Google Threat Intelligence mit Google SecOps integrieren

Dieses Dokument erklärt, wie Google Threat Intelligence in Google Security Operations integriert wird.

Hinweis

Um diese Integration zu nutzen, benötigen Sie einen API-Schlüssel. Weitere Informationen finden Sie unter Google Threat Intelligence API keys.

Integrationsparameter

Für die Integration von Google Threat Intelligence sind folgende Parameter erforderlich:

Parameter	Beschreibung
API Root	Erforderlich. Der API-Root der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Erforderlich. Der Google Threat Intelligence API-Schlüssel.
ASM Project Name	Optional. Der Name des Mandiant Attack Surface Management (ASM)-Projekts, der bei der Integration verwendet werden soll. Dieser Parameter ist erforderlich, um die Aktionen ASM-Entitäten suchen, ASM-Probleme suchen und ASM-Problem aktualisieren auszuführen. Wenn kein Wert festgelegt ist, werden nur Benachrichtigungen aus Sammlungen im Hauptprojekt zurückgegeben.
Active Group	Optional. Der Identifikator für die aktive Gruppe (Organisationskontext) in Multi-Tenant-Umgebungen. Dies ist erforderlich, wenn Ihre ASM-Projekte in einer anderen Organisation als Ihrer Hauptorganisation angesiedelt sind.
Verify SSL	Erforderlich. Falls diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat bei der Verbindung zum Google Threat Intelligence-Server. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen über „Mein Arbeitsbereich“ bearbeiten und Manuelle Maßnahme ausführen.

ASM-Problemnotiz hinzufügen

Verwenden Sie die Aktion Add ASM Issue Note, um einem Attack Surface Management (ASM)-Problem in Google Threat Intelligence eine technische Notiz hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion ASM Issue Note hinzufügen erfordert die folgenden Parameter:

Parameter	Beschreibung
Alert ID	Erforderlich. Die ID der zu aktualisierenden Benachrichtigung.
Text	Erforderlich. Der Inhalt der Analyse oder der Anmerkung, die der Warnmeldung beigefügt werden soll.

Aktionsausgaben

Die Aktion ASM-Problemnotiz hinzufügen liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion ASM-Problemnotiz hinzufügen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe auf, wenn die Aktion ASM-Problemnotiz hinzufügen verwendet wird:

Name des Scriptergebnisses	Wert
is_success	true oder false

Kommentar zur Entität hinzufügen

Verwenden Sie die Aktion Add Comment To Entity, um Google SecOps-Entitäten in Google Threat Intelligence Kommentare hinzuzufügen.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Aktionseingaben

Die Aktion Add Comment To Entity erfordert die folgenden Parameter:

Parameter	Beschreibung
Comment	Erforderlich. Ein Kommentar, der allen unterstützten Entitäten hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Add Comment To Entity liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Add Comment To Entity empfangen werden:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Ausgabenachrichten

Die Aktion Kommentar zur Entität hinzufügen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Kommentar zur Entität hinzufügen auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

Tag zu DTM-Warnung hinzufügen

Verwenden Sie Add Tag To DTM Alert, um einer Digital Threat Monitoring (DTM)-Warnung in Google Threat Intelligence Tags hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion Tag zu DTM-Warnung hinzufügen erfordert die folgenden Parameter:

Parameter	Beschreibung
Alert ID	Erforderlich. Die eindeutige Kennung der zu aktualisierenden Warnung.
Mode	Optional. Die operative Logik für die Aktualisierung des Tags. Folgende Werte sind möglich: Append: Fügt die angegebenen Tags der bestehenden Tag-Liste der Warnung hinzu. Set: Überschreibt alle vorhandenen Alarm-Tags mit den in Tags angegebenen Tags. Der Standardwert ist Append.
Tags	Erforderlich. Eine durch Kommas getrennte Liste von Tags, die auf die Benachrichtigung angewendet werden sollen.

Aktionsausgaben

Die Aktion Add Tag To DTM Alert liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Tag zu DTM-Warnung hinzufügen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe auf, wenn die Aktion Add Tag To DTM Alert verwendet wird:

Name des Scriptergebnisses	Wert
is_success	true oder false

Stimme zur Entität hinzufügen

Verwenden Sie die Aktion Add Comment To Entity, um Stimmen zu Google SecOps-Entitäten in Google Threat Intelligence hinzuzufügen.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Aktionseingaben

Die Aktion Add Vote To Entity erfordert die folgenden Parameter:

Parameter	Beschreibung
Vote	Erforderlich. Eine Abstimmung zur Aufnahme in alle unterstützten Entitäten. Folgende Werte sind möglich: Harmless Malicious Der Standardwert ist Malicious.

Aktionsausgaben

Die Aktion Add Vote To Entity liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Add Vote To Entity empfangen wird:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Ausgabenachrichten

Die Aktion Add Vote To Entity kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Add Vote To Entity verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Datei herunterladen

Mit der Aktion Datei herunterladen können Sie eine Datei aus Google Threat Intelligence herunterladen.

Diese Aktion wird für die Google SecOps-Entität Hash ausgeführt.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Aktionseingaben

Für die Aktion Datei herunterladen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Download Folder Path	Erforderlich. Der Pfad zum Ordner, in dem heruntergeladene Dateien gespeichert werden sollen.
Overwrite	Erforderlich. Wenn diese Option ausgewählt ist, wird eine vorhandene Datei mit der neuen Datei überschrieben, wenn die Dateinamen identisch sind. Standardmäßig aktiviert.

Aktionsausgaben

Die Aktion Datei herunterladen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Datei herunterladen empfangen wird:

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

Ausgabenachrichten

Die Aktion Datei herunterladen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Download File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Entitäten anreichern

Mit der Aktion Enrich Entities (Entitäten anreichern) können Sie Entitäten mit Informationen aus Google Threat Intelligence anreichern.

Diese Aktion unterstützt die Hash-Funktionen MD5, SHA-1 und SHA-256.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• CVE
• Domain
• Hash (einschließlich CHILDHASH und PARENTHASH)
• Hostname
• IP Address
• Threat Actor
• URL

Aktionseingaben

Für die Aktion Enrich Entities sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
GTI Score	Optional. Die Mindestpunktzahl bei Google Threat Intelligence, die erforderlich ist, um eine Google SecOps-Entität als verdächtig einzustufen. Dieser Befund wird anhand der Ergebnisse von Google Threat Intelligence bestätigt. Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash. Wird kein Wert angegeben, ignoriert die Aktion die Google Threat Intelligence-Bewertungswerte. Der Standardwert ist 60.
Engine Threshold	Optional. Die Mindestanzahl an Sicherheitsmodulen, die eine Entität als bösartig oder verdächtig einstufen müssen, damit Google SecOps sie als verdächtig kennzeichnet. Dieser Befund wird anhand der Ergebnisse von Google Threat Intelligence bestätigt. Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash. Wenn Engine Allowlist Werte enthält, werden bei der Aktion nur Ergebnisse von diesen spezifischen Suchmaschinen gezählt. Wird kein Wert angegeben, ignoriert die Aktion die Berechnungen des Systems.
Engine Percentage Threshold	Optional. Der Mindestprozentsatz an Sicherheits-Engines, die eine Entität als bösartig oder verdächtig einstufen müssen, damit Google SecOps sie als verdächtig kennzeichnet. Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash. Wenn Engine Allowlist Werte enthält, berechnet die Aktion den Prozentsatz nur von diesen spezifischen Engines. Wenn sowohl Engine Threshold als auch Engine Percentage Threshold angegeben werden, hat Engine Threshold Vorrang. Wird kein Wert angegeben, ignoriert die Aktion die Berechnungen des Systems. Der Höchstwert ist 100. Der Mindestwert beträgt 0.
Engine Allowlist	Optional. Eine durch Kommas getrennte Liste von Sicherheits-Engines, die zum Abrufen von Informationen über Schadsoftware verwendet werden (zum Beispiel AlienVault,Kaspersky). Wird kein Wert angegeben, ruft die Aktion Ergebnisse von allen verfügbaren Suchmaschinen ab. Engines, die keine Informationen über eine Entität zurückgeben, werden von den Engine Threshold- und Engine Percentage Threshold-Berechnungen ausgeschlossen.
Resubmit Entity	Optional. Wenn diese Option ausgewählt ist, werden die Entitäten zur Analyse erneut übermittelt, anstatt die Entitätsinformationen aus dem vorherigen Aktionslauf zu verwenden. Dieser Parameter unterstützt nur die Entitäten URL und Hash. Diese Option ist standardmäßig nicht ausgewählt.
Resubmit After (Days)	Optional. Die Anzahl der Tage, die gewartet werden muss, bevor die Aktion erneut eingereicht werden kann. Um diesen Parameter zu verwenden, wählen Sie den Parameter Resubmit Entity aus. Der Standardwert ist 30. Dieser Parameter unterstützt nur die Entitäten URL und Hash.
Sandbox	Optional. Eine durch Kommas getrennte Liste von Sandbox-Namen, die analysiert werden sollen, z. B. VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO. Dieser Parameter unterstützt nur die Entität Hash. Wenn Sie diesen Parameter nicht festlegen, verwendet die Aktion die Standard-Sandbox, die VirusTotal Jujubox ist.
Retrieve Sandbox Analysis	Optional. Wenn diese Option ausgewählt ist, ruft die Aktion die Sandbox-Analyse für die Entität ab und erstellt für jede Sandbox einen separaten Abschnitt im JSON-Ergebnis. Die Aktion gibt Daten für Sandboxes zurück, die Sie im Parameter Sandbox konfiguriert haben. Dieser Parameter unterstützt nur die Entität Hash. Diese Option ist standardmäßig nicht ausgewählt.
Fetch MITRE Details	Optional. Wird diese Aktion ausgewählt, werden Informationen zu den zugehörigen MITRE-Techniken und -Taktiken angezeigt. Dieser Parameter unterstützt nur die Entität Hash. Diese Option ist standardmäßig nicht ausgewählt.
Lowest MITRE Technique Severity	Optional. Der niedrigste Schweregrad der MITRE-Technik, der zurückgegeben werden muss. Die Aktion behandelt den Schweregrad Unknown als Info. Dieser Parameter unterstützt nur die Entität Hash. Folgende Werte sind möglich: High Medium Low Info Der Standardwert ist Medium.
Retrieve Comments	Optional. Wenn diese Aktion ausgewählt ist, werden Kommentare zu der Entität abgerufen. Dieser Parameter unterstützt die folgenden Entitäten: Domain Hash Hostname IP Address URL
Widget Theme	Optional. Der visuelle Stil, der auf das IOC-Augmented-Widget angewendet wird. Folgende Werte sind möglich: Dark Dark Blue Light Der Standardwert ist Dark Blue.
Max Comments To Return	Optional. Die maximale Anzahl der Kommentare, die bei jeder Aktionsausführung zurückgegeben werden sollen. Der Standardwert ist 10.

Aktionsausgaben

Die Aktion Enrich Entities (Entitäten anreichern) gibt Folgendes aus:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Tabelle zur Anreicherung von Rechtssubjekten	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Link zum Fall‑Repository

Die Aktion Enrich Entities kann die folgenden Links zurückgeben:

• IOC: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• Bedrohungsakteur: https://www.virustotal.com/gui/collection/threat-actor--ID

• Schwachstelle: https://www.virustotal.com/gui/collection/vulnerability--ID

Tabelle zur Anreicherung von Rechtssubjekten

1. Die Aktion Enrich Entities unterstützt die folgende Entitätsanreicherung für IP-Adressen:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_owner	as_owner	Wenn im JSON-Ergebnis verfügbar.
GTI_asn	asn	Wenn im JSON-Ergebnis verfügbar.
GTI_continent	continent	Wenn im JSON-Ergebnis verfügbar.
GTI_country	country	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_certificate_valid_not_after	validity/not_after	Wenn im JSON-Ergebnis verfügbar.
GTI_certificate_valid_not_before	validity/not_before	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.

2. Die Aktion Enrich Entities unterstützt die folgende Entitätsanreicherung für URL:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_title	title	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code	last_http_response_code	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length	last_http_response_content_length	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_names	Comma-separated list of threat_names	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Wenn im JSON-Ergebnis verfügbar.

3. Die Aktion Enrich Entities unterstützt die folgende Entitätsanreicherung für Hash:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_magic	magic	Wenn im JSON-Ergebnis verfügbar.
GTI_md5	md5	Wenn im JSON-Ergebnis verfügbar.
GTI_sha1	sha1	Wenn im JSON-Ergebnis verfügbar.
GTI_sha256	sha256	Wenn im JSON-Ergebnis verfügbar.
GTI_ssdeep	ssdeep	Wenn im JSON-Ergebnis verfügbar.
GTI_tlsh	tlsh	Wenn im JSON-Ergebnis verfügbar.
GTI_vhash	vhash	Wenn im JSON-Ergebnis verfügbar.
GTI_meaningful_name	meaningful_name	Wenn im JSON-Ergebnis verfügbar.
GTI_magic	Comma-separated list of names	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. Die Aktion Enrich Entities unterstützt die folgende Entitätsanreicherung für Domain/Hostname:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Wenn im JSON-Ergebnis verfügbar.

5. Die Aktion Enrich Entities unterstützt die folgende Entitätsanreicherung für Threat Actor:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_motivations	Csv of motivations/name	Wenn im JSON-Ergebnis verfügbar.
GTI_aliases	Csv of alt_names_details/value	Wenn im JSON-Ergebnis verfügbar.
GTI_industries	Csv of targeted_industries/value	Wenn im JSON-Ergebnis verfügbar.
GTI_malware	Csv of malware/name	Wenn im JSON-Ergebnis verfügbar.
GTI_source_region	CSV of source_regions_hierarchy/country	Wenn im JSON-Ergebnis verfügbar.
GTI_target_region	Csv of targeted_regions_hierarchy/country	Wenn im JSON-Ergebnis verfügbar.
GTI_origin	origin	Wenn im JSON-Ergebnis verfügbar.
GTI_description	description	Wenn im JSON-Ergebnis verfügbar.
GTI_last_activity_time	last_activity_time	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	We craft it.	Wenn im JSON-Ergebnis verfügbar.

6. Die Aktion Enrich Entities unterstützt die folgende Entitätsanreicherung für Vulnerability:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_sources	Csv of source_name	Wenn im JSON-Ergebnis verfügbar.
GTI_exploitation_state	exploitation_state	Wenn im JSON-Ergebnis verfügbar.
GTI_date_of_disclosure	date_of_disclosure	Wenn im JSON-Ergebnis verfügbar.
GTI_vendor_fix_references	vendor_fix_references/url	Wenn im JSON-Ergebnis verfügbar.
GTI_exploitation_vectors	Csv of exploitation_vectors	Wenn im JSON-Ergebnis verfügbar.
GTI_description	description	Wenn im JSON-Ergebnis verfügbar.
GTI_risk_rating	risk_rating	Wenn im JSON-Ergebnis verfügbar.
GTI_available_mitigation	CSV of available_mitigation	Wenn im JSON-Ergebnis verfügbar.
GTI_exploitation_consequence	exploitation_consequence	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	We craft it.	Wenn im JSON-Ergebnis verfügbar.

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für IOCs (IP, Hash, URL, Domain und Hostname Entitäten), die bei Verwendung der Aktion Enrich Entities empfangen wurden:

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für Schwachstellen, die bei Verwendung der Aktion Enrich Entities empfangen wurde:

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für Bedrohungsakteure, die bei Verwendung der Aktion Enrich Entities empfangen wird:

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

Ausgabenachrichten

Die Aktion Enrich Entities kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Enrich Entities verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Anreicherung von IOCs

Verwenden Sie die Aktion Enrich IOCs, um die Indikatoren für eine Kompromittierung (IoCs) mithilfe von Informationen aus Google Threat Intelligence anzureichern.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion Enrich IOCs erfordert die folgenden Parameter:

Parameter	Beschreibung
IOC Type	Optional. Die Art des anzureichernden IOC. Folgende Werte sind möglich: Filehash URL Domain IP Address Der Standardwert ist Filehash.
IOCs	Erforderlich. Eine durch Kommas getrennte Liste von IOCs zur Datenaufnahme.
Widget Theme	Optional. Der visuelle Stil, der auf das IOC-Augmented-Widget angewendet wird. Folgende Werte sind möglich: Dark Dark Blue Light Der Standardwert ist Dark Blue.

Aktionsausgaben

Die Aktion Enrich IOCs liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Verfügbar
Tabelle „Fall-Repository“	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Link zum Fall‑Repository

Die Aktion Enrich IOCs kann für jede angereicherte Entität den folgenden Link bereitstellen:

Name: Link zum Bericht

Wert: URL

Tabelle „Fall-Repository“

Die Aktion Enrich IOCs kann für jede angereicherte Entität die folgende Tabelle bereitstellen:

Tabellenname: IOC_ID

Tabellenspalten:

• Name
• Kategorie
• Methode
• Ergebnis

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Enrich IOCs empfangen wird:

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

Ausgabenachrichten

Die Aktion Enrich IOCs kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Enrich IOC". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Enrich IOCs auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

IOC-Suche ausführen

Verwenden Sie die Aktion Execute IOC Search, um die IOC-Suche in Google Threat Intelligence auszuführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion Execute IOC Search erfordert die folgenden Parameter:

Parameter	Beschreibung
Search Query	Erforderlich. Eine auszuführende Suchanfrage, z. B. crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return	Optional. Die maximale Anzahl der Ergebnisse, die für jeden Aktionslauf zurückgegeben werden sollen. Der Höchstwert ist 200. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion IOC-Suche ausführen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Execute IOC Search (IOC-Suche ausführen) empfangen wird:

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

Ausgabenachrichten

Die Aktion IOC-Suche ausführen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion IOC-Suche ausführen aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

ASM-Entitätsdetails abrufen

Mit der Aktion ASM-Entitätsdetails abrufen können Sie Informationen zu einer ASM-Entität in Google Threat Intelligence abrufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitätsdetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Entity ID	Erforderlich. Eine durch Kommas getrennte Liste von Entitäts-IDs, für die Details abgerufen werden sollen.

Aktionsausgaben

Die Aktion Get ASM Entity Details (ASM-Entitätsdetails abrufen) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel sehen Sie die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get ASM Entity Details (ASM-Entitätsdetails abrufen) empfangen wird:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED —>
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

Ausgabenachrichten

Die Aktion ASM-Entitätsdetails abrufen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Get ASM Entity Details auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

Diagrammdetails abrufen

Verwenden Sie die Aktion Get Graph Details, um detaillierte Informationen über Graphen in Google Threat Intelligence zu erhalten.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion Graphdetails abrufen erfordert die folgenden Parameter:

Parameter	Beschreibung
Graph ID	Erforderlich. Eine durch Kommas getrennte Liste von Graph-IDs zum Abrufen von Details.
Max Links To Return	Erforderlich. Die maximale Anzahl der für jeden Graphen zurückzugebenden Links. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Graphdetails abrufen liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle „Fall-Repository“

Die Aktion Get Graph Details kann für jede angereicherte Entität die folgende Tabelle bereitstellen:

Tabellenname: Graph GRAPH_ID Links

Tabellenspalten:

• Quelle
• Ziel-
• Verbindungstyp

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Graph Details empfangen wird:

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

Ausgabenachrichten

Die Aktion Graphdetails abrufen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Get Graph Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Get Graph Details auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

Zugehörige Verknüpfungen abrufen

Verwenden Sie die Aktion Get Related Associations, um Informationen über Assoziationen (Berichte, Kampagnen, Sammlungen, Malware-Familien, Software-Toolkits, Schwachstellen, Bedrohungsakteure) zu erhalten, die mit Entitäten in Google Threat Intelligence in Verbindung stehen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP address
• URL
• File hash
• Hostname
• Domain

Hinweis: Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Aktionseingaben

Die Aktion Get Related Associations erfordert die folgenden Parameter:

Parameter	Beschreibung
Association Types	Optional. Eine durch Kommas getrennte Liste der zurückzugebenden Assoziationen. Die Berichte werden erst bearbeitet, nachdem alle anderen Zuordnungen abgeschlossen sind. Folgende Werte sind möglich: Report Campaign Collection Malware Family Vulnerability Threat Actor Wird kein Wert angegeben, gibt die Aktion alle Assoziationen zurück.
Create Entity	Optional. Wird diese Option ausgewählt, wird eine Entität für zugehörige Bedrohungsakteure, Common Vulnerabilities and Exposures (CVEs) und Kampagnen erstellt und mit der ursprünglichen Entität verknüpft. Es werden ausschließlich CVE-, Bedrohungsakteur- und Kampagnenentitäten erstellt.
Max Associations To Return	Optional. Die maximale Anzahl der IoCs, die für jede Entität zurückgegeben werden sollen. Der Höchstwert ist 100. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Get Related Associations (Zugehörige Zuordnungen abrufen) gibt Folgendes aus:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Zugehörige Zuordnungen abrufen empfangen wird:

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

Ausgabenachrichten

Die Aktion Get Related Associations (Zugehörige Verknüpfungen abrufen) kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Get Related Associations". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Zugehörige Zuordnungen abrufen verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Zugehörige IOCs abrufen

Mit der Aktion Get Related IOCs (Zugehörige IOCs abrufen) können Sie Informationen zu IOCs abrufen, die sich auf Entitäten beziehen. Dazu werden Informationen aus Google Threat Intelligence verwendet.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

Aktionseingaben

Für die Aktion Get Related IOCs sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
IOC Types	Erforderlich. Eine durch Kommas getrennte Liste der zu extrahierenden IOCs. Mögliche Werte: IP, Hash, URL, Domain.
Max IOCs To Return	Erforderlich. Die maximale Anzahl von IOCs, die für ausgewählte IOC-Typen für jede Entität zurückgegeben werden sollen. Der Standardwert ist 40.

Aktionsausgaben

Die Aktion Get Related IOCs (Zugehörige IOCs abrufen) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Related IOCs (Zugehörige IOCs abrufen) empfangen wird:

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

Ausgabenachrichten

Die Aktion Get Related IOCs kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Get Related IOCs auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Google Threat Intelligence zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	Die Aktion wurde erfolgreich ausgeführt.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

URL für private Übermittlung

Verwenden Sie die Aktion Private Submit URL, um eine URL für einen privaten Scan in Google Threat Intelligence einzureichen.

Diese Aktion wird für die folgende Google SecOps-Entität ausgeführt:

• URL

Hinweis: Verwenden Sie für einen regulären Scan und die Anreicherung von Entitäten stattdessen die Aktion Entitäten anreichern.

Aktionseingaben

Die Aktion Private Submit URL erfordert die folgenden Parameter:

Parameter	Beschreibung
URL	Optional. Eine durch Kommas getrennte Liste von URLs, die durchsucht werden sollen. Das System verarbeitet die eingegebenen Werte zusammen mit allen URL-Entitäten, die der Vorgang ermittelt.
Check Existing Submissions First	Optional. Falls diese Option ausgewählt ist, prüft sie die URL auf vorhandene öffentliche oder private Einreichungsinformationen. Wird eine Information gefunden, gibt die Aktion diese sofort zurück und umgeht so den Übermittlungsprozess. Standardmäßig deaktiviert.
Resubmit After (Days)	Optional. Die Mindestanzahl an Tagen, die nach dem letzten öffentlichen Analysedatum der URL vergehen müssen, damit die URL für eine erneute Einreichung in Frage kommt. Hinweis: Um diesen Parameter zu verwenden, müssen Sie Check Existing Submissions First aktivieren. Der Standardwert ist 30.

Aktionsausgaben

Die Aktion Private Submit URL liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Link zum Fall‑Repository

Die Aktion Private Submit URL kann folgenden Link zurückgeben:

Berichtslink URL: URL to the GTI UI displaying the submission details.

Tabelle zur Anreicherung von Rechtssubjekten

Die Aktion Private Submit URL unterstützt die folgende Entitätsanreicherung für URL-Entitäten, wenn Daten aus einer öffentlichen Einreichung abgerufen werden:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_title	title	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code	last_http_response_code	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length	last_http_response_content_length	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_names	Kommagetrennte Liste von threat_names	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Kommagetrennte Liste von tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalised_categories	CSV von gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Wenn im JSON-Ergebnis verfügbar.

Die Aktion Private Submit URL unterstützt die folgende Entitätsanreicherung für URL-Entitäten, wenn Daten aus einer privaten Übermittlung abgerufen werden:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_title	title	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code	last_http_response_code	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length	last_http_response_content_length	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Kommagetrennte Liste von tags	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Private Submit URL empfangen wird:

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

Ausgabenachrichten

Die Aktion Private Submit URL kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Private Submit URL". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Private Submit URL auf:

Name des Scriptergebnisses	Wert
is_success	true oder false

ASM-Entitäten suchen

Verwenden Sie die Aktion ASM-Entitäten suchen, um in Google Threat Intelligence nach ASM-Entitäten zu suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion ASM-Entitäten suchen erfordert die folgenden Parameter:

Parameter	Beschreibung
Project Name	Optional. Der Name des ASM-Projekts. Wenn Sie keinen Wert festlegen, verwendet die Aktion den Wert, den Sie für den Integrationsparameter ASM Project Name konfiguriert haben.
Entity Name	Optional. Eine durch Kommas getrennte Liste von Entitätsnamen, um Entitäten zu finden. Die Aktion behandelt Entitätsnamen, die / Schrägstriche enthalten, als ungültige Werte.
Minimum Vulnerabilities Count	Optional. Die Mindestanzahl an Sicherheitslücken, die erforderlich sind, damit die Aktion die Entität zurückgibt.
Minimum Issues Count	Optional. Die Mindestanzahl von Problemen, die für die Aktion erforderlich sind, um die Entität zurückzugeben.
Tags	Optional. Eine durch Kommas getrennte Liste von Tagnamen, die bei der Suche nach Einheiten verwendet werden sollen.
Max Entities To Return	Optional. Die Anzahl der zurückzugebenden Entitäten. Der Höchstwert ist 200. Der Standardwert ist 50.
Critical or High Issue	Optional. Wenn diese Option ausgewählt ist, werden nur Probleme mit dem Schweregrad High und Critical zurückgegeben. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Search ASM Entities liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search ASM Entities (ASM-Entitäten suchen) empfangen wird:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

Ausgabenachrichten

Die Aktion ASM-Entitäten suchen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Search ASM Entities (ASM-Entitäten durchsuchen) aufgeführt:

Name des Scriptergebnisses	Wert
is_success	True oder False

ASM-Probleme durchsuchen

Verwenden Sie die Aktion Search ASM Issues, um in Google Threat Intelligence nach ASM-Problemen zu suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion ASM-Probleme suchen erfordert die folgenden Parameter:

Parameter	Beschreibung
Project Name	Optional. Der Name des ASM-Projekts. Wenn Sie keinen Wert festlegen, verwendet die Aktion den Wert, den Sie für den Integrationsparameter ASM Project Name konfiguriert haben.
Issue ID	Optional. Eine durch Kommas getrennte Liste von Issue-IDs, um die Details zurückzugeben.
Entity ID	Optional. Eine durch Kommas getrennte Liste von Entitäts-IDs, um verwandte Probleme zu finden.
Entity Name	Optional. Eine durch Kommas getrennte Liste von Entitätsnamen, um verwandte Probleme zu finden. Die Aktion behandelt Entitätsnamen, die / Schrägstriche enthalten, als ungültige Werte.
Time Parameter	Optional. Eine Filteroption zum Festlegen des Ausgabezeitpunkts. Die möglichen Werte sind First Seen und Last Seen. Der Standardwert ist First Seen.
Time Frame	Optional. Eine Phase zur Filterung von Problemen. Wenn Sie Custom auswählen, konfigurieren Sie den Parameter Start Time. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Der Standardwert ist Last Hour.
Start Time	Optional. Die Startzeit für die Ergebnisbekanntgabe. Wenn Sie für den Parameter Time Frame die Option Custom ausgewählt haben, ist dieser Parameter erforderlich. Konfigurieren Sie den Wert im ISO 8601-Format.
End Time	Optional. Der Endzeitpunkt für die Ergebnisse. Wenn Sie für den Parameter Time Frame Custom ausgewählt und keine Endzeit festgelegt haben, verwendet dieser Parameter die aktuelle Zeit als Endzeit. Konfigurieren Sie den Wert im ISO 8601-Format.
Lowest Severity To Return	Optional. Die geringste Schwere der Probleme, die zurückgegeben werden sollen. Folgende Werte sind möglich: Select One Critical High Medium Low Informational Der Standardwert ist Select One. Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Status	Optional. Der Statusfilter für die Suche. Mögliche Werte sind Open, Closed und Select One. Der Standardwert ist Select One. Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Tags	Optional. Eine durch Kommas getrennte Liste von Tagnamen, die bei der Suche nach Problemen verwendet werden sollen.
Max Issues To Return	Erforderlich. Die Anzahl der zurückzugebenden Probleme. Der Höchstwert ist 200. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion ASM-Probleme suchen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ausgabe, die bei Verwendung der Aktion Search ASM Issues (ASM-Probleme suchen) empfangen wird:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

Ausgabenachrichten

Die Aktion Search ASM Issues kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Search ASM Issues verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Entitätsdiagramme durchsuchen

Mit der Aktion Search Entity Graphs können Sie in Google Threat Intelligence nach Diagrammen suchen, die auf Google SecOps-Entitäten basieren.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

Aktionseingaben

Die Aktion Search Entity Graphs erfordert die folgenden Parameter:

Parameter	Beschreibung
Sort Field	Optional. Der Feldwert, nach dem die Ergebnisse sortiert werden sollen. Folgende Werte sind möglich: Owner Creation Date Last Modified Date Views Count Comments Count Der Standardwert ist Owner.
Max Graphs To Return	Optional. Die maximale Anzahl der Graphen, die für jeden Aktionslauf zurückgegeben werden sollen. Der Standardwert ist 10.

Aktionsausgaben

Die Aktion Search Entity Graphs liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search Entity Graphs empfangen wird:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Ausgabenachrichten

Die Aktion Search Entity Graphs kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Suchgraphen

Verwenden Sie die Aktion Search Graphs, um in Google Threat Intelligence Diagramme anhand benutzerdefinierter Filter zu durchsuchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion Suchgraphen erfordert die folgenden Parameter:

Parameter	Beschreibung
Query	Erforderlich. Der Abfragefilter für den Graphen. Um beispielsweise nach Diagrammen im ausgewählten Zeitraum zu suchen, formatieren Sie die Abfrage wie folgt: creation_date:2018-11-1+creation_date:2018-11-12 Weitere Informationen zu Abfragen finden Sie unter Erstellen von Abfragen, Graphbezogene Modifikatoren und Knotenbezogene Modifikatoren.
Sort Field	Optional. Der Feldwert zum Sortieren der VirusTotal-Diagramme. Folgende Werte sind möglich: Comments Count Creation Date Last Modified Date Owner Views Count Der Standardwert ist Owner.
Max Graphs To Return	Optional. Die maximale Anzahl der Graphen, die für jeden Aktionslauf zurückgegeben werden sollen. Der Standardwert ist 10.

Wie man Abfragen erstellt

Um die Suchergebnisse aus Graphen zu verfeinern, erstellen Sie Abfragen, die graphbezogene Modifikatoren enthalten. Um die Suche zu verbessern, können Sie Modifikatoren mit den Operatoren AND, OR und NOT kombinieren.

Datums- und Zahlenfelder unterstützen die Suffixe + plus und - minus. Ein Pluszeichen am Ende kennzeichnet Werte, die größer als der angegebene Wert sind. Ein Minuszeichen am Ende entspricht Werten, die kleiner als der angegebene Wert sind. Ohne Suffix liefert die Abfrage exakte Treffer.

Um Bereiche zu definieren, können Sie denselben Modifikator mehrmals in einer Abfrage verwenden. Um beispielsweise nach Graphen zu suchen, die zwischen dem 15.11.2018 und dem 20.11.2018 erstellt wurden, verwenden Sie die folgende Abfrage:

creation_date:2018-11-15+ creation_date:2018-11-20-

Bei Datums- oder Monatsangaben, die mit 0 beginnen, wird das Zeichen 0 in der Abfrage entfernt. Formatieren Sie beispielsweise das Datum 2018-11-01 als 2018-11-1.

Graphbezogene Modifikatoren

Die folgende Tabelle listet graphbezogene Modifikatoren auf, die Sie zum Erstellen der Suchanfrage verwenden können:

Modifier-Name	Beschreibung	Beispiel
id	Filtert nach Graph-ID.	id:g675a2fd4c8834e288af
name	Filtert nach Diagrammnamen.	name:Example-name
owner	Filtert nach Diagrammen, die dem Benutzer gehören.	owner:example_user
group	Filtert nach Grafiken, die einer Gruppe gehören.	group:example
visible_to_user	Filtert nach für den Benutzer sichtbaren Diagrammen.	visible_to_user:example_user
visible_to_group	Filtert nach Diagrammen, die für die Gruppe sichtbar sind.	visible_to_group:example
private	Filter nach privaten Graphen.	private:true, private:false
creation_date	Filtert nach dem Erstellungsdatum des Diagramms.	creation_date:2018-11-15
last_modified_date	Filtert nach dem Datum der letzten Diagrammänderung.	last_modified_date:2018-11-20
total_nodes	Filtert nach Graphen, die eine bestimmte Anzahl von Knoten enthalten.	total_nodes:100
comments_count	Filtert nach der Anzahl der Kommentare im Diagramm.	comments_count:10+
views_count	Filtert nach der Anzahl der Diagrammansichten.	views_count:1000+

Knotenbezogene Modifikatoren

Die folgende Tabelle listet graphbezogene Modifikatoren auf, die Sie zum Erstellen der Suchanfrage verwenden können:

Modifier-Name	Beschreibung	Beispiel
label	Filtert nach Graphen, die Knoten mit einer bestimmten Bezeichnung enthalten.	label:Kill switch
file	Filtert nach Diagrammen, die die jeweilige Datei enthalten.	file:131f95c51cc819465fa17
domain	Filtert nach Graphen, die die spezifische Domäne enthalten.	domain:example.com
ip_address	Filtert nach Diagrammen, die die jeweilige IP-Adresse enthalten.	ip_address:203.0.113.1
url	Filtert nach Diagrammen, die die jeweilige URL enthalten.	url:https://example.com/example/
actor	Filtert nach Diagrammen, die den jeweiligen Akteur enthalten.	actor:example actor
victim	Filtert nach Diagrammen, die das jeweilige Opfer enthalten.	victim:example_user
email	Filtert nach Diagrammen, die die jeweilige E-Mail-Adresse enthalten.	email:[e-mail]
department	Filtert nach Diagrammen, die die jeweilige Abteilung enthalten.	department:engineers

Aktionsausgaben

Die Aktion Suchgraphen liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search Graphs empfangen wird:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Ausgabenachrichten

Die Aktion Suchgraphen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Search Graphs". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Suchgraphen auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

DTM-Alarmanalyse einstellen

Verwenden Sie die Aktion Set DTM Alert Analysis, um eine Analyse für einen Digital Threat Monitoring (DTM)-Alarm in Google Threat Intelligence zu definieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion Set DTM Alert Analysis erfordert die folgenden Parameter:

Parameter	Beschreibung
Alert ID	Erforderlich. Die ID der Warnung, der die Analyse hinzugefügt werden soll.
Text	Erforderlich. Die Analyse, die der Warnmeldung hinzugefügt werden soll.
Attachment File Paths	Optional. Eine durch Kommas getrennte Liste von Dateipfaden, die der Benachrichtigung angehängt werden sollen. Es werden maximal 10 Anhänge unterstützt.

Aktionsausgaben

Die Aktion Set DTM Alert Analysis liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Ausgabenachrichten

Die Aktion Set DTM Alert Analysis kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Set DTM Alert Analysis auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

Datei einreichen

Verwenden Sie die Aktion Datei einreichen, um eine Datei einzureichen und Ergebnisse von Google Threat Intelligence abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Diese Aktion ist asynchron. Passen Sie den Script-Timeout-Wert in der integrierten Entwicklungsumgebung (IDE) von Google SecOps für die Aktion nach Bedarf an.

Aktionseingaben

Die Aktion Datei einreichen erfordert die folgenden Parameter:

Parameter	Beschreibung
GTI Score	Optional. Der Google Threat Intelligence-Score wurde verwendet, um die is_risky-Eigenschaft im JSON-Ergebnis auf true zu setzen. Dieser Befund wird anhand der Ergebnisse von Google Threat Intelligence bestätigt. Wird kein Wert angegeben, ignoriert die Aktion den Google Threat Intelligence-Score. Der Standardwert ist 60.
Engine Threshold	Optional. Die Mindestanzahl an Sicherheitsmodulen, die eine Entität als bösartig oder verdächtig kennzeichnen müssen, um die Eigenschaft is_risky auf true zu setzen. Dieser Befund wird anhand der Ergebnisse von Google Threat Intelligence bestätigt. Wenn Engine Allowlist Werte enthält, werden nur Ergebnisse von diesen spezifischen Engines gezählt. Wird kein Wert angegeben, ignoriert die Aktion die Berechnung der Motoranzahl.
Engine Percentage Threshold	Optional. Der Mindestprozentsatz der Sicherheits-Engines, die eine Entität als bösartig oder verdächtig kennzeichnen müssen, um die Eigenschaft is_risky auf true (0 und 100) zu setzen. Wenn Engine Allowlist Werte enthält, wird der Prozentsatz nur anhand dieser spezifischen Motoren berechnet. Wenn sowohl Engine Threshold als auch Engine Percentage Threshold angegeben werden, hat Engine Threshold Vorrang. Wird kein Wert angegeben, werden Prozentberechnungen ignoriert.
Engine Allowlist	Optional. Eine durch Kommas getrennte Liste von Sicherheits-Engines, die zur Bestimmung der Bösartigkeit verwendet werden sollen (z. B. AlienVault,Kaspersky). Engines, die keine Informationen über eine Entität zurückgeben, werden von den Engine Threshold- und Engine Percentage Threshold-Berechnungen ausgeschlossen. Wird kein Wert angegeben, ruft die Aktion Ergebnisse von allen verfügbaren Suchmaschinen ab.
External URLs	Optional. Eine durch Kommas getrennte Liste öffentlicher URLs für die einzureichenden Dateien. Wenn sowohl eine „Externe URL“ als auch „Dateipfade“ angegeben werden, sammelt die Aktion Dateien von beiden Eingabefeldern.
File Paths	Optional. Eine durch Kommas getrennte Liste absoluter Dateipfade. Wenn Sie den Parameter **Linux Serveradresse** konfigurieren, versucht die Aktion, die Datei von einem Remote-Server abzurufen. Wenn sowohl eine „Externe URL“ als auch „Dateipfade“ angegeben werden, sammelt die Aktion Dateien von beiden Eingabefeldern.
Check Hash First	Optional. Standardmäßig deaktiviert. Falls aktiviert, berechnet die Aktion zunächst die Hashwerte der Dateien und sucht anschließend nach verfügbaren Informationen dazu. Sofern verfügbar, werden die Informationen ohne den Übermittlungsprozess zurückgegeben.
Resubmit After (Days)	Optional. Die Anzahl der Tage, die die Aktion warten soll, bevor die Datei erneut eingereicht wird (auch wenn der Hash für die Datei in der GTI-Datenbank verfügbar ist). Sie müssen Check Hash First aktivieren, um diesen Parameter verwenden zu können. Der Standardwert ist 30.
Fetch MITRE Details	Optional. Wird diese Option ausgewählt, werden Informationen zu den entsprechenden MITRE-Techniken und -Taktiken angezeigt. Diese Option ist standardmäßig nicht ausgewählt.
Lowest MITRE Technique Severity	Optional. Der niedrigste Schweregrad der MITRE-Technik, der zurückgegeben werden muss. Die Aktion behandelt den Schweregrad Unknown als Info. Dieser Parameter unterstützt nur die Hash-Entität. Der Standardwert ist Low.
Private Submission	Optional. Wenn diese Option ausgewählt ist, wird die Datei im privaten Modus übermittelt. Für die private Übermittlung von Dateien ist die VirusTotal Premium API erforderlich.
Retrieve Comments	Optional. Wenn diese Option ausgewählt ist, werden Kommentare zur eingereichten Datei abgerufen.
Max Comments To Return	Optional. Die maximale Anzahl der Kommentare, die bei jeder Ausführung der Aktion zurückgegeben werden sollen.
Linux Server Address	Optional. Die IP-Adresse des Remote-Linux-Servers, auf dem sich die Datei befindet.
Linux Username	Optional. Der Nutzername des Remote-Linux-Servers, auf dem sich die Datei befindet.
Linux Password	Optional. Das Passwort des Remote-Linux-Servers, auf dem sich die Datei befindet.
ZIP Password	Optional. Ein Passwort für den komprimierten Ordner, der die einzureichenden Dateien enthält.

Aktionsausgaben

Die Aktion Datei einreichen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Link zum Fall‑Repository

Die Aktion Datei einreichen kann den folgenden Link zurückgeben:

Berichtslink PATH: URL

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die beim Verwenden der Aktion Datei senden empfangen wird:

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

Ausgabenachrichten

Die Aktion Datei einreichen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Submit File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Submit File". Reason: ERROR_REASON	Keine Werte für „Dateipfade“ oder „Externe URLs“ Mindestens einer der Parameter „Dateipfade“ oder „Externe URLs“ muss einen Wert haben.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Datei senden verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

ASM-Problem aktualisieren

Verwenden Sie die Aktion ASM-Problem aktualisieren, um ein ASM-Problem in Google Threat Intelligence zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Die Aktion Update ASM Issue erfordert die folgenden Parameter:

Parameter	Beschreibung
Issue ID	Erforderlich. Die ID des zu aktualisierenden Problems.
Status	Erforderlich. Der neue Status, der für das Problem festgelegt werden soll. Folgende Werte sind möglich: Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated Der Standardwert ist Select One. Wenn Sie den Standardwert verwenden, schlägt die Aktion fehl.

Aktionsausgaben

Die Aktion Update ASM Issue liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Update ASM Issue empfangen wird:

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

Ausgabenachrichten

Die Aktion Update ASM Issue kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

Die folgende Tabelle listet den Wert für die Skriptausgabe bei Verwendung der Aktion Update ASM Issue auf:

Name des Scriptergebnisses	Wert
is_success	True oder False

DTM-Warnung aktualisieren

Verwenden Sie die Aktion Update DTM Alert, um eine Mandiant Digital Threat Monitoring-Warnung in Google Threat Intelligence zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion DTM-Benachrichtigung aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Erforderlich. Die ID der zu aktualisierenden Benachrichtigung.
Status	Optional. Der neue Status, der für die Benachrichtigung festgelegt werden soll. Folgende Werte sind möglich: Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally Der Standardwert ist Select One. Wenn Sie den Standardwert verwenden, schlägt die Aktion fehl.

Aktionsausgaben

Die Aktion DTM-Benachrichtigung aktualisieren liefert die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel sehen Sie die JSON-Ausgabe, die bei Verwendung der Aktion DTM-Benachrichtigung aktualisieren empfangen wird:

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

Ausgabenachrichten

Die Aktion DTM-Benachrichtigung aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Nachrichtenbeschreibung
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	Aktion erfolgreich.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	Aktion fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Update DTM Alert verwendet wird:

Name des Scriptergebnisses	Wert
is_success	True oder False

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Hinweis:Um Datenverlust zu vermeiden, wird in Connectors die Ereignisabflachung verwendet. Wenn eine Rohbenachrichtigung eine Liste von Entitäten enthält, z. B. mehrere E-Mail-Adressen, Hostnamen oder IP-Adressen, werden diese von Connectors automatisch in separate, eindeutige Ereignisse umgewandelt.

Wenn beispielsweise eine einzelne Rohbenachrichtigung drei verschiedene E‑Mail-Adressen enthält, wird sie als drei separate Ereignisse aufgenommen, die jeweils eine eigene E‑Mail-Adresse enthalten.

So wird sichergestellt, dass jede Einheit als eindeutiger Asset indexiert wird und in Playbooks vollständig durchsuchbar und nutzbar ist.

Google Threat Intelligence – DTM-Warnungs-Connector

Verwenden Sie den Google Threat Intelligence - DTM Alerts Connector, um Warnmeldungen von Google Threat Intelligence abzurufen. Um mit einer dynamischen Liste zu arbeiten, verwenden Sie den Parameter alert_type.

Connector-Eingaben

Der Google Threat Intelligence - DTM Alerts Connector benötigt die folgenden Parameter:

Parameter	Beschreibung
Product Field Name	Erforderlich. Der Name des Felds, in dem der Produktname gespeichert ist. Die Änderung des Produktnamens wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Erforderlich. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist event_type.
Environment Field Name	Optional. Der Name des Felds, in dem der Name der Umgebung gespeichert ist. Wenn das Feld „environment“ fehlt, wird der Standardwert verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Erforderlich. Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird. Der Standardwert ist 180.
API Root	Erforderlich. Der API-Root der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Erforderlich. Der Google Threat Intelligence API-Schlüssel.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden vom Connector Benachrichtigungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: Low Medium High
Monitor ID Filter	Optional. Eine durch Kommas getrennte Liste von Monitor-IDs zum Abrufen der Warnmeldungen.
Monitor Name Filter	Optional. Eine durch Kommas getrennte Liste von Monitornamen, von denen Warnmeldungen abgerufen werden sollen. Wenn mehrere Monitore denselben Namen haben, empfängt der Connector Daten von allen. Dieser Parameter wird zusammen mit den Monitor-ID-Werten mittels ODER-Logik ausgewertet.
Event Type Filter	Optional. Eine durch Kommas getrennte Liste der zurückzugebenden Ereignistypen. Bei der Eingabe wird nicht zwischen Groß- und Kleinschreibung unterschieden. Wird kein Wert angegeben, verarbeitet der Konnektor alle Ereignistypen. Um einen bestimmten Typ auszuschließen, stellen Sie ihm ein Ausrufezeichen voran (z. B. !event_type).
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig aktiviert.
Max Hours Backwards	Erforderlich. Die Anzahl der Stunden vor jetzt, in denen Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration nach der erstmaligen Aktivierung des Connectors oder als Fallback-Wert für einen abgelaufenen Connector-Zeitstempel verwendet werden. Der Standardwert ist 1.
Max Alerts To Fetch	Erforderlich. Die Anzahl der Warnungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 25. Der Standardwert ist 25.
Use dynamic list as a blocklist	Erforderlich. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Diese Option ist standardmäßig nicht ausgewählt.
Verify SSL	Erforderlich. Falls diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat bei der Verbindung zum Google Threat Intelligence-Server. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Google Threat Intelligence - DTM Alerts Connector unterstützt Proxys.

Anschlussstecker-Ereignisse

Für den Google Threat Intelligence - DTM Alerts Connector gibt es zwei Arten von Ereignissen: ein Ereignis, das auf der Hauptwarnung basiert, und ein Ereignis, das auf einem Thema basiert.

Ein Beispiel für das Connector-Ereignis basierend auf der Hauptwarnung ist folgendes:

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

Ein Beispiel für ein Connector-Ereignis basierend auf einem Thema ist folgendes:

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence – ASM Issues Connector

Verwenden Sie den Google Threat Intelligence - ASM Issues Connector, um Informationen zu ASM-Problemen von Google Threat Intelligence abzurufen. Um mit dem dynamischen Listenfilter zu arbeiten, verwenden Sie den Parameter category.

Connector-Eingaben

Der Google Threat Intelligence - ASM Issues Connector benötigt die folgenden Parameter:

Parameter	Beschreibung
Product Field Name	Erforderlich. Der Name des Felds, in dem der Produktname gespeichert ist. Die Änderung des Produktnamens wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Erforderlich. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist entity_type.
Environment Field Name	Optional. Der Name des Felds, in dem der Name der Umgebung gespeichert ist. Wenn das Feld „environment“ fehlt, wird der Standardwert verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Erforderlich. Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird. Der Standardwert ist 180.
API Root	Erforderlich. Der API-Root der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Erforderlich. Der Google Threat Intelligence API-Schlüssel.
Project Name	Optional. Der Name des ASM-Projekts. Wenn Sie keinen Wert festlegen, werden nur Benachrichtigungen aus Sammlungen im Hauptprojekt zurückgegeben.
Active Group	Optional. Der Identifikator für die aktive Gruppe (Organisationskontext) in Multi-Tenant-Umgebungen. Dies ist erforderlich, wenn Ihre ASM-Projekte in einer anderen Organisation als Ihrer Hauptorganisation angesiedelt sind.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden vom Connector Benachrichtigungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: Critical High Medium Low Informational
Issue Name Filter	Optional. Eine durch Kommas getrennte Liste der zu erfassenden Probleme. Bei der Eingabe wird zwischen Groß- und Kleinschreibung unterschieden. Wenn Namen direkt aufgelistet werden, verwendet der Konnektor einen Einschlussfilter und erfasst nur die übereinstimmenden Einträge. Um bestimmte Probleme auszuschließen, stellen Sie dem Namen ein Ausrufezeichen voran (z. B. !issue_name). Wird kein Wert angegeben, wird der Filter nicht angewendet, und alle Probleme werden erfasst.
Status Filter	Optional. Eine durch Kommas getrennte Liste der zu erfassenden Problemstatus. Wird kein Wert angegeben, verarbeitet der Connector nur offene Vorgänge. Folgende Werte sind möglich: Open Closed Der Standardwert ist Open.
Event Type Filter	Optional. Eine durch Kommas getrennte Liste der zurückzugebenden Ereignistypen. Bei der Eingabe wird nicht zwischen Groß- und Kleinschreibung unterschieden. Wird kein Wert angegeben, verarbeitet der Konnektor alle Ereignistypen. Um einen bestimmten Typ auszuschließen, stellen Sie ihm ein Ausrufezeichen voran (z. B. !event_type).
Max Hours Backwards	Erforderlich. Die Anzahl der Stunden vor jetzt, in denen Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration nach der erstmaligen Aktivierung des Connectors oder als Fallback-Wert für einen abgelaufenen Connector-Zeitstempel verwendet werden. Der Standardwert ist 1.
Max Issues To Fetch	Erforderlich. Die Anzahl der in jeder Konnektoriteration zu verarbeitenden Probleme. Der Höchstwert ist 100. Der Standardwert ist 10.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig aktiviert.
Use dynamic list as a blocklist	Erforderlich. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Diese Option ist standardmäßig nicht ausgewählt.
Verify SSL	Erforderlich. Falls diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat bei der Verbindung zum Google Threat Intelligence-Server. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Anschlussstecker-Ereignisse

Das Beispiel für das Ereignis Google Threat Intelligence - ASM Issues Connector lautet wie folgt:

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence – Livehunt Connector

Mit dem Google Threat Intelligence – Livehunt Connector können Sie Informationen zu Livehunt-Benachrichtigungen und den zugehörigen Dateien aus Google Threat Intelligence abrufen. Um mit der dynamischen Liste zu arbeiten, verwenden Sie den Parameter rule_name.

Connector-Eingaben

Für den Google Threat Intelligence – Livehunt Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Erforderlich. Der Name des Felds, in dem der Produktname gespeichert ist. Die Änderung des Produktnamens wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Erforderlich. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist type.
Environment Field Name	Optional. Der Name des Felds, in dem der Name der Umgebung gespeichert ist. Wenn das Feld „environment“ fehlt, wird der Standardwert verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Erforderlich. Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird. Der Standardwert ist 180.
API Root	Erforderlich. Der API-Root der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Erforderlich. Der Google Threat Intelligence API-Schlüssel.
Entity Type Filter	Optional. Eine durch Kommas getrennte Liste von Entitätstypen, nach denen Benachrichtigungen gefiltert werden sollen (z. B. file, url, domain, ip_address). Wenn das Feld leer gelassen wird, werden alle Entitätstypen aufgenommen. Der Standardwert ist file.
Max Hours Backwards	Erforderlich. Die Anzahl der Stunden vor jetzt, in denen Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration nach der erstmaligen Aktivierung des Connectors oder als Fallback-Wert für einen abgelaufenen Connector-Zeitstempel verwendet werden. Der Standardwert ist 1.
Max Notifications To Fetch	Erforderlich. Die Anzahl der Benachrichtigungen, die in jeder Konnektoriteration verarbeitet werden sollen. Der Standardwert ist 40.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig aktiviert.
Use dynamic list as a blocklist	Erforderlich. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Diese Option ist standardmäßig nicht ausgewählt.
Verify SSL	Erforderlich. Falls diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat bei der Verbindung zum Google Threat Intelligence-Server. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Google Threat Intelligence – Livehunt Connector unterstützt Proxys.

Anschlussstecker-Ereignisse

Das Beispiel für das Google Threat Intelligence - Livehunt Connector-Ereignis sieht wie folgt aus:

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED —>
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten