is_success=true): „Zugehörige Verknüpfungen wurden erfolgreich von Anomali abgerufen“

Wenn keine Verknüpfungen gefunden werden (is_success=false): „Es wurden keine zugehörigen Verknüpfungen gefunden.“

Asynchrone Nachricht: „Warten, bis alle Verknüpfungsdetails abgerufen wurden“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Zugehörige Verknüpfung abrufen‘. Reason: {0}''.format(error.Stacktrace)

Allgemein

Tabelle mit Fall-Repository

Tabellenname: „Zugehörige Verknüpfungen“

Tabellenspalten:

ID
Name
Typ
Status

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten