Google Threat Intelligence in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Google Threat Intelligence in Google Security Operations einbinden.

Hinweis

Für diese Integration benötigen Sie einen API-Schlüssel. Weitere Informationen finden Sie unter Google Threat Intelligence-API-Schlüssel.

Integrationsparameter

Für die Integration von Google Threat Intelligence sind die folgenden Parameter erforderlich:

Parameter Beschreibung
API Root

Erforderlich.

Der API-Stamm der Google Threat Intelligence-Instanz.

Der Standardwert ist https://www.virustotal.com.
API Key

Erforderlich.

Der Google Threat Intelligence API-Schlüssel.
ASM Project Name

Optional.

Der Name des Mandiant Attack Surface Management-Projekts (ASM), das in der Integration verwendet werden soll. Dieser Parameter ist erforderlich, um die Aktionen ASM-Entitäten suchen, ASM-Probleme suchen und ASM-Problem aktualisieren auszuführen.

Wenn kein Wert festgelegt ist, werden nur Benachrichtigungen aus Sammlungen im primären Projekt zurückgegeben.
Active Group

Optional.

Die Kennung der aktiven Gruppe (Organisationskontext) für Mandantenumgebungen. Dies ist erforderlich, wenn sich Ihre ASM-Projekte in einer anderen Organisation als Ihrer primären Organisation befinden.
Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird.

Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen in „Mein Arbeitsbereich“ reagieren und Manuelle Aktion ausführen.

ASM-Problemanmerkung hinzufügen

Mit der Aktion Add ASM Issue Note (ASM-Problemhinweis hinzufügen) können Sie einem ASM-Problem (Attack Surface Management) in Google Threat Intelligence eine technische Notiz hinzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Add ASM Issue Note sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Alert ID

Erforderlich.

Die ID der zu aktualisierenden Benachrichtigung.
Text

Erforderlich.

Der Inhalt der Analyse oder der Notiz, die an die Benachrichtigung angehängt werden soll.

Aktionsausgaben

Die Aktion ASM-Probleme hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Add ASM Issue Note kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Add ASM Issue Note verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

Kommentar zu Entität hinzufügen

Mit der Aktion Add Comment To Entity (Kommentar zu Entität hinzufügen) können Sie Kommentare zu Google SecOps-Entitäten in Google Threat Intelligence hinzufügen.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • URL

Aktionseingaben

Für die Aktion Kommentar zu Entität hinzufügen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Comment

Erforderlich.

Ein Kommentar, der allen unterstützten Entitäten hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Kommentar zu Entität hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Add Comment To Entity (Kommentar zur Entität hinzufügen) empfangen werden:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}
Ausgabenachrichten

Die Aktion Add Comment To Entity (Kommentar zu Entität hinzufügen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID.

The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID.

No comments were added to the provided entities in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Add Comment To Entity verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Tag zur DTM-Benachrichtigung hinzufügen

Mit Tag zum DTM-Hinweis hinzufügen können Sie einem DTM-Hinweis (Digital Threat Monitoring) in Google Threat Intelligence Tags hinzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Tag zur DTM-Benachrichtigung hinzufügen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Alert ID

Erforderlich.

Die eindeutige Kennung der zu aktualisierenden Benachrichtigung.
Mode

Optional.

Die operative Logik für die Tag-Aktualisierung.

Folgende Werte sind möglich:

  • Append: Fügt der vorhandenen Tag-Liste der Benachrichtigung die angegebenen Tags hinzu.
  • Set: Überschreibt alle vorhandenen Benachrichtigungs-Tags mit den in Tags angegebenen Tags.

Der Standardwert ist Append.
Tags

Erforderlich.

Eine durch Kommas getrennte Liste von Tags, die auf die Benachrichtigung angewendet werden sollen.

Aktionsausgaben

Die Aktion Tag zur DTM-Benachrichtigung hinzufügen bietet die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Tag zu DTM-Benachrichtigung hinzufügen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Tag zu DTM-Benachrichtigung hinzufügen verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

Entität eine Stimme hinzufügen

Mit der Aktion Kommentar zu Entität hinzufügen können Sie Google SecOps-Entitäten in Google Threat Intelligence Bewertungen hinzufügen.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • URL

Aktionseingaben

Für die Aktion Add Vote To Entity sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Vote

Erforderlich.

Eine Stimme, die allen unterstützten Entitäten hinzugefügt werden soll.

Folgende Werte sind möglich:

  • Harmless
  • Malicious

Der Standardwert ist Malicious.

Aktionsausgaben

Die Aktion Add Vote To Entity liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Add Vote To Entity empfangen wird:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}
Ausgabenachrichten

Die Aktion Add Vote To Entity kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID.

Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID.

No votes were added to the provided entities in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Add Vote To Entity verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Datei herunterladen

Mit der Aktion Datei herunterladen können Sie eine Datei aus Google Threat Intelligence herunterladen.

Diese Aktion wird für die Google SecOps-Entität Hash ausgeführt.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Aktionseingaben

Für die Aktion Datei herunterladen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Download Folder Path

Erforderlich.

Der Pfad zum Ordner, in dem heruntergeladene Dateien gespeichert werden sollen.
Overwrite

Erforderlich.

Wenn diese Option ausgewählt ist, wird eine vorhandene Datei mit der neuen Datei überschrieben, wenn die Dateinamen identisch sind.

Standardmäßig aktiviert.

Aktionsausgaben

Die Aktion Datei herunterladen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Datei herunterladen erhalten:

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}
Ausgabenachrichten

Die Aktion Datei herunterladen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID.

No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID.

No related files were found for the provided entities in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Download File". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Entitäten anreichern

Verwenden Sie die Aktion Entitäten anreichern, um Entitäten mit Informationen aus Google Threat Intelligence anzureichern.

Diese Aktion unterstützt die Hashes MD5, SHA-1 und SHA-256.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • CVE
  • Domain
  • Hash (einschließlich CHILDHASH und PARENTHASH)
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Aktionseingaben

Für die Aktion Entitäten anreichern sind die folgenden Parameter erforderlich:

Parameter Beschreibung
GTI Score

Optional.

Der Mindestwert für den Google Threat Intelligence-Score, der erforderlich ist, um eine Google SecOps-Entität als verdächtig zu kennzeichnen. Diese Bedingung wird zusammen mit den Urteilsinformationen von Google Threat Intelligence validiert.

Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash.

Wenn kein Wert angegeben ist, werden die Google Threat Intelligence-Bewertungswerte von der Aktion ignoriert.

Der Standardwert ist 60.
Engine Threshold

Optional.

Die Mindestanzahl von Sicherheitsmodulen, die eine Entität als schädlich oder verdächtig markieren müssen, damit sie von Google SecOps als verdächtig gekennzeichnet wird. Diese Bedingung wird zusammen mit den Informationen zum Google Threat Intelligence-Urteil validiert.

Dieser Parameter unterstützt nur die Einheiten IP Address, URL, Hostname, Domain und Hash.

Wenn Engine Allowlist Werte enthält, werden bei der Aktion nur Ergebnisse von diesen spezifischen Suchmaschinen gezählt.

Wenn kein Wert angegeben ist, werden Berechnungen der Suchmaschine bei der Aktion ignoriert.
Engine Percentage Threshold

Optional.

Der Mindestprozentsatz an Sicherheits-Engines, die eine Entität als bösartig oder verdächtig markieren müssen, damit Google SecOps sie als verdächtig kennzeichnet.

Dieser Parameter unterstützt nur die Entitäten IP Address, URL, Hostname, Domain und Hash.

Wenn Engine Allowlist Werte enthält, wird der Prozentsatz nur für diese bestimmten Engines berechnet.

Wenn sowohl Engine Threshold als auch Engine Percentage Threshold angegeben sind, hat Engine Threshold Vorrang.

Wenn kein Wert angegeben ist, werden die Berechnungen der Suchmaschine ignoriert.

Der Höchstwert ist 100.

Der Mindestwert beträgt 0.
Engine Allowlist

Optional.

Eine durch Kommas getrennte Liste von Sicherheits-Engines, die zum Abrufen von Informationen zu schädlichen Inhalten verwendet werden (z. B. AlienVault,Kaspersky).

Wenn kein Wert angegeben ist, werden Ergebnisse aus allen verfügbaren Engines abgerufen.

Suchmaschinen, die keine Informationen zu einer Entität zurückgeben, werden von den Berechnungen für Engine Threshold und Engine Percentage Threshold ausgeschlossen.
Resubmit Entity

Optional.

Wenn diese Option ausgewählt ist, werden Entitäten für die Analyse noch einmal gesendet, anstatt die Entitätsinformationen aus der vorherigen Aktionsausführung zu verwenden.

Dieser Parameter unterstützt nur die Entitäten URL und Hash.

Standardmäßig nicht ausgewählt.
Resubmit After (Days)

Optional.

Die Anzahl der Tage, die gewartet werden soll, bevor die Entität noch einmal eingereicht wird. Wenn Sie diesen Parameter verwenden möchten, wählen Sie den Parameter Resubmit Entity aus.

Der Standardwert ist 30.

Dieser Parameter unterstützt nur die Einheiten URL und Hash.
Sandbox

Optional.

Eine durch Kommas getrennte Liste der zu analysierenden Sandbox-Namen, z. B. VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO.

Dieser Parameter unterstützt nur die Hash-Entität.

Wenn Sie diesen Parameter nicht festlegen, wird für die Aktion die Standardsandbox VirusTotal Jujubox verwendet.
Retrieve Sandbox Analysis

Optional.

Wenn diese Option ausgewählt ist, ruft die Aktion die Sandbox-Analyse für die Entität ab und erstellt für jede Sandbox im JSON-Ergebnis einen separaten Abschnitt.

Die Aktion gibt Daten für Sandboxes zurück, die Sie im Parameter Sandbox konfiguriert haben.

Dieser Parameter unterstützt nur die Entität Hash.

Nicht standardmäßig ausgewählt.
Fetch MITRE Details

Optional.

Wenn diese Option ausgewählt ist, werden Informationen zu den zugehörigen MITRE-Techniken und ‑Taktiken zurückgegeben.

Dieser Parameter unterstützt nur die Hash-Entität.

Standardmäßig nicht ausgewählt.
Lowest MITRE Technique Severity

Optional.

Der niedrigste Schweregrad der MITRE-Technik, der zurückgegeben werden soll.

Bei der Aktion wird die Schwere Unknown als Info behandelt.

Dieser Parameter unterstützt nur die Hash-Entität.

Folgende Werte sind möglich:

  • High
  • Medium
  • Low
  • Info

Der Standardwert ist Medium.

Retrieve Comments

Optional.

Wenn diese Option ausgewählt ist, ruft die Aktion Kommentare zur Entität ab.

Dieser Parameter unterstützt die folgenden Entitäten:

  • Domain
  • Hash
  • Hostname
  • IP Address
  • URL
Widget Theme

Optional.

Der visuelle Stil, der auf das IOC-Augmented-Widget angewendet wird.

Folgende Werte sind möglich:

  • Dark
  • Dark Blue
  • Light

Der Standardwert ist Dark Blue.
Max Comments To Return

Optional.

Die maximale Anzahl von Kommentaren, die für jede Aktionsausführung zurückgegeben werden sollen.

Der Standardwert ist 10.

Aktionsausgaben

Die Aktion Entitäten anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Tabelle mit Anreicherungen für Entitäten Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis. Verfügbar

Die Aktion Entitäten anreichern kann die folgenden Links zurückgeben:

  • IOC: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

  • Bedrohungsakteur: https://www.virustotal.com/gui/collection/threat-actor--ID

  • Sicherheitslücke: https://www.virustotal.com/gui/collection/vulnerability--ID

Tabelle mit Anreicherungen für Entitäten
  1. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für IP-Adressen:
    2. Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
    GTI_id id Wenn im JSON-Ergebnis verfügbar.
    GTI_owner as_owner Wenn im JSON-Ergebnis verfügbar.
    GTI_asn asn Wenn im JSON-Ergebnis verfügbar.
    GTI_continent continent Wenn im JSON-Ergebnis verfügbar.
    GTI_country country Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_count last_analysis_stats/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_count last_analysis_stats/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_suspicious_count last_analysis_stats/suspicious Wenn im JSON-Ergebnis verfügbar.
    GTI_undetected_count last_analysis_stats/undetected Wenn im JSON-Ergebnis verfügbar.
    GTI_certificate_valid_not_after validity/not_after Wenn im JSON-Ergebnis verfügbar.
    GTI_certificate_valid_not_before validity/not_before Wenn im JSON-Ergebnis verfügbar.
    GTI_reputation reputation Wenn im JSON-Ergebnis verfügbar.
    GTI_tags Comma-separated list of tags Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_vote_count total_votes/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_vote_count total_votes/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_report_link report_link Wenn im JSON-Ergebnis verfügbar.
    GTI_widget_link widget_url Wenn im JSON-Ergebnis verfügbar.
    GTI_threat_score gti_assessment.threat_score.value Wenn im JSON-Ergebnis verfügbar.
    GTI_severity gti_assessment.severity.value Wenn im JSON-Ergebnis verfügbar.
    GTI_normalised_categories CSV of gti_assessment.contributing_factors.normalised_categories Wenn im JSON-Ergebnis verfügbar.
    GTI_verdict gti_assessment.verdict.value Wenn im JSON-Ergebnis verfügbar.
    GTI_description gti_assessment.description Wenn im JSON-Ergebnis verfügbar.
  2. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für URL:
    3. Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
    GTI_id id Wenn im JSON-Ergebnis verfügbar.
    GTI_title title Wenn im JSON-Ergebnis verfügbar.
    GTI_last_http_response_code last_http_response_code Wenn im JSON-Ergebnis verfügbar.
    GTI_last_http_response_content_length last_http_response_content_length Wenn im JSON-Ergebnis verfügbar.
    GTI_threat_names Comma-separated list of threat_names Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_count last_analysis_stats/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_count last_analysis_stats/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_suspicious_count last_analysis_stats/suspicious Wenn im JSON-Ergebnis verfügbar.
    GTI_undetected_count last_analysis_stats/undetected Wenn im JSON-Ergebnis verfügbar.
    GTI_reputation reputation Wenn im JSON-Ergebnis verfügbar.
    GTI_tags Comma-separated list of tags Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_vote_count total_votes/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_vote_count total_votes/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_report_link report_link Wenn im JSON-Ergebnis verfügbar.
    GTI_widget_link widget_url Wenn im JSON-Ergebnis verfügbar.
    GTI_threat_score gti_assessment.threat_score.value Wenn im JSON-Ergebnis verfügbar.
    GTI_severity gti_assessment.severity.value Wenn im JSON-Ergebnis verfügbar.
    GTI_normalised_categories CSV of gti_assessment.contributing_factors.normalised_categories Wenn im JSON-Ergebnis verfügbar.
    GTI_verdict gti_assessment.verdict.value Wenn im JSON-Ergebnis verfügbar.
    GTI_description gti_assessment.description Wenn im JSON-Ergebnis verfügbar.
    GTI_category_{attributes/categories/json key} {attributes/categories/json key value} Wenn im JSON-Ergebnis verfügbar.
  3. Die Aktion Entitäten anreichern unterstützt die folgenden Entitätenanreicherungen für Hash:
    4. Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
    GTI_id id Wenn im JSON-Ergebnis verfügbar.
    GTI_magic magic Wenn im JSON-Ergebnis verfügbar.
    GTI_md5 md5 Wenn im JSON-Ergebnis verfügbar.
    GTI_sha1 sha1 Wenn im JSON-Ergebnis verfügbar.
    GTI_sha256 sha256 Wenn im JSON-Ergebnis verfügbar.
    GTI_ssdeep ssdeep Wenn im JSON-Ergebnis verfügbar.
    GTI_tlsh tlsh Wenn im JSON-Ergebnis verfügbar.
    GTI_vhash vhash Wenn im JSON-Ergebnis verfügbar.
    GTI_meaningful_name meaningful_name Wenn im JSON-Ergebnis verfügbar.
    GTI_magic Comma-separated list of names Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_count last_analysis_stats/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_count last_analysis_stats/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_suspicious_count last_analysis_stats/suspicious Wenn im JSON-Ergebnis verfügbar.
    GTI_undetected_count last_analysis_stats/undetected Wenn im JSON-Ergebnis verfügbar.
    GTI_reputation reputation Wenn im JSON-Ergebnis verfügbar.
    GTI_tags Comma-separated list of tags Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_vote_count total_votes/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_vote_count total_votes/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_report_link report_link Wenn im JSON-Ergebnis verfügbar.
    GTI_widget_link widget_url Wenn im JSON-Ergebnis verfügbar.
    GTI_threat_score gti_assessment.threat_score.value Wenn im JSON-Ergebnis verfügbar.
    GTI_severity gti_assessment.severity.value Wenn im JSON-Ergebnis verfügbar.
    GTI_normalized_categories CSV of gti_assessment.contributing_factors.normalised_categories Wenn im JSON-Ergebnis verfügbar.
    GTI_verdict gti_assessment.verdict.value Wenn im JSON-Ergebnis verfügbar.
    GTI_description gti_assessment.description Wenn im JSON-Ergebnis verfügbar.
    GTI_exiftool_{json_key} GTI_exiftool_{json_key.value}
  4. Die Aktion Entitäten anreichern unterstützt die folgenden Entitätenanreicherungen für Domain/Hostname:
    5. Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
    GTI_id id Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_count last_analysis_stats/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_count last_analysis_stats/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_suspicious_count last_analysis_stats/suspicious Wenn im JSON-Ergebnis verfügbar.
    GTI_undetected_count last_analysis_stats/undetected Wenn im JSON-Ergebnis verfügbar.
    GTI_reputation reputation Wenn im JSON-Ergebnis verfügbar.
    GTI_tags Comma-separated list of tags Wenn im JSON-Ergebnis verfügbar.
    GTI_malicious_vote_count total_votes/malicious Wenn im JSON-Ergebnis verfügbar.
    GTI_harmless_vote_count total_votes/harmless Wenn im JSON-Ergebnis verfügbar.
    GTI_report_link report_link Wenn im JSON-Ergebnis verfügbar.
    GTI_widget_link widget_url Wenn im JSON-Ergebnis verfügbar.
    GTI_threat_score gti_assessment.threat_score.value Wenn im JSON-Ergebnis verfügbar.
    GTI_severity gti_assessment.severity.value Wenn im JSON-Ergebnis verfügbar.
    GTI_normalized_categories CSV of gti_assessment.contributing_factors.normalised_categories Wenn im JSON-Ergebnis verfügbar.
    GTI_verdict gti_assessment.verdict.value Wenn im JSON-Ergebnis verfügbar.
    GTI_description gti_assessment.description Wenn im JSON-Ergebnis verfügbar.
    GGTI_category_{attributes/categories/json key} {attributes/categories/json key value} Wenn im JSON-Ergebnis verfügbar.
  5. Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für Bedrohungsakteur:
    6. Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
    GTI_motivations Csv of motivations/name Wenn im JSON-Ergebnis verfügbar.
    GTI_aliases Csv of alt_names_details/value Wenn im JSON-Ergebnis verfügbar.
    GTI_industries Csv of targeted_industries/value Wenn im JSON-Ergebnis verfügbar.
    GTI_malware Csv of malware/name Wenn im JSON-Ergebnis verfügbar.
    GTI_source_region CSV of source_regions_hierarchy/country Wenn im JSON-Ergebnis verfügbar.
    GTI_target_region Csv of targeted_regions_hierarchy/country Wenn im JSON-Ergebnis verfügbar.
    GTI_origin origin Wenn im JSON-Ergebnis verfügbar.
    GTI_description description Wenn im JSON-Ergebnis verfügbar.
    GTI_last_activity_time last_activity_time Wenn im JSON-Ergebnis verfügbar.
    GTI_report_link We craft it. Wenn im JSON-Ergebnis verfügbar.
  6. Die Aktion Entitäten anreichern unterstützt die folgenden Entitätenanreicherungen für Sicherheitslücke:
    7. Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
    GTI_sources Csv of source_name Wenn im JSON-Ergebnis verfügbar.
    GTI_exploitation_state exploitation_state Wenn im JSON-Ergebnis verfügbar.
    GTI_date_of_disclosure date_of_disclosure Wenn im JSON-Ergebnis verfügbar.
    GTI_vendor_fix_references vendor_fix_references/url Wenn im JSON-Ergebnis verfügbar.
    GTI_exploitation_vectors Csv of exploitation_vectors Wenn im JSON-Ergebnis verfügbar.
    GTI_description description Wenn im JSON-Ergebnis verfügbar.
    GTI_risk_rating risk_rating Wenn im JSON-Ergebnis verfügbar.
    GTI_available_mitigation CSV of available_mitigation Wenn im JSON-Ergebnis verfügbar.
    GTI_exploitation_consequence exploitation_consequence Wenn im JSON-Ergebnis verfügbar.
    GTI_report_link We craft it. Wenn im JSON-Ergebnis verfügbar.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für IOCs (IP-, Hash-, URL-, Domain- und Hostname-Entitäten), die bei Verwendung der Aktion Entitäten anreichern empfangen werden:

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

Das folgende Beispiel zeigt die JSON-Ausgabe für „Vulnerabilities received“ (Empfangene Sicherheitslücken) bei Verwendung der Aktion Enrich Entities (Entitäten anreichern):

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe für Bedrohungsakteure, die bei Verwendung der Aktion Entitäten anreichern empfangen wird:

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}
Ausgabenachrichten

Mit der Aktion Enrich Entities (Entitäten anreichern) können die folgenden Ausgabenachrichten zurückgegeben werden:

Ausgabemeldung Nachrichtenbeschreibung

Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID

The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID

The action didn't enrich any of the provided entities.

Die Aktion war erfolgreich.
Error executing action "Enrich Entities". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Entitäten anreichern verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

IOCs anreichern

Mit der Aktion IOCs anreichern können Sie die Kompromittierungsindikatoren (Indicators of Compromise, IoCs) mit Informationen aus Google Threat Intelligence anreichern.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion IOCs anreichern sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOC Type

Optional.

Der Typ des anzureichernden IOC.

Folgende Werte sind möglich:

  • Filehash
  • URL
  • Domain
  • IP Address

Der Standardwert ist Filehash.
IOCs

Erforderlich.

Eine durch Kommas getrennte Liste von IOCs zum Aufnehmen von Daten.
Widget Theme

Optional.

Der visuelle Stil, der auf das IOC-Augmented-Widget angewendet wird.

Folgende Werte sind möglich:

  • Dark
  • Dark Blue
  • Light

Der Standardwert ist Dark Blue.

Aktionsausgaben

Die Aktion IOCs anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Verfügbar
Tabelle im Fall-Repository Verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar

Die Aktion IOCs anreichern kann für jede angereicherte Entität den folgenden Link bereitstellen:

Name: Berichtslink

Wert: URL

Tabelle mit Fall-Repository

Die Aktion IOCs anreichern kann für jede angereicherte Einheit die folgende Tabelle bereitstellen:

Tabellenname: IOC_ID

Tabellenspalten:

  • Name
  • Kategorie
  • Methode
  • Ergebnis
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion IOCs anreichern empfangen wird:

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}
Ausgabenachrichten

Die Aktion IOCs anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST

No information found for the following IOCs using Google Threat Intelligence: IOC_LIST

No information about IOCs was found.

 Die Aktion war erfolgreich.
Error executing action "Enrich IOC". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion IOCs anreichern aufgeführt:

Name des Skriptergebnisses Wert
is_success True oder False

Verwenden Sie die Aktion IOC-Suche ausführen, um die IOC-Suche in Google Threat Intelligence auszuführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion IOC-Suche ausführen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Search Query

Erforderlich.

Eine Suchanfrage, die ausgeführt werden soll, z. B. crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return

Optional.

Die maximale Anzahl von Ergebnissen, die für jede Aktionsausführung zurückgegeben werden sollen.

Der Höchstwert ist 200.

Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Execute IOC Search (IOC-Suche ausführen) liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Execute IOC Search (IOC-Suche ausführen) empfangen wird:

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}
Ausgabenachrichten

Die Aktion Execute IOC Search kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully found results for the provided query in Google Threat Intelligence.

No results were found for the provided query in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Execute IOC Search". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn Sie die Aktion IOC-Suche ausführen verwenden:

Name des Scriptergebnisses Wert
is_success True oder False

ASM-Entitätsdetails abrufen

Mit der Aktion ASM-Entitätsdetails abrufen können Sie Informationen zu einer ASM-Entität in Google Threat Intelligence abrufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Get ASM Entity Details sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Entity ID

Erforderlich.

Eine durch Kommas getrennte Liste von Entitäts-IDs, für die Details abgerufen werden sollen.

Aktionsausgaben

Die Aktion ASM-Entitätsdetails abrufen liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get ASM Entity Details (ASM-Entitätsdetails abrufen) empfangen wird:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED >
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}
Ausgabenachrichten

Die Aktion Get ASM Entity Details (ASM-Entitätsdetails abrufen) kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID

The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID

 Die Aktion war erfolgreich.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Entitätsdetails abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Diagrammdetails abrufen

Mit der Aktion Get Graph Details (Grafikdetails abrufen) können Sie detaillierte Informationen zu Grafiken in Google Threat Intelligence abrufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Diagrammdetails abrufen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Graph ID

Erforderlich.

Eine durch Kommas getrennte Liste von Diagramm-IDs, für die Details abgerufen werden sollen.
Max Links To Return

Erforderlich.

Die maximale Anzahl der Links, die für jedes Diagramm zurückgegeben werden sollen.

Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Diagrammdetails abrufen liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Fall-Repository

Die Aktion Grafikdetails abrufen kann die folgende Tabelle für jede angereicherte Entität bereitstellen:

Tabellenname: Graph GRAPH_ID Links

Tabellenspalten:

  • Quelle
  • Ziel-
  • Verbindungstyp
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Diagrammdetails abrufen verwenden:

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}
Ausgabenachrichten

Die Aktion Diagrammdetails abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS

Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS

No information about the provided graphs was found.

 Die Aktion war erfolgreich.
Error executing action "Get Graph Details". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Diagrammdetails abrufen verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Mit der Aktion Zugehörige Verknüpfungen abrufen können Sie Informationen zu Verknüpfungen (Berichte, Kampagnen, Sammlungen, Malware-Familien, Software-Toolkits, Sicherheitslücken, Bedrohungsakteure) abrufen, die mit Entitäten in Google Threat Intelligence in Verbindung stehen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP address
  • URL
  • File hash
  • Hostname
  • Domain

Aktionseingaben

Für die Aktion Get Related Associations (Zugehörige Zuordnungen abrufen) sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Association Types

Optional.

Eine durch Kommas getrennte Liste der zurückzugebenden Verknüpfungen.

Berichte werden erst verarbeitet, wenn alle anderen Verknüpfungen abgeschlossen sind.

Folgende Werte sind möglich:

  • Report
  • Campaign
  • Collection
  • Malware Family
  • Vulnerability
  • Threat Actor

Wenn kein Wert angegeben ist, gibt die Aktion alle Verknüpfungen zurück.
Create Entity

Optional.

Wenn diese Option ausgewählt ist, wird durch die Aktion eine Entität für zugehörige Bedrohungsakteure, CVEs (Common Vulnerabilities and Exposures) und Kampagnen erstellt und mit der ursprünglichen Entität verknüpft.

Es werden nur CVE-, Bedrohungsakteur- und Kampagnenentitäten erstellt.
Max Associations To Return

Optional.

Die maximale Anzahl der IoCs, die für jede Entität zurückgegeben werden sollen.

Der Höchstwert ist 100.

Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Zugehörige Verknüpfungen abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis. Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Zugehörige Verknüpfungen abrufen verwenden:

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}
Ausgabenachrichten

Die Aktion Get Related Associations (Zugehörige Verknüpfungen abrufen) kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID.

No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID.

No related associations were found for the provided entities in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Get Related Associations". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Zugehörige Verknüpfungen abrufen verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Mit der Aktion Zugehörige IOCs abrufen können Sie Informationen zu IOCs abrufen, die sich auf Entitäten beziehen. Dazu werden Informationen aus Google Threat Intelligence verwendet.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • IP address
  • URL
  • Hostname
  • Domain
  • Hash
  • Threat Actor

Aktionseingaben

Für die Aktion Zugehörige IOCs abrufen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOC Types

Erforderlich.

Eine durch Kommas getrennte Liste der zu extrahierenden IOCs.

Mögliche Werte: IP, Hash, URL, Domain.
Max IOCs To Return

Erforderlich.

Die maximale Anzahl der IOCs, die für ausgewählte IOC-Typen für jede Entität zurückgegeben werden sollen.

Der Standardwert ist 40.

Aktionsausgaben

Die Aktion Zugehörige IOCs abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis. Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Get Related IOCs erhalten:

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}
Ausgabenachrichten

Die Aktion Zugehörige IOCs abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY

No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY.

No related IOCs were found for the provided entities.

 Die Aktion war erfolgreich.
Error executing action "Get Related IOCs". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Get Related IOCs (Zugehörige IOCs abrufen) aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Google Threat Intelligence zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis. Verfügbar
Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully connected to the Google Threat Intelligence server with the provided connection parameters!

 Die Aktion war erfolgreich.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Private Submit-URL

Mit der Aktion Private Submit URL (Private URL einreichen) können Sie eine URL für einen privaten Scan in Google Threat Intelligence einreichen.

Diese Aktion wird für die folgende Google SecOps-Entität ausgeführt:

  • URL

Aktionseingaben

Für die Aktion Private Submit URL sind die folgenden Parameter erforderlich:

Parameter Beschreibung
URL

Optional.

Eine durch Kommas getrennte Liste von URLs, die gescannt werden sollen.

Das System verarbeitet die eingegebenen Werte zusammen mit allen URL-Entitäten, die der Vorgang findet.

Check Existing Submissions First

Optional.

Wenn diese Option ausgewählt ist, wird die URL auf vorhandene öffentliche oder private Informationen zur Einreichung geprüft. Wenn sie gefunden werden, gibt die Aktion die Informationen sofort zurück und umgeht den Einreichungsvorgang.

Standardmäßig deaktiviert.
Resubmit After (Days)

Optional.

Die Mindestanzahl an Tagen, die nach dem letzten öffentlichen Analysedatum der URL vergehen müssen, damit die URL für die erneute Einreichung infrage kommt.

Der Standardwert ist 30.

Aktionsausgaben

Die Aktion Private Submit URL (Private Submit-URL) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis. Verfügbar

Mit der Aktion Private Submit URL kann der folgende Link zurückgegeben werden:

Link zum Bericht „URL“: URL to the GTI UI displaying the submission details.

Tabelle für die Anreicherung von Entitäten

Die Aktion Private Submit URL unterstützt die folgende Entitätsanreicherung für URL-Entitäten, wenn Daten aus einer öffentlichen Einreichung abgerufen werden:

Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
GTI_id id Wenn im JSON-Ergebnis verfügbar.
GTI_title title Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code last_http_response_code Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length last_http_response_content_length Wenn im JSON-Ergebnis verfügbar.
GTI_threat_names Durch Kommas getrennte Liste von threat_names Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_count last_analysis_stats/harmless Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_count last_analysis_stats/malicious Wenn im JSON-Ergebnis verfügbar.
GTI_suspicious_count last_analysis_stats/suspicious Wenn im JSON-Ergebnis verfügbar.
GTI_undetected_count last_analysis_stats/undetected Wenn im JSON-Ergebnis verfügbar.
GTI_reputation reputation Wenn im JSON-Ergebnis verfügbar.
GTI_tags Durch Kommas getrennte Liste von tags Wenn im JSON-Ergebnis verfügbar.
GTI_malicious_vote_count total_votes/malicious Wenn im JSON-Ergebnis verfügbar.
GTI_harmless_vote_count total_votes/harmless Wenn im JSON-Ergebnis verfügbar.
GTI_report_link report link Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link widget_url Wenn im JSON-Ergebnis verfügbar.
GTI_threat_score gti_assessment.threat_score.value Wenn im JSON-Ergebnis verfügbar.
GTI_severity gti_assessment.severity.value Wenn im JSON-Ergebnis verfügbar.
GTI_normalised_categories CSV-Datei mit gti_assessment.contributing_factors.normalised_categories Wenn im JSON-Ergebnis verfügbar.
GTI_verdict gti_assessment.verdict.value Wenn im JSON-Ergebnis verfügbar.
GTI_description gti_assessment.description Wenn im JSON-Ergebnis verfügbar.
GTI_category_{attributes/categories/json key} {attributes/categories/json key value} Wenn im JSON-Ergebnis verfügbar.

Die Aktion Private Submit URL unterstützt die folgende Entitätsanreicherung für URL-Entitäten, wenn Daten aus einer privaten Einreichung abgerufen werden:

Anreicherungsfeld Quelle (JSON-Schlüssel) Gültigkeit
GTI_id id Wenn im JSON-Ergebnis verfügbar.
GTI_title title Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_code last_http_response_code Wenn im JSON-Ergebnis verfügbar.
GTI_last_http_response_content_length last_http_response_content_length Wenn im JSON-Ergebnis verfügbar.
GTI_tags Durch Kommas getrennte Liste von tags Wenn im JSON-Ergebnis verfügbar.
GTI_report_link report link Wenn im JSON-Ergebnis verfügbar.
GTI_widget_link widget_url Wenn im JSON-Ergebnis verfügbar.
JSON-Ergebnis

Im folgenden Beispiel sehen Sie die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Private Submit URL empfangen wird:

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}
Ausgabenachrichten

Die Aktion Private Submit URL kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned information about the following URLs in Google Threat Intelligence: URLS.

Action couldn't find information about the following URLs in Google Threat Intelligence: URLS.

None of the provided URLs were processed in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Private Submit URL". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Private Submit URL verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

ASM-Entitäten suchen

Mit der Aktion ASM-Entitäten suchen können Sie in Google Threat Intelligence nach ASM-Entitäten suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitäten durchsuchen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Project Name

Optional.

Der Name des ASM-Projekts.

Wenn Sie keinen Wert festlegen, wird für die Aktion der Wert verwendet, den Sie für den Integrationsparameter ASM Project Name konfiguriert haben.
Entity Name

Optional.

Eine durch Kommas getrennte Liste von Entitätsnamen, nach denen gesucht werden soll.

Bei der Aktion werden Entitätsnamen, die / Schrägstriche enthalten, als ungültige Werte behandelt.
Minimum Vulnerabilities Count

Optional.

Die Mindestanzahl von Sicherheitslücken, die erforderlich ist, damit die Aktion die Entität zurückgibt.
Minimum Issues Count

Optional.

Die Mindestanzahl von Problemen, die erforderlich sind, damit die Aktion die Entität zurückgibt.
Tags

Optional.

Eine durch Kommas getrennte Liste von Tag-Namen, die bei der Suche nach Entitäten verwendet werden sollen.
Max Entities To Return

Optional.

Die Anzahl der zurückzugebenden Entitäten.

Der Höchstwert ist 200. Der Standardwert ist 50.
Critical or High Issue

Optional.

Wenn diese Option ausgewählt ist, werden nur Probleme mit dem Schweregrad High und Critical zurückgegeben.

Nicht standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion ASM-Entitäten suchen liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion ASM-Entitäten suchen empfangen wird:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}
Ausgabenachrichten

Die Aktion ASM-Entitäten suchen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned entities based on the provided criteria in Google Threat Intelligence.

No entities were found based on the provided criteria in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Search ASM Entities". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Entitäten suchen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

ASM-Probleme suchen

Verwenden Sie die Aktion ASM-Probleme suchen, um in Google Threat Intelligence nach ASM-Problemen zu suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Search ASM Issues sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Project Name

Optional.

Der Name des ASM-Projekts.

Wenn Sie keinen Wert festlegen, wird für die Aktion der Wert verwendet, den Sie für den Integrationsparameter ASM Project Name konfiguriert haben.
Issue ID

Optional.

Eine durch Kommas getrennte Liste von Problem-IDs, für die die Details zurückgegeben werden sollen.
Entity ID

Optional.

Eine durch Kommas getrennte Liste von Entitäts-IDs, um zugehörige Probleme zu finden.
Entity Name

Optional.

Eine durch Kommas getrennte Liste von Entitätsnamen, um zugehörige Probleme zu finden.

Die Aktion behandelt Entitätsnamen, die / Schrägstriche enthalten, als ungültige Werte.
Time Parameter

Optional.

Eine Filteroption zum Festlegen der Problemzeit.

Die möglichen Werte sind First Seen und Last Seen.

Der Standardwert ist First Seen.
Time Frame

Optional.

Ein Zeitraum, nach dem Probleme gefiltert werden sollen. Wenn Sie Custom auswählen, konfigurieren Sie den Parameter Start Time.

Folgende Werte sind möglich:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

Der Standardwert ist Last Hour.
Start Time

Optional.

Der Beginn der Ergebnisse.

Wenn Sie Custom für den Parameter Time Frame ausgewählt haben, ist dieser Parameter erforderlich.

Konfigurieren Sie den Wert im ISO 8601-Format.
End Time

Optional.

Die Endzeit für die Ergebnisse.

Wenn Sie Custom für den Parameter Time Frame ausgewählt und die Endzeit nicht festgelegt haben, wird für diesen Parameter die aktuelle Uhrzeit als Endzeit verwendet.

Konfigurieren Sie den Wert im ISO 8601-Format.
Lowest Severity To Return

Optional.

Der niedrigste Schweregrad der zurückzugebenden Probleme.

Folgende Werte sind möglich:

  • Select One
  • Critical
  • High
  • Medium
  • Low
  • Informational

Der Standardwert ist Select One.

Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Status

Optional.

Der Statusfilter für die Suche.

Mögliche Werte sind Open, Closed und Select One.

Der Standardwert ist Select One.

Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Tags

Optional.

Eine durch Kommas getrennte Liste von Tagnamen, die bei der Suche nach Problemen verwendet werden sollen.
Max Issues To Return

Erforderlich.

Die Anzahl der zurückzugebenden Probleme.

Der Höchstwert ist 200. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Search ASM Issues (ASM-Probleme suchen) gibt Folgendes aus:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search ASM Issues empfangen wird:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}
Ausgabenachrichten

Die Aktion Search ASM Issues kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned issues based on the provided criteria in Google Threat Intelligence.

No issues were found based on the provided criteria in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Search ASM Issues". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Search ASM Issues verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Entitätsdiagramme durchsuchen

Mit der Aktion Entitätsgraphen suchen können Sie in Google Threat Intelligence nach Graphen suchen, die auf Google SecOps-Entitäten basieren.

Diese Aktion unterstützt nur MD5-, SHA-1- und SHA-256-Hashes.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL
  • User

Aktionseingaben

Für die Aktion Entitätsgraphen durchsuchen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Sort Field

Optional.

Der Feldwert, nach dem die Ergebnisse sortiert werden sollen.

Folgende Werte sind möglich:

  • Owner
  • Creation Date
  • Last Modified Date
  • Views Count
  • Comments Count

Der Standardwert ist Owner.
Max Graphs To Return

Optional.

Die maximale Anzahl von Diagrammen, die für jede Aktionsausführung zurückgegeben werden sollen.

Der Standardwert ist 10.

Aktionsausgaben

Die Aktion Entitätsdiagramme suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search Entity Graphs empfangen wird:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}
Ausgabenachrichten

Die Aktion Entitätsdiagramme suchen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned graphs based on the provided entities in Google Threat Intelligence.

Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON.

No graphs were found for the provided entities.

 Die Aktion war erfolgreich.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Grafiken suchen

Mit der Aktion Diagramme suchen können Sie in Google Threat Intelligence anhand von benutzerdefinierten Filtern nach Diagrammen suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Search Graphs sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Query

Erforderlich.

Der Abfragefilter für den Graphen.

Wenn Sie beispielsweise nach Diagrammen im ausgewählten Zeitraum suchen möchten, formatieren Sie die Abfrage so: creation_date:2018-11-1+creation_date:2018-11-12

Weitere Informationen zu Abfragen finden Sie unter Abfragen erstellen, Diagrammbezogene Modifikatoren und Knotenbezogene Modifikatoren.
Sort Field

Optional.

Der Feldwert, nach dem die VirusTotal-Diagramme sortiert werden sollen.

Folgende Werte sind möglich:

  • Comments Count
  • Creation Date
  • Last Modified Date
  • Owner
  • Views Count

Der Standardwert ist Owner.
Max Graphs To Return

Optional.

Die maximale Anzahl von Diagrammen, die für jede Aktionsausführung zurückgegeben werden sollen.

Der Standardwert ist 10.

Abfragen erstellen

Wenn Sie Suchergebnisse aus Diagrammen eingrenzen möchten, erstellen Sie Abfragen, die diagrammbezogene Modifikatoren enthalten. Um die Suche zu verbessern, können Sie Modifikatoren mit den Operatoren AND, OR und NOT kombinieren.

Datums- und numerische Felder unterstützen die Suffixe +plus und -minus. Ein Pluszeichen (+) als Suffix entspricht Werten, die größer als der angegebene Wert sind. Ein Minus-Suffix entspricht Werten, die kleiner als der angegebene Wert sind. Ohne Suffix gibt die Abfrage genaue Übereinstimmungen zurück.

Sie können denselben Modifikator mehrmals in einer Abfrage verwenden, um Bereiche zu definieren. Wenn Sie beispielsweise nach Diagrammen suchen möchten, die zwischen dem 15.11.2018 und dem 20.11.2018 erstellt wurden, verwenden Sie die folgende Abfrage:

creation_date:2018-11-15+ creation_date:2018-11-20-

Entfernen Sie bei Datumsangaben oder Monaten, die mit 0 beginnen, das Zeichen 0 in der Abfrage. Formatieren Sie das Datum 2018-11-01 beispielsweise als 2018-11-1.

In der folgenden Tabelle sind die Diagramm-bezogenen Modifikatoren aufgeführt, die Sie zum Erstellen der Suchanfrage verwenden können:

Name des Modifikators Beschreibung Beispiel
id Filtert nach Diagramm-ID. id:g675a2fd4c8834e288af
name Filtert nach Diagrammname. name:Example-name
owner Filtert nach Diagrammen, die dem Nutzer gehören. owner:example_user
group Filtert nach Diagrammen, die einer Gruppe gehören. group:example
visible_to_user Filtert nach Diagrammen, die für den Nutzer sichtbar sind. visible_to_user:example_user
visible_to_group Filtert nach Diagrammen, die für die Gruppe sichtbar sind. visible_to_group:example
private Filtert nach privaten Diagrammen. private:true, private:false
creation_date Filtert nach dem Erstellungsdatum des Diagramms. creation_date:2018-11-15
last_modified_date Filtert nach dem Datum der letzten Änderung des Diagramms. last_modified_date:2018-11-20
total_nodes Filtert nach Diagrammen, die eine bestimmte Anzahl von Knoten enthalten. total_nodes:100
comments_count Filtert nach der Anzahl der Kommentare im Diagramm. comments_count:10+
views_count Filtert nach der Anzahl der Diagrammaufrufe. views_count:1000+

In der folgenden Tabelle sind die Diagramm-bezogenen Modifikatoren aufgeführt, die Sie zum Erstellen der Suchanfrage verwenden können:

Name des Modifikators Beschreibung Beispiel
label Filtert nach Diagrammen, die Knoten mit einem bestimmten Label enthalten. label:Kill switch
file Filtert nach Diagrammen, die die angegebene Datei enthalten. file:131f95c51cc819465fa17
domain Filtert nach Grafiken, die die angegebene Domain enthalten. domain:example.com
ip_address Filtert nach Grafiken, die die angegebene IP-Adresse enthalten. ip_address:203.0.113.1
url Filtert nach Grafiken, die die angegebene URL enthalten. url:https://example.com/example/
actor Filtert nach Diagrammen, die den angegebenen Akteur enthalten. actor:example actor
victim Filtert nach Diagrammen, die das angegebene Opfer enthalten. victim:example_user
email Filtert nach Grafiken, die die angegebene E‑Mail-Adresse enthalten. email:user@example.com
department Filtert nach Diagrammen, die die angegebene Abteilung enthalten. department:engineers

Aktionsausgaben

Die Aktion Search Graphs liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search Graphs empfangen wird:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}
Ausgabenachrichten

Die Aktion Search Graphs kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned graphs for the provided query in Google Threat Intelligence.

No graphs were found for the provided query.

 Die Aktion war erfolgreich.
Error executing action "Search Graphs". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Diagramme suchen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

DTM-Benachrichtigungsanalyse einrichten

Mit der Aktion DTM-Warnungsanalyse festlegen können Sie eine Analyse für eine DTM-Warnung (Digital Threat Monitoring) in Google Threat Intelligence definieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Set DTM Alert Analysis sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Alert ID

Erforderlich.

Die ID der Benachrichtigung, der die Analyse hinzugefügt werden soll.
Text

Erforderlich.

Die Analyse, die der Benachrichtigung hinzugefügt werden soll.
Attachment File Paths

Optional.

Eine durch Kommas getrennte Liste von Dateipfaden, die an die Benachrichtigung angehängt werden sollen.

Es werden maximal 10 Anhänge unterstützt.

Aktionsausgaben

Die Aktion DTM-Benachrichtigungsanalyse festlegen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis. Verfügbar
Ausgabenachrichten

Die Aktion Set DTM Alert Analysis kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 Die Aktion war erfolgreich.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion DTM-Benachrichtigungsanalyse festlegen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Datei einreichen

Verwenden Sie die Aktion Datei einreichen, um eine Datei einzureichen und Ergebnisse von Google Threat Intelligence zu erhalten.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Diese Aktion ist asynchron. Passen Sie den Zeitlimitwert für das Script in der integrierten Entwicklungsumgebung (IDE) von Google SecOps für die Aktion nach Bedarf an.

Aktionseingaben

Für die Aktion Datei einreichen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
GTI Score

Optional.

Der Google Threat Intelligence-Score, der verwendet wird, um das Attribut is_risky im JSON-Ergebnis auf true zu setzen. Diese Bedingung wird zusammen mit den Informationen zum Google Threat Intelligence-Urteil validiert.

Wenn kein Wert angegeben ist, wird der Google Threat Intelligence-Score bei der Aktion ignoriert.

Der Standardwert ist 60.
Engine Threshold

Optional.

Die Mindestanzahl von Sicherheits-Engines, die eine Entität als bösartig oder verdächtig markieren müssen, damit das Attribut is_risky auf true gesetzt wird. Diese Bedingung wird zusammen mit den Informationen zum Urteil von Google Threat Intelligence validiert.

Wenn Engine Allowlist Werte enthält, werden nur Ergebnisse von diesen spezifischen Engines gezählt.

Wenn kein Wert angegeben ist, werden Berechnungen der Anzahl der Engines bei der Aktion ignoriert.
Engine Percentage Threshold

Optional.

Der Mindestprozentsatz an Sicherheits-Engines, die eine Entität als bösartig oder verdächtig markieren müssen, damit das Attribut is_risky auf true (0 und 100) gesetzt wird.

Wenn Engine Allowlist Werte enthält, wird der Prozentsatz nur für diese spezifischen Engines berechnet.

Wenn sowohl Engine Threshold als auch Engine Percentage Threshold angegeben sind, hat Engine Threshold Vorrang.

Wenn kein Wert angegeben ist, werden Prozentberechnungen bei der Aktion ignoriert.
Engine Allowlist

Optional.

Eine durch Kommas getrennte Liste von Sicherheits-Engines, die zur Bestimmung der Bösartigkeit verwendet werden sollen (z. B. AlienVault,Kaspersky).

Suchmaschinen, die keine Informationen zu einer Entität zurückgeben, werden von den Berechnungen für Engine Threshold und Engine Percentage Threshold ausgeschlossen.

Wenn kein Wert angegeben ist, werden Ergebnisse aus allen verfügbaren Engines abgerufen.
External URLs

Optional.

Eine durch Kommas getrennte Liste öffentlicher URLs für die einzureichenden Dateien. Wenn sowohl „Externe URL“ als auch „Dateipfade“ angegeben sind, werden Dateien aus beiden Eingaben erfasst.
File Paths

Optional.

Eine durch Kommas getrennte Liste absoluter Dateipfade. Wenn Sie den Parameter **Linux-Serveradresse** konfigurieren, versucht die Aktion, die Datei von einem Remote-Server abzurufen. Wenn sowohl „Externe URL“ als auch „Dateipfade“ angegeben werden, werden mit der Aktion Dateien aus beiden Eingaben erfasst.
Check Hash First

Optional. Standardeinstellung: Deaktiviert.

Wenn diese Option aktiviert ist, werden zuerst die Hashes für die Dateien berechnet und dann wird nach verfügbaren Informationen gesucht. Falls verfügbar, werden die Informationen ohne den Einreichungsprozess zurückgegeben.
Resubmit After (Days)

Optional.

Die Anzahl der Tage, die gewartet werden soll, bevor die Datei noch einmal gesendet wird (auch wenn der Hash für die Datei in der GTI-Datenbank verfügbar ist).

Sie müssen Check Hash First aktivieren, um diesen Parameter zu verwenden.

Der Standardwert ist 30.
Fetch MITRE Details

Optional.

Wenn diese Option ausgewählt ist, gibt die Aktion Informationen zu den zugehörigen MITRE-Techniken und ‑Taktiken zurück.

Nicht standardmäßig ausgewählt.
Lowest MITRE Technique Severity

Optional.

Der niedrigste Schweregrad der MITRE-Technik, der zurückgegeben werden soll.

Die Aktion behandelt den Schweregrad Unknown als Info.

Dieser Parameter unterstützt nur die Hash-Entität.

Der Standardwert ist Low.
Private Submission

Optional.

Wenn diese Option ausgewählt ist, wird die Datei im privaten Modus gesendet.

Für das private Senden von Dateien ist die VirusTotal Premium API erforderlich.
Retrieve Comments

Optional.

Wenn diese Option ausgewählt ist, ruft die Aktion Kommentare zur eingereichten Datei ab.
Max Comments To Return

Optional.

Die maximale Anzahl von Kommentaren, die bei jeder Aktionsausführung zurückgegeben werden sollen.
Linux Server Address

Optional.

Die IP-Adresse des Remote-Linux-Servers, auf dem sich die Datei befindet.
Linux Username

Optional.

Der Nutzername des Remote-Linux-Servers, auf dem sich die Datei befindet.
Linux Password

Optional.

Das Passwort des Remote-Linux-Servers, auf dem sich die Datei befindet.
ZIP Password

Optional.

Ein Passwort für den gezippten Ordner, der die einzureichenden Dateien enthält.

Aktionsausgaben

Die Aktion Datei einreichen bietet die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis. Verfügbar

Die Aktion Datei einreichen kann den folgenden Link zurückgeben:

Berichtslink PATH: URL

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Datei senden empfangen wird:

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}
Ausgabenachrichten

Die Aktion Datei einreichen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned details about the following files using Google Threat Intelligence:PATHS.

The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS.

The action wasn't able to find the following files: PATHS.

The action didn't retrieve any details about the files or none of the files were found.

The action is waiting for results for the following files: PATHS.

The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.

 Die Aktion war erfolgreich.
Error executing action "Submit File". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Submit File". Reason: ERROR_REASON

Keine Werte für „Dateipfade“ oder „Externe URLs“

Mindestens einer der Parameter „Dateipfade“ oder „Externe URLs“ muss einen Wert haben.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Datei senden verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

ASM-Problem aktualisieren

Verwenden Sie die Aktion ASM-Problem aktualisieren, um ein ASM-Problem in Google Threat Intelligence zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Problem aktualisieren sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Issue ID

Erforderlich.

Die ID des zu aktualisierenden Problems.
Status

Erforderlich.

Der neue Status, der für das Problem festgelegt werden soll.

Folgende Werte sind möglich:

  • Select One
  • New
  • Triaged
  • In Progress
  • Resolved
  • Duplicate
  • Out Of Scope
  • Not A Security Issue (Benign)
  • Risk Accepted
  • False Positive
  • Unable To Reproduce
  • Tracked Externally
  • Mitigated

Der Standardwert ist Select One. Wenn Sie den Standardwert verwenden, schlägt die Aktion fehl.

Aktionsausgaben

Die Aktion ASM-Problem aktualisieren bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Update ASM Issue empfangen wird:

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}
Ausgabenachrichten

Die Aktion Update ASM Issue kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence. Die Aktion war erfolgreich.
Error executing action "Update ASM Issue". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Update ASM Issue verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

DTM-Benachrichtigung aktualisieren

Mit der Aktion DTM-Benachrichtigung aktualisieren können Sie eine Mandiant Digital Threat Monitoring-Benachrichtigung in Google Threat Intelligence aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Update DTM Alert sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Alert ID

Erforderlich.

Die ID der zu aktualisierenden Benachrichtigung.
Status

Optional.

Der neue Status, der für die Benachrichtigung festgelegt werden soll.

Folgende Werte sind möglich:

  • Select One
  • New
  • Read
  • Resolved
  • Escalated
  • In Progress
  • No Action Required
  • Duplicate
  • Not Relevant
  • Tracked Externally

Der Standardwert ist Select One. Wenn Sie den Standardwert verwenden, schlägt die Aktion fehl.

Aktionsausgaben

Die Aktion DTM-Benachrichtigung aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Update DTM Alert (DTM-Benachrichtigung aktualisieren) empfangen wird:

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}
Ausgabenachrichten

Die Aktion DTM-Benachrichtigung aktualisieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring. Aktion erfolgreich.
Error executing action "Update DTM Alert". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Update DTM Alert verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Google Threat Intelligence – DTM Alerts Connector

Verwenden Sie den Google Threat Intelligence – DTM Alerts Connector, um Benachrichtigungen von Google Threat Intelligence abzurufen. Verwenden Sie den Parameter alert_type, um mit einer dynamischen Liste zu arbeiten.

Connector-Eingaben

Für den Google Threat Intelligence – DTM Alerts Connector sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Product Field Name

Erforderlich.

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Eine ungültige Eingabe für diesen Parameter wird standardmäßig auf einen Fallback-Wert aufgelöst.

Der Standardwert ist Product Name.
Event Field Name

Erforderlich.

Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt.

Der Standardwert ist event_type.
Environment Field Name

Optional.

Der Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert.

Der Standardwert ist "".
Environment Regex Pattern

Optional.

Ein reguläres Ausdrucksmuster, das für den Wert im Feld Environment Field Name ausgeführt werden soll. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik regulärer Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout

Erforderlich.

Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird.

Der Standardwert ist 180.
API Root

Erforderlich.

Der API-Stamm der Google Threat Intelligence-Instanz.

Der Standardwert ist https://www.virustotal.com.
API Key

Erforderlich.

Der Google Threat Intelligence API-Schlüssel.
Lowest Severity To Fetch

Optional.

Der niedrigste Schweregrad der abzurufenden Benachrichtigungen.

Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen aller Schweregrade aufgenommen.

Folgende Werte sind möglich:

  • Low
  • Medium
  • High
Monitor ID Filter

Optional.

Eine durch Kommas getrennte Liste von Monitor-IDs, für die die Benachrichtigungen abgerufen werden sollen.
Monitor Name Filter

Optional.

Eine durch Kommas getrennte Liste von Monitornamen, aus denen Benachrichtigungen abgerufen werden sollen.

Wenn mehrere Monitore denselben Namen haben, werden Daten von allen Monitoren aufgenommen.

Dieser Parameter wird zusammen mit den Werten für die Monitor-ID mithilfe der ODER-Logik ausgewertet.
Event Type Filter

Optional.

Eine durch Kommas getrennte Liste der zurückzugebenden Ereignistypen.

Bei der Eingabe wird nicht zwischen Groß- und Kleinschreibung unterschieden. Wenn kein Wert angegeben ist, verarbeitet der Connector alle Ereignistypen.

Wenn Sie einen bestimmten Typ ausschließen möchten, stellen Sie ihm ein Ausrufezeichen voran (z. B. !event_type).
Disable Overflow

Optional.

Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus von Google SecOps.

Standardmäßig aktiviert.
Max Hours Backwards

Erforderlich.

Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Benachrichtigungen abgerufen werden sollen.

Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel.

Der Standardwert ist 1.
Max Alerts To Fetch

Erforderlich.

Die Anzahl der Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen.

Der Höchstwert ist 25. Der Standardwert ist 25.
Use dynamic list as a blocklist

Erforderlich.

Wenn diese Option ausgewählt ist, wird die dynamische Liste vom Connector als Sperrliste verwendet.

Standardmäßig nicht ausgewählt.
Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird.

Standardmäßig aktiviert.
Proxy Server Address

Optional.

Die Adresse des zu verwendenden Proxyservers.
Proxy Username

Optional.

Der Proxy-Nutzername für die Authentifizierung.
Proxy Password

Optional.

Das Proxy-Passwort für die Authentifizierung.
Anonymize Passwords

Optional.

Wenn diese Option ausgewählt ist, anonymisiert der Connector Passwortfelder in den Benachrichtigungsdaten, indem er die Zeichen durch Sternchen ersetzt. Nur das erste und das letzte Zeichen bleiben sichtbar.

Connector-Regeln

Der Google Threat Intelligence – DTM Alerts Connector unterstützt Proxys.

Connector-Ereignisse

Es gibt zwei Arten von Ereignissen für den Google Threat Intelligence – DTM Alerts Connector: ein Ereignis, das auf dem Hauptalarm basiert, und ein Ereignis, das auf einem Thema basiert.

Hier ein Beispiel für ein Connector-Ereignis, das auf der Hauptbenachrichtigung basiert:

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "user@example.com",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "user@example.com",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

Hier ist ein Beispiel für ein Connector-Ereignis, das auf einem Thema basiert:

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence – ASM Issues Connector

Verwenden Sie den Google Threat Intelligence – ASM Issues Connector, um Informationen zu den ASM-Problemen aus Google Threat Intelligence abzurufen. Verwenden Sie den Parameter category, um mit dem dynamischen Listenfilter zu arbeiten.

Connector-Eingaben

Für den Google Threat Intelligence – ASM Issues Connector sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Product Field Name

Erforderlich.

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Eine ungültige Eingabe für diesen Parameter wird standardmäßig auf einen Fallback-Wert aufgelöst.

Der Standardwert ist Product Name.
Event Field Name

Erforderlich.

Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt.

Der Standardwert ist entity_type.
Environment Field Name

Optional.

Der Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert.

Der Standardwert ist "".
Environment Regex Pattern

Optional.

Ein reguläres Ausdrucksmuster, das für den Wert im Feld Environment Field Name ausgeführt werden soll. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik regulärer Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout

Erforderlich.

Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird.

Der Standardwert ist 180.
API Root

Erforderlich.

Der API-Stamm der Google Threat Intelligence-Instanz.

Der Standardwert ist https://www.virustotal.com.
API Key

Erforderlich.

Der Google Threat Intelligence API-Schlüssel.
Project Name

Optional.

Der Name des ASM-Projekts.

Wenn Sie keinen Wert festlegen, werden nur Benachrichtigungen aus Sammlungen im primären Projekt zurückgegeben.
Active Group

Optional.

Die Kennung der aktiven Gruppe (Organisationskontext) für mehrmandantenfähige Umgebungen. Dies ist erforderlich, wenn sich Ihre ASM-Projekte in einer anderen Organisation als Ihrer primären Organisation befinden.
Lowest Severity To Fetch

Optional.

Der niedrigste Schweregrad der abzurufenden Benachrichtigungen.

Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen aller Schweregrade aufgenommen.

Folgende Werte sind möglich:

  • Critical
  • High
  • Medium
  • Low
  • Informational
Issue Name Filter

Optional.

Eine durch Kommas getrennte Liste der zu erfassenden Probleme.

Bei der Eingabe wird zwischen Groß- und Kleinschreibung unterschieden. Wenn Namen direkt aufgeführt sind, verwendet der Connector einen „Einschließen“-Filter und nimmt nur die übereinstimmenden Probleme auf.

Wenn Sie bestimmte Probleme ausschließen möchten, stellen Sie dem Namen ein Ausrufezeichen voran (z. B. !issue_name).

Wenn kein Wert angegeben ist, wird der Filter nicht angewendet und alle Probleme werden aufgenommen.
Status Filter

Optional.

Eine durch Kommas getrennte Liste der aufzunehmenden Problemstatus.

Wenn kein Wert angegeben ist, verarbeitet der Connector nur offene Probleme.

Folgende Werte sind möglich:

  • Open
  • Closed

Der Standardwert ist Open.
Event Type Filter

Optional.

Eine durch Kommas getrennte Liste der zurückzugebenden Ereignistypen.

Bei der Eingabe wird nicht zwischen Groß- und Kleinschreibung unterschieden. Wenn kein Wert angegeben ist, verarbeitet der Connector alle Ereignistypen.

Wenn Sie einen bestimmten Typ ausschließen möchten, stellen Sie ihm ein Ausrufezeichen voran (z. B. !event_type).
Max Hours Backwards

Erforderlich.

Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Benachrichtigungen abgerufen werden sollen.

Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel.

Der Standardwert ist 1.
Max Issues To Fetch

Erforderlich.

Die Anzahl der Probleme, die in jeder Connector-Iteration verarbeitet werden sollen.

Der Höchstwert ist 100. Der Standardwert ist 10.
Disable Overflow

Optional.

Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus von Google SecOps.

Standardmäßig aktiviert.
Use dynamic list as a blocklist

Erforderlich.

Wenn diese Option ausgewählt ist, wird die dynamische Liste vom Connector als Sperrliste verwendet.

Standardmäßig nicht ausgewählt.
Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird.

Standardmäßig aktiviert.
Proxy Server Address

Optional.

Die Adresse des zu verwendenden Proxyservers.
Proxy Username

Optional.

Der Proxy-Nutzername für die Authentifizierung.
Proxy Password

Optional.

Das Proxy-Passwort für die Authentifizierung.

Connector-Ereignisse

Das Beispiel für das Ereignis Google Threat Intelligence – ASM Issues Connector sieht so aus:

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence – Livehunt Connector

Verwenden Sie den Google Threat Intelligence – Livehunt Connector, um Informationen zu Livehunt-Benachrichtigungen und den zugehörigen Dateien aus Google Threat Intelligence abzurufen. Verwenden Sie den Parameter rule_name, um mit der dynamischen Liste zu arbeiten.

Connector-Eingaben

Für den Google Threat Intelligence – Livehunt-Connector sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Product Field Name

Erforderlich.

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Eine ungültige Eingabe für diesen Parameter wird standardmäßig auf einen Fallback-Wert aufgelöst.

Der Standardwert ist Product Name.
Event Field Name

Erforderlich.

Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt.

Der Standardwert ist type.
Environment Field Name

Optional.

Der Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert.

Der Standardwert ist "".
Environment Regex Pattern

Optional.

Ein reguläres Ausdrucksmuster, das für den Wert im Feld Environment Field Name ausgeführt werden soll. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik regulärer Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout

Erforderlich.

Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Script ausgeführt wird.

Der Standardwert ist 180.
API Root

Erforderlich.

Der API-Stamm der Google Threat Intelligence-Instanz.

Der Standardwert ist https://www.virustotal.com.
API Key

Erforderlich.

Der Google Threat Intelligence API-Schlüssel.
Entity Type Filter

Optional.

Eine durch Kommas getrennte Liste von Entitätstypen, nach denen Benachrichtigungen gefiltert werden sollen (z. B. file, url, domain, ip_address). Wenn dieses Feld leer bleibt, werden alle Entitätstypen aufgenommen.

Der Standardwert ist file.
Max Hours Backwards

Erforderlich.

Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Benachrichtigungen abgerufen werden sollen.

Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel.

Der Standardwert ist 1.
Max Notifications To Fetch

Erforderlich.

Die Anzahl der Benachrichtigungen, die bei jeder Connector-Iteration verarbeitet werden sollen.

Der Standardwert ist 40.
Disable Overflow

Optional.

Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus von Google SecOps.

Standardmäßig aktiviert.
Use dynamic list as a blocklist

Erforderlich.

Wenn diese Option ausgewählt ist, wird die dynamische Liste vom Connector als Sperrliste verwendet.

Standardmäßig nicht ausgewählt.
Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Threat Intelligence-Server hergestellt wird.

Standardmäßig aktiviert.
Proxy Server Address

Optional.

Die Adresse des zu verwendenden Proxyservers.
Proxy Username

Optional.

Der Proxy-Nutzername für die Authentifizierung.
Proxy Password

Optional.

Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Google Threat Intelligence – Livehunt-Connector unterstützt Proxys.

Connector-Ereignisse

Das Beispiel für das Ereignis Google Threat Intelligence – Livehunt Connector sieht so aus:

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED >
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten