Google Threat Intelligence in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Google Threat Intelligence in Google Security Operations einbinden.

Hinweis

Für diese Integration benötigen Sie einen API-Schlüssel. Weitere Informationen finden Sie unter Google Threat Intelligence API-Schlüssel.

Integrationsparameter

Für die Google Threat Intelligence-Integration sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
API Root	Pflichtangabe. Der API-Stamm der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Pflichtangabe. Der Google Threat Intelligence API-Schlüssel.
ASM Project Name	Optional. Der Name des Mandiant Attack Surface Management-Projekts (ASM), das in der Integration verwendet werden soll. Dieser Parameter ist erforderlich, um die Aktionen ASM-Entitäten suchen, ASM-Probleme suchen und ASM-Problem aktualisieren auszuführen. Wenn kein Wert festgelegt ist, werden nur Benachrichtigungen aus Sammlungen im primären Projekt zurückgegeben.
Active Group	Optional. Die Kennung der aktiven Gruppe (Organisationskontext) für mehrmandantenfähige Umgebungen. Dies ist erforderlich, wenn sich Ihre ASM-Projekte in einer anderen Organisation als Ihrer primären Organisation befinden.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

ASM-Problemanmerkung hinzufügen

Mit der Aktion ASM-Problemanmerkung hinzufügen können Sie einem ASM-Problem (Attack Surface Management) in Google Threat Intelligence eine technische Anmerkung hinzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Problemanmerkung hinzufügen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Pflichtangabe. Die ID der zu aktualisierenden Benachrichtigung.
Text	Pflichtangabe. Der Inhalt der Analyse oder Notiz, die an die Benachrichtigung angehängt werden soll.

Aktionsausgaben

Die Aktion ASM-Problemerläuterung hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Add ASM Issue Note kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Problemanmerkung hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Kommentar zu Entität hinzufügen

Mit der Aktion Kommentar zu Entität hinzufügen können Sie Google SecOps-Entitäten in Google Threat Intelligence Kommentare hinzufügen.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Aktionseingaben

Für die Aktion Kommentar zu Entität hinzufügen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Comment	Pflichtangabe. Ein Kommentar, der allen unterstützten Entitäten hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Kommentar zu Entität hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Kommentar zu Entität hinzufügen empfangen werden:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Ausgabenachrichten

Die Aktion Kommentar zu Entität hinzufügen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Kommentar zu Entität hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Tag zu DTM-Benachrichtigung hinzufügen

Mit Tag zu DTM-Benachrichtigung hinzufügen können Sie einer DTM-Benachrichtigung (Digital Threat Monitoring) in Google Threat Intelligence Tags hinzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Add Tag To DTM Alert sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Pflichtangabe. Die eindeutige Kennung der zu aktualisierenden Benachrichtigung.
Mode	Optional. Die operative Logik für die Tag-Aktualisierung. Folgende Werte sind möglich: Append: Fügt die angegebenen Tags der vorhandenen Tag-Liste der Benachrichtigung hinzu. Set: Überschreibt alle vorhandenen Benachrichtigungs-Tags mit den in Tags angegebenen Tags. Der Standardwert ist Append.
Tags	Pflichtangabe. Eine durch Kommas getrennte Liste von Tags, die auf die Benachrichtigung angewendet werden sollen.

Aktionsausgaben

Die Aktion Tag zu DTM-Benachrichtigung hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Add Tag To DTM Alert kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Tag zu DTM-Benachrichtigung hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Abstimmung zu Entität hinzufügen

Mit der Aktion Kommentar zu Entität hinzufügen können Sie Google SecOps-Entitäten in Google Threat Intelligence Bewertungen hinzufügen.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Aktionseingaben

Für die Aktion Add Vote To Entity sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Vote	Pflichtangabe. Eine Stimme, die allen unterstützten Entitäten hinzugefügt werden soll. Folgende Werte sind möglich: Harmless Malicious Der Standardwert ist Malicious.

Aktionsausgaben

Die Aktion Add Vote To Entity liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Add Vote To Entity empfangen wird:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Ausgabenachrichten

Die Aktion Add Vote To Entity kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Add Vote To Entity verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Datei herunterladen

Verwenden Sie die Aktion Datei herunterladen, um eine Datei von Google Threat Intelligence herunterzuladen.

Diese Aktion wird für die Google SecOps-Entität Hash ausgeführt.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Aktionseingaben

Für die Aktion Datei herunterladen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Download Folder Path	Pflichtangabe. Der Pfad zum Ordner, in dem heruntergeladene Dateien gespeichert werden sollen.
Overwrite	Pflichtangabe. Wenn diese Option ausgewählt ist, wird eine vorhandene Datei mit der neuen Datei überschrieben, wenn die Dateinamen identisch sind. Standardmäßig aktiviert.

Aktionsausgaben

Die Aktion Datei herunterladen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Datei herunterladen erhalten:

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

Ausgabenachrichten

Die Aktion Datei herunterladen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Download File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Entitäten anreichern

Verwenden Sie die Aktion Entitäten anreichern, um Entitäten mit Informationen aus Google Threat Intelligence anzureichern.

Diese Aktion unterstützt die Hashes MD5, SHA-1 und SHA-256.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• CVE
• Domain
• Hash (einschließlich CHILDHASH und PARENTHASH)
• Hostname
• IP Address
• Threat Actor
• URL

Aktionseingaben

Für die Aktion Entitäten anreichern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
GTI Score	Optional. Der Mindestwert für Google Threat Intelligence, der erforderlich ist, um eine Google SecOps-Entität als verdächtig zu markieren. Diese Bedingung wird zusammen mit den Informationen zum Google Threat Intelligence-Urteil validiert. Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash. Wenn kein Wert angegeben ist, werden die Google Threat Intelligence-Bewertungswerte von der Aktion ignoriert. Der Standardwert ist 60.
Engine Threshold	Optional. Die Mindestanzahl von Sicherheits-Engines, die eine Entität als bösartig oder verdächtig kennzeichnen müssen, damit Google SecOps sie als verdächtig einstuft. Diese Bedingung wird zusammen mit den Informationen zum Google Threat Intelligence-Urteil validiert. Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash. Wenn Engine Allowlist Werte enthält, werden bei der Aktion nur Ergebnisse von diesen spezifischen Suchmaschinen berücksichtigt. Wenn kein Wert angegeben ist, werden Berechnungen der Suchmaschine ignoriert.
Engine Percentage Threshold	Optional. Der Mindestprozentsatz an Sicherheits-Engines, die eine Entität als bösartig oder verdächtig markieren müssen, damit Google SecOps sie als verdächtig kennzeichnet. Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash. Wenn Engine Allowlist Werte enthält, berechnet die Aktion den Prozentsatz nur für diese spezifischen Engines. Wenn sowohl Engine Threshold als auch Engine Percentage Threshold angegeben sind, hat Engine Threshold Vorrang. Wenn kein Wert angegeben ist, werden Berechnungen der Suchmaschine ignoriert. Der Höchstwert ist 100. Der Mindestwert beträgt 0.
Engine Allowlist	Optional. Eine durch Kommas getrennte Liste von Sicherheits-Engines, die zum Abrufen von Informationen zur Schädlichkeit verwendet werden (z. B. AlienVault,Kaspersky). Wenn kein Wert angegeben ist, ruft die Aktion Ergebnisse von jeder verfügbaren Engine ab. Suchmaschinen, die keine Informationen zu einer Entität zurückgeben, werden von den Berechnungen für Engine Threshold und Engine Percentage Threshold ausgeschlossen.
Resubmit Entity	Optional. Wenn diese Option ausgewählt ist, werden Entitäten noch einmal zur Analyse gesendet, anstatt die Entitätsinformationen aus der vorherigen Ausführung der Aktion zu verwenden. Dieser Parameter unterstützt nur die Entitäten URL und Hash. Standardmäßig nicht ausgewählt.
Resubmit After (Days)	Optional. Die Anzahl der Tage, die die Aktion warten soll, bevor die Entität noch einmal gesendet wird. Wenn Sie diesen Parameter verwenden möchten, wählen Sie den Parameter Resubmit Entity aus. Der Standardwert ist 30. Dieser Parameter unterstützt nur die Entitäten URL und Hash.
Sandbox	Optional. Eine durch Kommas getrennte Liste der zu analysierenden Sandbox-Namen, z. B. VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO. Dieser Parameter unterstützt nur die Entität Hash. Wenn Sie diesen Parameter nicht festlegen, verwendet die Aktion die Standard-Sandbox VirusTotal Jujubox.
Retrieve Sandbox Analysis	Optional. Wenn diese Option ausgewählt ist, ruft die Aktion die Sandbox-Analyse für die Entität ab und erstellt im JSON-Ergebnis für jede Sandbox einen separaten Abschnitt. Die Aktion gibt Daten für Sandboxes zurück, die Sie im Parameter Sandbox konfiguriert haben. Dieser Parameter unterstützt nur die Entität Hash. Standardmäßig nicht ausgewählt.
Fetch MITRE Details	Optional. Wenn diese Option ausgewählt ist, gibt die Aktion Informationen zu den zugehörigen MITRE-Techniken und -Taktiken zurück. Dieser Parameter unterstützt nur die Entität Hash. Standardmäßig nicht ausgewählt.
Lowest MITRE Technique Severity	Optional. Der niedrigste Schweregrad der MITRE-Technik, der zurückgegeben werden soll. Die Aktion behandelt den Schweregrad Unknown als Info. Dieser Parameter unterstützt nur die Entität Hash. Folgende Werte sind möglich: High Medium Low Info Der Standardwert ist Medium.
Retrieve Comments	Optional. Wenn diese Option ausgewählt ist, ruft die Aktion Kommentare zur Entität ab. Dieser Parameter unterstützt die folgenden Entitäten: Domain Hash Hostname IP Address URL
Widget Theme	Optional. Der visuelle Stil, der auf das IOC-Augmented-Widget angewendet wird. Folgende Werte sind möglich: Dark Dark Blue Light Der Standardwert ist Dark Blue.
Max Comments To Return	Optional. Die maximale Anzahl von Kommentaren, die für jede Aktionsausführung zurückgegeben werden sollen. Der Standardwert ist 10.

Aktionsausgaben

Die Aktion Entitäten anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Tabelle mit Entitätsanreicherungen	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Link zum Fall-Repository

Die Aktion Entitäten anreichern kann die folgenden Links zurückgeben:

• IOC: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• Bedrohungsakteur: https://www.virustotal.com/gui/collection/threat-actor--ID

• Sicherheitslücke: https://www.virustotal.com/gui/collection/vulnerability--ID

Tabelle mit Entitätsanreicherungen

1. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für IP-Adressen:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_owner	as_owner	Wenn im JSON-Ergebnis verfügbar.
GTI_asn	asn	Wenn im JSON-Ergebnis verfügbar.
GTI_continent	continent	Wenn im JSON-Ergebnis verfügbar.
GTI_country	country	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_certificate_valid_not_after	validity/not_after	Wenn im JSON-Ergebnis verfügbar.
GTI_certificate_valid_not_before	validity/not_before	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.

2. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für URL:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_title	title	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code	last_http_response_code	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length	last_http_response_content_length	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_names	Comma-separated list of threat_names	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Wenn im JSON-Ergebnis verfügbar.

3. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für Hash:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_magic	magic	Wenn im JSON-Ergebnis verfügbar.
GTI_md5	md5	Wenn im JSON-Ergebnis verfügbar.
GTI_sha1	sha1	Wenn im JSON-Ergebnis verfügbar.
GTI_sha256	sha256	Wenn im JSON-Ergebnis verfügbar.
GTI_ssdeep	ssdeep	Wenn im JSON-Ergebnis verfügbar.
GTI_tlsh	tlsh	Wenn im JSON-Ergebnis verfügbar.
GTI_vhash	vhash	Wenn im JSON-Ergebnis verfügbar.
GTI_meaningful_name	meaningful_name	Wenn im JSON-Ergebnis verfügbar.
GTI_magic	Comma-separated list of names	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für Domain/Hostname:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Comma-separated list of tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report_link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Wenn im JSON-Ergebnis verfügbar.

5. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für Bedrohungsakteur:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_motivations	Csv of motivations/name	Wenn im JSON-Ergebnis verfügbar.
GTI_aliases	Csv of alt_names_details/value	Wenn im JSON-Ergebnis verfügbar.
GTI_industries	Csv of targeted_industries/value	Wenn im JSON-Ergebnis verfügbar.
GTI_malware	Csv of malware/name	Wenn im JSON-Ergebnis verfügbar.
GTI_source_region	CSV of source_regions_hierarchy/country	Wenn im JSON-Ergebnis verfügbar.
GTI_target_region	Csv of targeted_regions_hierarchy/country	Wenn im JSON-Ergebnis verfügbar.
GTI_origin	origin	Wenn im JSON-Ergebnis verfügbar.
GTI_description	description	Wenn im JSON-Ergebnis verfügbar.
GTI_last_activity_time	last_activity_time	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	We craft it.	Wenn im JSON-Ergebnis verfügbar.

6. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für Sicherheitslücken:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_sources	Csv of source_name	Wenn im JSON-Ergebnis verfügbar.
GTI_exploitation_state	exploitation_state	Wenn im JSON-Ergebnis verfügbar.
GTI_date_of_disclosure	date_of_disclosure	Wenn im JSON-Ergebnis verfügbar.
GTI_vendor_fix_references	vendor_fix_references/url	Wenn im JSON-Ergebnis verfügbar.
GTI_exploitation_vectors	Csv of exploitation_vectors	Wenn im JSON-Ergebnis verfügbar.
GTI_description	description	Wenn im JSON-Ergebnis verfügbar.
GTI_risk_rating	risk_rating	Wenn im JSON-Ergebnis verfügbar.
GTI_available_mitigation	CSV of available_mitigation	Wenn im JSON-Ergebnis verfügbar.
GTI_exploitation_consequence	exploitation_consequence	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	We craft it.	Wenn im JSON-Ergebnis verfügbar.

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für IOCs (IP-, Hash-, URL-, Domain- und Hostname-Entitäten), die bei Verwendung der Aktion Entitäten anreichern empfangen werden:

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für Sicherheitslücken, die bei Verwendung der Aktion Entitäten anreichern empfangen wurden:

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für Bedrohungsakteure, die bei Verwendung der Aktion Entitäten anreichern empfangen wird:

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

Ausgabenachrichten

Die Aktion Entitäten anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	Die Aktion war erfolgreich.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Entitäten anreichern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

IOCs anreichern

Verwenden Sie die Aktion IoCs anreichern, um die Kompromittierungsindikatoren (IoCs) mit Informationen aus Google Threat Intelligence anzureichern.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Enrich IOCs sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
IOC Type	Optional. Der Typ des anzureichernden IOC. Folgende Werte sind möglich: Filehash URL Domain IP Address Der Standardwert ist Filehash.
IOCs	Pflichtangabe. Eine durch Kommas getrennte Liste von IOCs zum Aufnehmen von Daten.
Widget Theme	Optional. Der visuelle Stil, der auf das IOC-Augmented-Widget angewendet wird. Folgende Werte sind möglich: Dark Dark Blue Light Der Standardwert ist Dark Blue.

Aktionsausgaben

Die Aktion IOCs anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Link zum Fall-Repository

Die Aktion IOCs anreichern kann für jede angereicherte Entität den folgenden Link bereitstellen:

Name: Berichtslink

Wert: URL

Tabelle mit Fall-Repository

Die Aktion IOCs anreichern kann für jede angereicherte Entität die folgende Tabelle bereitstellen:

Tabellenname: IOC_ID

Tabellenspalten:

• Name
• Kategorie
• Methode
• Ergebnis

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion IOCs anreichern erhalten:

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

Ausgabenachrichten

Die Aktion IOCs anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	Die Aktion war erfolgreich.
Error executing action "Enrich IOC". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion IOCs anreichern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

IOC-Suche ausführen

Verwenden Sie die Aktion IOC-Suche ausführen, um die IOC-Suche in Google Threat Intelligence auszuführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion IOC-Suche ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Search Query	Pflichtangabe. Eine auszuführende Suchanfrage, z. B. crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return	Optional. Die maximale Anzahl von Ergebnissen, die für jede Aktionsausführung zurückgegeben werden sollen. Der Höchstwert ist 200. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion IOC-Suche ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion IOC-Suche ausführen erhalten:

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

Ausgabenachrichten

Die Aktion IOC-Suche ausführen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn Sie die Aktion IOC-Suche ausführen verwenden:

Name des Skriptergebnisses	Wert
is_success	True oder False

ASM-Entitätsdetails abrufen

Verwenden Sie die Aktion ASM-Entitätsdetails abrufen, um Informationen zu einer ASM-Entität in Google Threat Intelligence abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitätsdetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Entity ID	Pflichtangabe. Eine durch Kommas getrennte Liste von Entitäts-IDs, für die Details abgerufen werden sollen.

Aktionsausgaben

Die Aktion ASM-Entitätsdetails abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion ASM-Entitätsdetails abrufen verwenden:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED >
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

Ausgabenachrichten

Die Aktion ASM-Entitätsdetails abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	Die Aktion war erfolgreich.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Entitätsdetails abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Diagrammdetails abrufen

Verwenden Sie die Aktion Grafikdetails abrufen, um detaillierte Informationen zu Grafiken in Google Threat Intelligence zu erhalten.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Diagrammdetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Graph ID	Pflichtangabe. Eine durch Kommas getrennte Liste von Diagramm-IDs, für die Details abgerufen werden sollen.
Max Links To Return	Pflichtangabe. Die maximale Anzahl der Links, die für jeden Graphen zurückgegeben werden sollen. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Grafikdetails abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Grafikdetails abrufen kann die folgende Tabelle für jede angereicherte Entität bereitstellen:

Tabellenname: Graph GRAPH_ID Links

Tabellenspalten:

• Quelle
• Ziel-
• Verbindungstyp

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Grafikdetails abrufen verwenden:

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

Ausgabenachrichten

Die Aktion Grafikdetails abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	Die Aktion war erfolgreich.
Error executing action "Get Graph Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Diagrammdetails abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Zugehörige Verknüpfungen abrufen

Mit der Aktion Get Related Associations können Sie Informationen zu Verknüpfungen (Berichte, Kampagnen, Sammlungen, Malware-Familien, Software-Toolkits, Sicherheitslücken, Bedrohungsakteure) abrufen, die mit Entitäten in Google Threat Intelligence in Verbindung stehen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP address
• URL
• File hash
• Hostname
• Domain

Hinweis: Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Aktionseingaben

Für die Aktion Zugehörige Verknüpfungen abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Association Types	Optional. Eine durch Kommas getrennte Liste der zurückzugebenden Verknüpfungen. Berichte werden verarbeitet, nachdem alle anderen Verknüpfungen abgeschlossen sind. Folgende Werte sind möglich: Report Campaign Collection Malware Family Vulnerability Threat Actor Wenn kein Wert angegeben ist, gibt die Aktion alle Verknüpfungen zurück.
Create Entity	Optional. Wenn diese Option ausgewählt ist, wird durch die Aktion eine Entität für zugehörige Bedrohungsakteure, CVEs (Common Vulnerabilities and Exposures) und Kampagnen erstellt und mit der ursprünglichen Entität verknüpft. Es werden nur CVE-, Bedrohungsakteur- und Kampagnenentitäten erstellt.
Max Associations To Return	Optional. Die maximale Anzahl von IoCs, die für jede Entität zurückgegeben werden sollen. Der Höchstwert ist 100. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Zugehörige Verknüpfungen abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Zugehörige Verknüpfungen abrufen erhalten:

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

Ausgabenachrichten

Die Aktion Zugehörige Verknüpfungen abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Get Related Associations". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Zugehörige Verknüpfungen abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Zugehörige IOCs abrufen

Verwenden Sie die Aktion Zugehörige IOCs abrufen, um Informationen zu IOCs abzurufen, die sich auf Entitäten beziehen, und verwenden Sie dazu Informationen aus Google Threat Intelligence.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

Aktionseingaben

Für die Aktion Zugehörige IOCs abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
IOC Types	Pflichtangabe. Eine durch Kommas getrennte Liste der zu extrahierenden IOCs. Mögliche Werte: IP, Hash, URL, Domain.
Max IOCs To Return	Pflichtangabe. Die maximale Anzahl von IOCs, die für ausgewählte IOC-Typen für jede Entität zurückgegeben werden sollen. Der Standardwert ist 40.

Aktionsausgaben

Die Aktion Zugehörige IOCs abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Get Related IOCs erhalten:

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

Ausgabenachrichten

Die Aktion Zugehörige IOCs abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	Die Aktion war erfolgreich.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Zugehörige IOCs abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Google Threat Intelligence zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	Die Aktion war erfolgreich.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses	Wert
is_success	True oder False

Private Submit URL

Verwenden Sie die Aktion Private Submit URL, um eine URL für einen privaten Scan in Google Threat Intelligence einzureichen.

Diese Aktion wird für die folgende Google SecOps-Entität ausgeführt:

• URL

Hinweis: Verwenden Sie für einen regulären Scan und die Entitätsanreicherung stattdessen die Aktion Entitäten anreichern.

Aktionseingaben

Für die Aktion Private Submit URL sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
URL	Optional. Eine durch Kommas getrennte Liste von URLs, die gescannt werden sollen. Das System verarbeitet die eingegebenen Werte zusammen mit allen URL-Entitäten, die der Vorgang findet.
Check Existing Submissions First	Optional. Wenn diese Option ausgewählt ist, wird die URL auf vorhandene öffentliche oder private Einreichungsinformationen geprüft. Wenn sie gefunden werden, gibt die Aktion die Informationen sofort zurück und umgeht den Einreichungsvorgang. Standardmäßig deaktiviert.
Resubmit After (Days)	Optional. Die Mindestanzahl von Tagen, die nach dem letzten öffentlichen Analysedatum der URL vergehen müssen, damit die URL noch einmal eingereicht werden kann. Hinweis: Wenn Sie diesen Parameter verwenden möchten, müssen Sie Check Existing Submissions First aktivieren. Der Standardwert ist 30.

Aktionsausgaben

Die Aktion Private Submit URL liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Link zum Fall-Repository

Die Aktion Private Submit URL kann den folgenden Link zurückgeben:

Link zum Bericht (URL): URL to the GTI UI displaying the submission details.

Tabelle mit Entitätsanreicherungen

Die Aktion Private Submit URL unterstützt die folgende Entitätsanreicherung für URL-Entitäten, wenn Daten aus einer öffentlichen Einreichung abgerufen werden:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_title	title	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code	last_http_response_code	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length	last_http_response_content_length	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_names	Durch Kommas getrennte Liste von threat_names	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count	last_analysis_stats/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count	last_analysis_stats/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count	last_analysis_stats/suspicious	Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count	last_analysis_stats/undetected	Wenn im JSON-Ergebnis verfügbar.
GTI_reputation	reputation	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Durch Kommas getrennte Liste von tags	Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count	total_votes/malicious	Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count	total_votes/harmless	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score	gti_assessment.threat_score.value	Wenn im JSON-Ergebnis verfügbar.
GTI_severity	gti_assessment.severity.value	Wenn im JSON-Ergebnis verfügbar.
GTI_normalised_categories	CSV-Datei von gti_assessment.contributing_factors.normalised_categories	Wenn im JSON-Ergebnis verfügbar.
GTI_verdict	gti_assessment.verdict.value	Wenn im JSON-Ergebnis verfügbar.
GTI_description	gti_assessment.description	Wenn im JSON-Ergebnis verfügbar.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Wenn im JSON-Ergebnis verfügbar.

Die Aktion Private Submit URL unterstützt die folgende Entitätsanreicherung für URL-Entitäten, wenn Daten aus einer privaten Einreichung abgerufen werden:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GTI_id	id	Wenn im JSON-Ergebnis verfügbar.
GTI_title	title	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code	last_http_response_code	Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length	last_http_response_content_length	Wenn im JSON-Ergebnis verfügbar.
GTI_tags	Durch Kommas getrennte Liste von tags	Wenn im JSON-Ergebnis verfügbar.
GTI_report_link	report link	Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link	widget_url	Wenn im JSON-Ergebnis verfügbar.

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Private Submit URL empfangen wird:

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

Ausgabenachrichten

Die Aktion Private Submit URL kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Private Submit URL". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Private Submit URL verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

ASM-Entitäten suchen

Verwenden Sie die Aktion ASM-Entitäten suchen, um in Google Threat Intelligence nach ASM-Entitäten zu suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitäten suchen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Project Name	Optional. Der Name des ASM-Projekts. Wenn Sie keinen Wert festlegen, verwendet die Aktion den Wert, den Sie für den Integrationsparameter ASM Project Name konfiguriert haben.
Entity Name	Optional. Eine durch Kommas getrennte Liste von Entitätsnamen, um Entitäten zu finden. Die Aktion behandelt Entitätsnamen, die / Schrägstriche enthalten, als ungültige Werte.
Minimum Vulnerabilities Count	Optional. Die Mindestanzahl von Sicherheitslücken, die erforderlich ist, damit die Aktion die Entität zurückgibt.
Minimum Issues Count	Optional. Die Mindestanzahl von Problemen, die erforderlich sind, damit die Aktion die Entität zurückgibt.
Tags	Optional. Eine durch Kommas getrennte Liste von Tag-Namen, die bei der Suche nach Entitäten verwendet werden sollen.
Max Entities To Return	Optional. Die Anzahl der zurückzugebenden Entitäten. Der Höchstwert ist 200. Der Standardwert ist 50.
Critical or High Issue	Optional. Wenn diese Option ausgewählt ist, gibt die Aktion nur Probleme mit dem Schweregrad High und Critical zurück. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion ASM-Entitäten suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion ASM-Entitäten suchen erhalten:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

Ausgabenachrichten

Die Aktion ASM-Entitäten suchen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Entitäten suchen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

ASM-Probleme suchen

Verwenden Sie die Aktion ASM-Probleme suchen, um in Google Threat Intelligence nach ASM-Problemen zu suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Search ASM Issues sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Project Name	Optional. Der Name des ASM-Projekts. Wenn Sie keinen Wert festlegen, verwendet die Aktion den Wert, den Sie für den Integrationsparameter ASM Project Name konfiguriert haben.
Issue ID	Optional. Eine durch Kommas getrennte Liste von Problem-IDs, für die die Details zurückgegeben werden sollen.
Entity ID	Optional. Eine durch Kommas getrennte Liste von Entitäts-IDs, um zugehörige Probleme zu finden.
Entity Name	Optional. Eine durch Kommas getrennte Liste von Entitätsnamen, um zugehörige Probleme zu finden. Die Aktion behandelt Entitätsnamen, die / Schrägstriche enthalten, als ungültige Werte.
Time Parameter	Optional. Eine Filteroption zum Festlegen der Problemzeit. Die möglichen Werte sind First Seen und Last Seen. Der Standardwert ist First Seen.
Time Frame	Optional. Ein Zeitraum, nach dem Probleme gefiltert werden sollen. Wenn Sie Custom auswählen, konfigurieren Sie den Parameter Start Time. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Der Standardwert ist Last Hour.
Start Time	Optional. Der Beginn des Zeitraums für die Ergebnisse. Wenn Sie Custom für den Parameter Time Frame ausgewählt haben, ist dieser Parameter erforderlich. Konfigurieren Sie den Wert im ISO 8601-Format.
End Time	Optional. Die Endzeit für die Ergebnisse. Wenn Sie Custom für den Parameter Time Frame ausgewählt und die Endzeit nicht festgelegt haben, wird für diesen Parameter die aktuelle Zeit als Endzeit verwendet. Konfigurieren Sie den Wert im ISO 8601-Format.
Lowest Severity To Return	Optional. Der niedrigste Schweregrad der zurückzugebenden Probleme. Folgende Werte sind möglich: Select One Critical High Medium Low Informational Der Standardwert ist Select One. Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Status	Optional. Der Statusfilter für die Suche. Die möglichen Werte sind Open, Closed und Select One. Der Standardwert ist Select One. Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Tags	Optional. Eine durch Kommas getrennte Liste von Tag-Namen, die bei der Suche nach Problemen verwendet werden sollen.
Max Issues To Return	Pflichtangabe. Die Anzahl der zurückzugebenden Probleme. Der Höchstwert ist 200. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion ASM-Probleme suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Search ASM Issues erhalten:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

Ausgabenachrichten

Die Aktion Search ASM Issues kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Search ASM Issues verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Entitätsdiagramme durchsuchen

Mit der Aktion Entitätsdiagramme suchen können Sie in Google Threat Intelligence nach Diagrammen suchen, die auf Google SecOps-Entitäten basieren.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

Aktionseingaben

Für die Aktion Entitätsdiagramme suchen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Sort Field	Optional. Der Feldwert, nach dem die Ergebnisse sortiert werden sollen. Folgende Werte sind möglich: Owner Creation Date Last Modified Date Views Count Comments Count Der Standardwert ist Owner.
Max Graphs To Return	Optional. Die maximale Anzahl von Diagrammen, die für jede Aktionsausführung zurückgegeben werden sollen. Der Standardwert ist 10.

Aktionsausgaben

Die Aktion Entitätsdiagramme suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Entitätsgraphen suchen empfangen wird:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Ausgabenachrichten

Die Aktion Entitätsdiagramme suchen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	Die Aktion war erfolgreich.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Grafiken durchsuchen

Verwenden Sie die Aktion Diagramme suchen, um in Google Threat Intelligence anhand von benutzerdefinierten Filtern nach Diagrammen zu suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Search Graphs sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query	Pflichtangabe. Der Abfragefilter für den Graphen. Wenn Sie beispielsweise nach Diagrammen im ausgewählten Zeitraum suchen möchten, formatieren Sie die Abfrage so: creation_date:2018-11-1+creation_date:2018-11-12 Weitere Informationen zu Abfragen finden Sie unter Abfragen erstellen, Diagrammbezogene Modifikatoren und Knotenbezogene Modifikatoren.
Sort Field	Optional. Der Feldwert, nach dem die VirusTotal-Diagramme sortiert werden sollen. Folgende Werte sind möglich: Comments Count Creation Date Last Modified Date Owner Views Count Der Standardwert ist Owner.
Max Graphs To Return	Optional. Die maximale Anzahl von Diagrammen, die für jede Aktionsausführung zurückgegeben werden sollen. Der Standardwert ist 10.

Abfragen erstellen

Wenn Sie Suchergebnisse aus Graphen eingrenzen möchten, erstellen Sie Abfragen, die Graph-bezogene Modifikatoren enthalten. Zur Verbesserung der Suche können Sie Modifikatoren mit den Operatoren AND, OR und NOT kombinieren.

Datums- und numerische Felder unterstützen die Suffixe + (Plus) und - (Minus). Ein Plus-Suffix entspricht Werten, die größer als der angegebene Wert sind. Ein Minus-Suffix entspricht Werten, die kleiner als der angegebene Wert sind. Ohne Suffix gibt die Abfrage genaue Übereinstimmungen zurück.

Wenn Sie Bereiche definieren möchten, können Sie denselben Modifikator mehrmals in einer Abfrage verwenden. Wenn Sie beispielsweise nach Diagrammen suchen möchten, die zwischen dem 15.11.2018 und dem 20.11.2018 erstellt wurden, verwenden Sie die folgende Abfrage:

creation_date:2018-11-15+ creation_date:2018-11-20-

Entfernen Sie bei Datumsangaben oder Monaten, die mit 0 beginnen, das Zeichen 0 in der Abfrage. Formatieren Sie beispielsweise das Datum 2018-11-01 als 2018-11-1.

Diagrammbezogene Modifikatoren

In der folgenden Tabelle sind diagrammbezogene Modifikatoren aufgeführt, die Sie zum Erstellen der Suchanfrage verwenden können:

Name des Modifikators	Beschreibung	Beispiel
id	Filtert nach Diagramm-ID.	id:g675a2fd4c8834e288af
name	Filtert nach Diagrammname.	name:Example-name
owner	Filtert nach Diagrammen, die dem Nutzer gehören.	owner:example_user
group	Filtert nach Diagrammen, die einer Gruppe gehören.	group:example
visible_to_user	Filtert nach Diagrammen, die für den Nutzer sichtbar sind.	visible_to_user:example_user
visible_to_group	Filtert nach Diagrammen, die für die Gruppe sichtbar sind.	visible_to_group:example
private	Filtert nach privaten Diagrammen.	private:true, private:false
creation_date	Filtert nach dem Erstellungsdatum des Diagramms.	creation_date:2018-11-15
last_modified_date	Filtert nach dem Datum der letzten Änderung des Diagramms.	last_modified_date:2018-11-20
total_nodes	Filtert nach Diagrammen, die eine bestimmte Anzahl von Knoten enthalten.	total_nodes:100
comments_count	Filtert nach der Anzahl der Kommentare im Diagramm.	comments_count:10+
views_count	Filtert nach der Anzahl der Diagrammaufrufe.	views_count:1000+

Knotenbezogene Modifikatoren

In der folgenden Tabelle sind diagrammbezogene Modifikatoren aufgeführt, die Sie zum Erstellen der Suchanfrage verwenden können:

Name des Modifikators	Beschreibung	Beispiel
label	Filtert nach Diagrammen, die Knoten mit einem bestimmten Label enthalten.	label:Kill switch
file	Filtert nach Diagrammen, die die angegebene Datei enthalten.	file:131f95c51cc819465fa17
domain	Filtert nach Diagrammen, die die angegebene Domain enthalten.	domain:example.com
ip_address	Filtert nach Diagrammen, die die angegebene IP-Adresse enthalten.	ip_address:203.0.113.1
url	Filtert nach Diagrammen, die die angegebene URL enthalten.	url:https://example.com/example/
actor	Filtert nach Diagrammen, die den angegebenen Akteur enthalten.	actor:example actor
victim	Filtert nach Diagrammen, die das angegebene Opfer enthalten.	victim:example_user
email	Filtert nach Diagrammen, die die angegebene E-Mail-Adresse enthalten.	email:[e-mail]
department	Filtert nach Diagrammen, die die angegebene Abteilung enthalten.	department:engineers

Aktionsausgaben

Die Aktion Search Graphs liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Search Graphs erhalten:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Ausgabenachrichten

Die Aktion Search Graphs kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	Die Aktion war erfolgreich.
Error executing action "Search Graphs". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Search Graphs verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

DTM-Warnungsanalyse festlegen

Mit der Aktion DTM-Warnungsanalyse festlegen können Sie eine Analyse für eine DTM-Warnung (Digital Threat Monitoring) in Google Threat Intelligence definieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Set DTM Alert Analysis sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Pflichtangabe. Die ID der Benachrichtigung, der die Analyse hinzugefügt werden soll.
Text	Pflichtangabe. Die Analyse, die der Benachrichtigung hinzugefügt werden soll.
Attachment File Paths	Optional. Eine durch Kommas getrennte Liste von Dateipfaden, die an die Benachrichtigung angehängt werden sollen. Es werden maximal 10 Anhänge unterstützt.

Aktionsausgaben

Die Aktion Set DTM Alert Analysis liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Ausgabenachrichten

Die Aktion Set DTM Alert Analysis kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion DTM-Benachrichtigungsanalyse festlegen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Datei einreichen

Verwenden Sie die Aktion Datei einreichen, um eine Datei einzureichen und Ergebnisse von Google Threat Intelligence zu erhalten.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Diese Aktion ist asynchron. Passen Sie den Zeitlimitwert für das Script in der integrierten Entwicklungsumgebung (IDE) von Google SecOps für die Aktion nach Bedarf an.

Aktionseingaben

Für die Aktion Datei einreichen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
GTI Score	Optional. Der Google Threat Intelligence-Score, der verwendet wird, um das Attribut is_risky im JSON-Ergebnis auf true zu setzen. Diese Bedingung wird zusammen mit den Urteilsinformationen von Google Threat Intelligence validiert. Wenn kein Wert angegeben wird, ignoriert die Aktion den Google Threat Intelligence-Wert. Der Standardwert ist 60.
Engine Threshold	Optional. Die Mindestanzahl von Sicherheits-Engines, die eine Entität als bösartig oder verdächtig markieren müssen, damit das Attribut is_risky auf true gesetzt wird. Diese Bedingung wird zusammen mit den Informationen zum Google Threat Intelligence-Urteil validiert. Wenn Engine Allowlist Werte enthält, werden nur Ergebnisse von diesen spezifischen Engines gezählt. Wenn kein Wert angegeben ist, werden Berechnungen der Anzahl der Engines bei der Aktion ignoriert.
Engine Percentage Threshold	Optional. Der Mindestprozentsatz an Sicherheits-Engines, die eine Entität als bösartig oder verdächtig markieren müssen, damit das Attribut is_risky auf true (0 und 100) gesetzt wird. Wenn Engine Allowlist Werte enthält, wird der Prozentsatz nur für diese spezifischen Engines berechnet. Wenn sowohl Engine Threshold als auch Engine Percentage Threshold angegeben sind, hat Engine Threshold Vorrang. Wenn kein Wert angegeben ist, werden Prozentberechnungen bei der Aktion ignoriert.
Engine Allowlist	Optional. Eine durch Kommas getrennte Liste von Sicherheits-Engines, die bei der Bestimmung der Schädlichkeit verwendet werden sollen (z. B. AlienVault,Kaspersky). Suchmaschinen, die keine Informationen zu einer Entität zurückgeben, werden von den Berechnungen für Engine Threshold und Engine Percentage Threshold ausgeschlossen. Wenn kein Wert angegeben ist, ruft die Aktion Ergebnisse von jeder verfügbaren Engine ab.
External URLs	Optional. Eine durch Kommas getrennte Liste der öffentlichen URLs für die einzureichenden Dateien. Wenn sowohl „Externe URL“ als auch „Dateipfade“ angegeben sind, werden Dateien aus beiden Eingaben erfasst.
File Paths	Optional. Eine durch Kommas getrennte Liste absoluter Dateipfade. Wenn Sie den Parameter **Linux-Serveradresse** konfigurieren, versucht die Aktion, die Datei von einem Remote-Server abzurufen. Wenn sowohl „Externe URL“ als auch „Dateipfade“ angegeben sind, werden Dateien aus beiden Eingaben erfasst.
Check Hash First	Optional. Standardwert: Deaktiviert. Wenn diese Option aktiviert ist, werden zuerst die Hashes für die Dateien berechnet und dann wird nach verfügbaren Informationen gesucht. Falls verfügbar, werden die Informationen ohne den Einreichungsprozess zurückgegeben.
Resubmit After (Days)	Optional. Die Anzahl der Tage, die die Aktion warten soll, bevor die Datei noch einmal gesendet wird (auch wenn der Hash für die Datei in der GTI-Datenbank verfügbar ist). Sie müssen Check Hash First aktivieren, um diesen Parameter zu verwenden. Der Standardwert ist 30.
Fetch MITRE Details	Optional. Wenn diese Option ausgewählt ist, gibt die Aktion Informationen zu den zugehörigen MITRE-Techniken und -Taktiken zurück. Standardmäßig nicht ausgewählt.
Lowest MITRE Technique Severity	Optional. Der niedrigste Schweregrad der MITRE-Technik, der zurückgegeben werden soll. Die Aktion behandelt den Schweregrad Unknown als Info. Dieser Parameter unterstützt nur die Hash-Entität. Der Standardwert ist Low.
Private Submission	Optional. Wenn diese Option ausgewählt ist, wird die Datei im privaten Modus gesendet. Für das private Senden von Dateien ist die VirusTotal Premium API erforderlich.
Retrieve Comments	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion Kommentare zur eingereichten Datei abgerufen.
Max Comments To Return	Optional. Die maximale Anzahl von Kommentaren, die bei jeder Aktionsausführung zurückgegeben werden sollen.
Linux Server Address	Optional. Die IP-Adresse des Remote-Linux-Servers, auf dem sich die Datei befindet.
Linux Username	Optional. Der Nutzername des Remote-Linux-Servers, auf dem sich die Datei befindet.
Linux Password	Optional. Das Passwort des Linux-Remoteservers, auf dem sich die Datei befindet.
ZIP Password	Optional. Ein Passwort für den ZIP-Ordner, der die einzureichenden Dateien enthält.

Aktionsausgaben

Die Aktion Datei einreichen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis.	Verfügbar

Link zum Fall-Repository

Die Aktion Datei einreichen kann den folgenden Link zurückgeben:

Link zum Bericht (PATH): URL

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Datei senden empfangen wird:

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

Ausgabenachrichten

Die Aktion Datei einreichen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	Die Aktion war erfolgreich.
Error executing action "Submit File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Submit File". Reason: ERROR_REASON	Keine Werte für „Dateipfade“ oder „Externe URLs“ Mindestens einer der Parameter „Dateipfade“ oder „Externe URLs“ muss einen Wert haben.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Datei senden verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

ASM-Problem aktualisieren

Verwenden Sie die Aktion ASM-Problem aktualisieren, um ein ASM-Problem in Google Threat Intelligence zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Problem aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Issue ID	Pflichtangabe. Die ID des zu aktualisierenden Problems.
Status	Pflichtangabe. Der neue Status, der für das Problem festgelegt werden soll. Folgende Werte sind möglich: Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated Der Standardwert ist Select One. Wenn Sie den Standardwert verwenden, schlägt die Aktion fehl.

Aktionsausgaben

Die Aktion ASM-Problem aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion ASM-Problem aktualisieren empfangen wird:

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

Ausgabenachrichten

Die Aktion Update ASM Issue kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	Die Aktion war erfolgreich.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Problem aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

DTM-Benachrichtigung aktualisieren

Mit der Aktion DTM-Benachrichtigung aktualisieren können Sie eine Mandiant Digital Threat Monitoring-Benachrichtigung in Google Threat Intelligence aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion DTM-Benachrichtigung aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Pflichtangabe. Die ID der zu aktualisierenden Benachrichtigung.
Status	Optional. Der neue Status, der für die Benachrichtigung festgelegt werden soll. Folgende Werte sind möglich: Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally Der Standardwert ist Select One. Wenn Sie den Standardwert verwenden, schlägt die Aktion fehl.

Aktionsausgaben

Die Aktion Update DTM Alert (DTM-Benachrichtigung aktualisieren) liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion DTM-Benachrichtigung aktualisieren empfangen wird:

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

Ausgabenachrichten

Die Aktion Update DTM Alert kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	Aktion erfolgreich.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion DTM-Benachrichtigung aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Hinweis: Um Datenverlust zu vermeiden, verwenden Connectors Ereignis-Flattening. Wenn eine Rohbenachrichtigung eine Liste von Entitäten enthält (z. B. mehrere E-Mail-Adressen, Hostnamen oder IP-Adressen), werden diese von Connectors automatisch in separate, eindeutige Ereignisse aufgeteilt.

Beispiel: Eine einzelne Rohbenachrichtigung mit drei verschiedenen E-Mail-Adressen wird als drei separate Ereignisse aufgenommen, die jeweils eine eindeutige E-Mail-Adresse enthalten.

So wird sichergestellt, dass jede Entität korrekt als eindeutiges Asset indexiert wird, sodass sie in Playbooks vollständig durchsuchbar und nutzbar ist.

Google Threat Intelligence – DTM Alerts Connector

Verwenden Sie den Google Threat Intelligence – DTM Alerts Connector, um Benachrichtigungen von Google Threat Intelligence abzurufen. Wenn Sie mit einer dynamischen Liste arbeiten möchten, verwenden Sie den Parameter alert_type.

Connector-Eingaben

Für den Google Threat Intelligence – DTM Alerts Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist event_type.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Der API-Stamm der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Pflichtangabe. Der Google Threat Intelligence API-Schlüssel.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: Low Medium High
Monitor ID Filter	Optional. Eine durch Kommas getrennte Liste von Monitor-IDs, für die die Benachrichtigungen abgerufen werden sollen.
Monitor Name Filter	Optional. Eine durch Kommas getrennte Liste von Monitor-Namen, von denen Benachrichtigungen abgerufen werden sollen. Wenn mehrere Monitore denselben Namen haben, werden Daten von allen Monitoren aufgenommen. Dieser Parameter wird zusammen mit den Werten für die Monitor-ID mithilfe der ODER-Logik ausgewertet.
Event Type Filter	Optional. Eine durch Kommas getrennte Liste der zurückzugebenden Ereignistypen. Bei der Eingabe wird die Groß- und Kleinschreibung nicht berücksichtigt. Wenn kein Wert angegeben ist, verarbeitet der Connector alle Ereignistypen. Wenn Sie einen bestimmten Typ ausschließen möchten, stellen Sie ihm ein Ausrufezeichen voran (z. B. !event_type).
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig aktiviert.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel. Der Standardwert ist 1.
Max Alerts To Fetch	Pflichtangabe. Die Anzahl der Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 25. Der Standardwert ist 25.
Use dynamic list as a blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht ausgewählt.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.
Anonymize Passwords	Optional. Wenn diese Option ausgewählt ist, werden Passwortfelder in den Benachrichtigungsdaten anonymisiert. Die Zeichen werden durch Sternchen ersetzt, sodass nur das erste und das letzte Zeichen sichtbar sind.

Connector-Regeln

Der Google Threat Intelligence – DTM Alerts Connector unterstützt Proxys.

Connector-Ereignisse

Für den Google Threat Intelligence – DTM Alerts Connector gibt es zwei Arten von Ereignissen: ein Ereignis, das auf der Hauptwarnung basiert, und ein Ereignis, das auf einem Thema basiert.

Hier ein Beispiel für ein Connector-Ereignis, das auf der Hauptbenachrichtigung basiert:

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

Hier ist ein Beispiel für ein Connector-Ereignis, das auf einem Thema basiert:

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence – GTI Alerts Connector

Mit dem Google Threat Intelligence – GTI Alerts Connector können Sie Dark-Web-Intelligence-Benachrichtigungen, Ergebnisse, Dokumente und zugehörige Entitäten von Google Threat Intelligence abrufen.

Dieser Connector verwendet die dynamische Liste, um detailType-Werte zu filtern.

Anwendungsfall

Der Google Threat Intelligence – GTI Alerts Connector unterstützt SecOps-Teams bei der Automatisierung der Aufnahme und Triage von Dark Web Intelligence (DWI) und Bedrohungsmeldungen in Google SecOps. Für jede aufgenommene Benachrichtigung ordnet der Connector die Hauptbenachrichtigung, zugehörige Ergebnisse, Dark-Web-Dokumente und mehrwertige Kompromittierungsindikatoren (IOCs) einzelnen Google SecOps-Ereignissen zu, um eine automatisierte Untersuchung und Reaktion zu ermöglichen.

Connector-Eingaben

Konfigurieren Sie diesen Connector mit den folgenden Parametern:

Parameter	Beschreibung
DeviceProductField	Pflichtangabe. Der Name des Felds, das das Geräteprodukt bestimmt. Der Standardwert ist Product Name.
EventClassId	Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist eventType.
PythonProcessTimeout	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert.
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
API Root	Pflichtangabe. Der API-Stamm der Google Threat Intelligence-Instanz, einschließlich des Google Cloud Projektpfads (z. B. https://threatintelligence.googleapis.com/v1beta/projects/YOUR_PROJECT_ID). Der Standardwert ist https://threatintelligence.googleapis.com.
API Key	Pflichtangabe. Der Google Threat Intelligence API-Schlüssel.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: Critical High Medium Low Informational
Alert Type Filter	Optional. Eine durch Kommas getrennte Liste der detailType-Werte für Dark Web-Benachrichtigungen, die abgerufen werden sollen (z. B. data_leak, insider_threat, initial_access_broker, target_technology).
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor der ersten Connector-Iteration, aus der Benachrichtigungen abgerufen werden sollen. Der Standardwert ist 1.
Max Alerts To Fetch	Pflichtangabe. Die maximale Anzahl von Benachrichtigungen, die pro Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 100. Der Standardwert ist 25.
Use dynamic list as a blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, prüft der Connector, ob das SSL-Zertifikat für die Verbindung mit Google Threat Intelligence gültig ist. Standardmäßig aktiviert.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Proxyunterstützung.

Der Connector unterstützt Proxys.

Connector-Ereignisse

Das folgende Beispiel zeigt ein benutzerdefiniertes Ereignis, das vom Google Threat Intelligence – GTI Alerts Connector generiert wurde:

{
  "name": "projects/gti-project/alerts/alert-123",
  "displayName": "Leaked Credentials Alert",
  "detail_detailType": "leaked_credentials",
  "detail_leakedCredentials_severity": "HIGH",
  "severityAnalysis_severityLevel": "SEVERITY_LEVEL_HIGH",
  "priorityAnalysis_priorityLevel": "PRIORITY_LEVEL_HIGH",
  "aiSummary": "Leaked credentials detected for Cymbal Bank.",
  "audit_createTime": "2026-09-15T10:00:00Z",
  "audit_updateTime": "2026-09-15T10:00:00Z",
  "eventType": "Alert",
  "id": "projects/gti-project/alerts/alert-123",
  "title": "Leaked Credentials Alert",
  "alert_type": "leaked_credentials",
  "severity": "HIGH",
  "priority": "HIGH",
  "ai_summary": "Leaked credentials detected for Cymbal Bank.",
  "created_at": "2026-09-15T10:00:00Z"
}

Google Threat Intelligence – ASM Issues Connector

Verwenden Sie den Google Threat Intelligence – ASM Issues Connector, um Informationen zu den ASM-Problemen aus Google Threat Intelligence abzurufen. Verwenden Sie den Parameter category, um mit dem dynamischen Listenfilter zu arbeiten.

Connector-Eingaben

Für den Google Threat Intelligence – ASM Issues Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist entity_type.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Der API-Stamm der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Pflichtangabe. Der Google Threat Intelligence API-Schlüssel.
Project Name	Optional. Der Name des ASM-Projekts. Wenn Sie keinen Wert festlegen, werden nur Benachrichtigungen aus Sammlungen im primären Projekt zurückgegeben.
Active Group	Optional. Die Kennung der aktiven Gruppe (Organisationskontext) für mehrmandantenfähige Umgebungen. Dies ist erforderlich, wenn sich Ihre ASM-Projekte in einer anderen Organisation als Ihrer primären Organisation befinden.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen mit allen Schweregraden aufgenommen. Folgende Werte sind möglich: Critical High Medium Low Informational
Issue Name Filter	Optional. Eine durch Kommas getrennte Liste der zu importierenden Probleme. Bei der Eingabe wird zwischen Groß- und Kleinschreibung unterschieden. Wenn Namen direkt aufgeführt sind, verwendet der Connector einen Einschlussfilter und nimmt nur die übereinstimmenden Probleme auf. Wenn Sie bestimmte Probleme ausschließen möchten, stellen Sie dem Namen ein Ausrufezeichen voran (z. B. !issue_name). Wenn kein Wert angegeben wird, wird der Filter nicht angewendet und alle Probleme werden aufgenommen.
Status Filter	Optional. Eine durch Kommas getrennte Liste der Problemstatus, die aufgenommen werden sollen. Wenn kein Wert angegeben ist, verarbeitet der Connector nur offene Probleme. Folgende Werte sind möglich: Open Closed Der Standardwert ist Open.
Event Type Filter	Optional. Eine durch Kommas getrennte Liste der zurückzugebenden Ereignistypen. Bei der Eingabe wird die Groß- und Kleinschreibung nicht berücksichtigt. Wenn kein Wert angegeben ist, verarbeitet der Connector alle Ereignistypen. Wenn Sie einen bestimmten Typ ausschließen möchten, stellen Sie ihm ein Ausrufezeichen voran (z. B. !event_type).
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel. Der Standardwert ist 1.
Max Issues To Fetch	Pflichtangabe. Die Anzahl der Probleme, die bei jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 100. Der Standardwert ist 10.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig aktiviert.
Use dynamic list as a blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht ausgewählt.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Connector-Ereignisse

Das Beispiel für das Ereignis Google Threat Intelligence – ASM Issues Connector sieht so aus:

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence – Livehunt Connector

Verwenden Sie den Google Threat Intelligence – Livehunt Connector, um Informationen zu den Livehunt-Benachrichtigungen und den zugehörigen Dateien aus Google Threat Intelligence abzurufen. Verwenden Sie den Parameter rule_name, um mit der dynamischen Liste zu arbeiten.

Connector-Eingaben

Für den Google Threat Intelligence – Livehunt-Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist type.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Der API-Stamm der Google Threat Intelligence-Instanz. Der Standardwert ist https://www.virustotal.com.
API Key	Pflichtangabe. Der Google Threat Intelligence API-Schlüssel.
Entity Type Filter	Optional. Eine durch Kommas getrennte Liste von Entitätstypen, nach denen Benachrichtigungen gefiltert werden sollen (z. B. file, url, domain, ip_address). Wenn Sie dieses Feld leer lassen, werden alle Entitätstypen aufgenommen. Der Standardwert ist file.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Benachrichtigungen abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel. Der Standardwert ist 1.
Max Notifications To Fetch	Pflichtangabe. Die Anzahl der Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 40.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig aktiviert.
Use dynamic list as a blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht ausgewählt.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Google Threat Intelligence – Livehunt-Connector unterstützt Proxys.

Connector-Ereignisse

Das Beispiel für das Ereignis Google Threat Intelligence – Livehunt Connector sieht so aus:

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED >
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten