Integra Google Threat Intelligence con Google SecOps

En este documento, se explica cómo integrar Google Threat Intelligence con Google Security Operations.

Antes de comenzar

Para usar esta integración, necesitas una clave de API. Para obtener más información, consulta Claves de API de Google Threat Intelligence.

Parámetros de integración

La integración de Google Threat Intelligence requiere los siguientes parámetros:

Parámetro	Descripción
API Root	Obligatorio. Es la raíz de la API de la instancia de Google Threat Intelligence. El valor predeterminado es https://www.virustotal.com.
API Key	Obligatorio. La clave de API de Google Threat Intelligence.
ASM Project Name	Es opcional. Es el nombre del proyecto de Mandiant Attack Surface Management (ASM) que se usará en la integración. Este parámetro es obligatorio para ejecutar las acciones Buscar entidades de ASM, Buscar problemas de ASM y Actualizar problema de ASM. Si no se establece ningún valor, solo se devuelven las alertas de las colecciones del proyecto principal.
Active Group	Es opcional. Es el identificador del grupo activo (contexto de la organización) para entornos de múltiples usuarios. Esto es necesario si tus proyectos de ASM residen en una organización diferente de la principal.
Verify SSL	Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google Threat Intelligence. Habilitada de forma predeterminada.

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Agrega una nota sobre el problema de ASM

Usa la acción Add ASM Issue Note para agregar una nota técnica a un problema de administración de la superficie de ataque (ASM) en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Agregar nota de problema de ASM requiere los siguientes parámetros:

Parámetro	Descripción
Alert ID	Obligatorio. Es el ID de la alerta que se actualizará.
Text	Obligatorio. Es el contenido del análisis o la nota que se agregará a la alerta.

Resultados de la acción

La acción Add ASM Issue Note proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add ASM Issue Note puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Add ASM Issue Note:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Agregar comentario a la entidad

Usa la acción Agregar comentario a la entidad para agregar comentarios a las entidades de Google SecOps en Google Threat Intelligence.

Esta acción solo admite hashes MD5, SHA-1 y SHA-256.

Esta acción se ejecuta en las siguientes entidades de Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entradas de acción

La acción Agregar comentario a la entidad requiere los siguientes parámetros:

Parámetro	Descripción
Comment	Obligatorio. Es un comentario que se agregará a todas las entidades admitidas.

Resultados de la acción

La acción Agregar comentario a la entidad proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestran los resultados JSON que se reciben cuando se usa la acción Agregar comentario a la entidad:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Mensajes de salida

La acción Agregar comentario a la entidad puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Agregar comentario a la entidad:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Agrega una etiqueta a la alerta de DTM

Usa Add Tag To DTM Alert para agregar etiquetas a una alerta de Digital Threat Monitoring (DTM) en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Add Tag To DTM Alert requiere los siguientes parámetros:

Parámetro	Descripción
Alert ID	Obligatorio. Es el identificador único de la alerta que se actualizará.
Mode	Es opcional. Es la lógica operativa para la actualización de la etiqueta. Los valores posibles son los siguientes: Append: Agrega las etiquetas especificadas a la lista de etiquetas existente de la alerta. Set: Reemplaza todas las etiquetas de alerta existentes por las etiquetas proporcionadas en Tags. El valor predeterminado es Append.
Tags	Obligatorio. Es una lista separada por comas de las etiquetas que se aplicarán a la alerta.

Resultados de la acción

La acción Add Tag To DTM Alert proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Tag To DTM Alert puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Agregar etiqueta a la alerta de DTM:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Agrega un voto a la entidad

Usa la acción Agregar comentario a la entidad para agregar votos a las entidades de Google SecOps en Google Threat Intelligence.

Esta acción solo admite hashes MD5, SHA-1 y SHA-256.

Esta acción se ejecuta en las siguientes entidades de Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entradas de acción

La acción Agregar voto a la entidad requiere los siguientes parámetros:

Parámetro	Descripción
Vote	Obligatorio. Un voto para agregar a todas las entidades admitidas. Los valores posibles son los siguientes: Harmless Malicious El valor predeterminado es Malicious.

Resultados de la acción

La acción Add Vote To Entity proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Add Vote To Entity:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Agregar voto a la entidad:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Pregúntale al agente de inteligencia contra amenazas

Usa la acción Preguntar al agente de inteligencia contra amenazas para ejecutar consultas en lenguaje natural y conversar con el agente de Google Threat Intelligence para recuperar análisis de amenazas, contexto de agentes, clasificación de malware y recomendaciones de detección impulsados por IA.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Preguntar al agente de inteligencia contra amenazas requiere los siguientes parámetros:

Parámetro	Descripción
Prompt	Obligatorio. Es la instrucción en lenguaje natural o la consulta de investigación que se enviará al agente de Google Threat Intelligence.
Session ID	Es opcional. Es un ID de sesión existente que se usa para continuar una conversación en curso con el agente. Si no se proporciona ningún valor, la acción creará una sesión nueva.
File Paths	Es opcional. Es una lista separada por comas de las rutas de acceso de los archivos locales que se adjuntarán a la instrucción.
Delete Session After Completion	Es opcional. Si se selecciona, la acción borra automáticamente la sesión del agente después de recuperar la respuesta.

Resultados de la acción

La acción Preguntar al agente de inteligencia contra amenazas proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado en formato JSON que se recibe cuando se usa la acción Preguntar al agente de inteligencia contra amenazas:

{
  "session_id": "cdc04504-0e13-4e53-901b-3a3c3a8b2211",
  "title": "Threat Investigation",
  "response_text": "### 1. Overview & Reputation\n\nThe IP address 8.8.8.8 is safe and benign..."
}

Mensajes de salida

La acción Preguntar al agente de inteligencia contra amenazas puede devolver los siguientes mensajes de resultado:

Mensaje de salida	Descripción del mensaje
Successfully executed prompt in Google Threat Intelligence.	La acción se realizó correctamente y devolvió una respuesta de texto del agente.
Google Threat Intelligence Agent didn't return a text response for session SESSION_ID.	La sesión se completó, pero la respuesta del agente no contenía texto.
Error executing action "Ask Threat Intelligence Agent". Reason: Failed to connect to the Google Threat Intelligence server! Please check the provided credentials. Error executing action "Ask Threat Intelligence Agent". Reason: Google Threat Intelligence Agent didn't return a final response for session SESSION_ID. Error executing action "Ask Threat Intelligence Agent". Reason: The following paths are directories, not files: PATHS. Error executing action "Ask Threat Intelligence Agent". Reason: The following files are empty: PATHS. Error executing action "Ask Threat Intelligence Agent". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, tus credenciales de API, el Session ID y cualquier ruta de acceso local especificada en File Paths.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Preguntar al agente de inteligencia contra amenazas:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Descargar archivo

Usa la acción Descargar archivo para descargar un archivo de Google Threat Intelligence.

Esta acción se ejecuta en la entidad Hash de Google SecOps.

Esta acción solo admite hashes MD5, SHA-1 y SHA-256.

Entradas de acción

La acción Descargar archivo requiere los siguientes parámetros:

Parámetro	Descripción
Download Folder Path	Obligatorio. Es la ruta de acceso a la carpeta en la que se almacenarán los archivos descargados.
Overwrite	Obligatorio. Si se selecciona, la acción reemplaza un archivo existente por el nuevo si los nombres de archivo son idénticos. Habilitada de forma predeterminada.

Resultados de la acción

La acción Descargar archivo proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Descargar archivo:

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

Mensajes de salida

La acción Descargar archivo puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Download File". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Enriquece entidades

Usa la acción Enriquecer entidades para enriquecer entidades con información de Google Threat Intelligence.

Esta acción admite los hashes MD5, SHA-1 y SHA-256.

Esta acción se ejecuta en las siguientes entidades de Google SecOps:

• CVE
• Domain
• Hash (incluidos CHILDHASH y PARENTHASH)
• Hostname
• IP Address
• Threat Actor
• URL

Entradas de acción

La acción Enrich Entities requiere los siguientes parámetros:

Parámetro	Descripción
GTI Score	Es opcional. Es la puntuación mínima de Google Threat Intelligence necesaria para marcar una entidad de Google SecOps como sospechosa. Esta condición se valida junto con la información del veredicto de Google Threat Intelligence. Este parámetro solo admite entidades IP Address, URL, Hostname, Domain y Hash. Si no se proporciona ningún valor, la acción ignora los valores de puntuación de Google Threat Intelligence. El valor predeterminado es 60.
Engine Threshold	Es opcional. Es la cantidad mínima de motores de seguridad que deben marcar una entidad como maliciosa o sospechosa para que Google SecOps la etiquete como sospechosa. Esta condición se valida junto con la información del veredicto de Google Threat Intelligence. Este parámetro solo admite entidades IP Address, URL, Hostname, Domain y Hash. Si Engine Allowlist contiene valores, la acción solo cuenta los resultados de esos motores específicos. Si no se proporciona ningún valor, la acción ignora los cálculos del motor.
Engine Percentage Threshold	Es opcional. Es el porcentaje mínimo de motores de seguridad que deben marcar una entidad como maliciosa o sospechosa para que Google SecOps la etiquete como sospechosa. Este parámetro solo admite entidades IP Address, URL, Hostname, Domain y Hash. Si Engine Allowlist contiene valores, la acción solo calcula el porcentaje de esos motores específicos. Si se proporcionan Engine Threshold y Engine Percentage Threshold, Engine Threshold tiene prioridad. Si no se proporciona ningún valor, la acción ignora los cálculos del motor. El valor máximo es 100. El valor mínimo es 0.
Engine Allowlist	Es opcional. Es una lista separada por comas de los motores de seguridad que se usan para recuperar información sobre la actividad maliciosa (por ejemplo, AlienVault,Kaspersky). Si no se proporciona ningún valor, la acción recupera los resultados de todos los motores disponibles. Los motores que no devuelven información sobre una entidad se excluyen de los cálculos de Engine Threshold y Engine Percentage Threshold.
Resubmit Entity	Es opcional. Si se selecciona, la acción vuelve a enviar las entidades para su análisis en lugar de usar la información de la entidad de la ejecución de la acción anterior. Este parámetro solo admite las entidades URL y Hash. No se selecciona de forma predeterminada.
Resubmit After (Days)	Es opcional. Es la cantidad de días que debe esperar la acción antes de volver a enviar la entidad. Para usar este parámetro, selecciona el parámetro Resubmit Entity. El valor predeterminado es 30. Este parámetro solo admite las entidades URL y Hash.
Sandbox	Es opcional. Es una lista separada por comas de los nombres de las zonas de pruebas que se analizarán, como VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO. Este parámetro solo admite la entidad Hash. Si no configuras este parámetro, la acción usa la zona de pruebas predeterminada, que es VirusTotal Jujubox.
Retrieve Sandbox Analysis	Es opcional. Si se selecciona, la acción recupera el análisis de la zona de pruebas para la entidad y crea una sección separada para cada zona de pruebas en el resultado JSON. La acción devuelve datos de las zonas de pruebas que configuraste en el parámetro Sandbox. Este parámetro solo admite la entidad Hash. No se selecciona de forma predeterminada.
Fetch MITRE Details	Es opcional. Si se selecciona, la acción devuelve información sobre las técnicas y tácticas de MITRE relacionadas. Este parámetro solo admite la entidad Hash. No se selecciona de forma predeterminada.
Lowest MITRE Technique Severity	Es opcional. Es la gravedad más baja de la técnica de MITRE que se devolverá. La acción trata la gravedad Unknown como Info. Este parámetro solo admite la entidad Hash. Los valores posibles son los siguientes: High Medium Low Info El valor predeterminado es Medium.
Retrieve Comments	Es opcional. Si se selecciona, la acción recupera comentarios sobre la entidad. Este parámetro admite las siguientes entidades: Domain Hash Hostname IP Address URL
Widget Theme	Es opcional. Es el estilo visual que se aplica al widget aumentado de IOC. Los valores posibles son los siguientes: Dark Dark Blue Light El valor predeterminado es Dark Blue.
Max Comments To Return	Es opcional. Es la cantidad máxima de comentarios que se devolverán para cada ejecución de acción. El valor predeterminado es 10.

Resultados de la acción

La acción Enrich Entities proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	Disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento de entidades	Disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Es el resultado de la secuencia de comandos.	Disponible

Vínculo al muro de casos

La acción Enrich Entities puede devolver los siguientes vínculos:

• IOC: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• Agente de amenazas: https://www.virustotal.com/gui/collection/threat-actor--ID

• Vulnerabilidad: https://www.virustotal.com/gui/collection/vulnerability--ID

Tabla de enriquecimiento de entidades

1. La acción Enrich Entities admite el siguiente enriquecimiento de entidades para direcciones IP:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_id	id	Cuando está disponible en el resultado JSON.
GTI_owner	as_owner	Cuando está disponible en el resultado JSON.
GTI_asn	asn	Cuando está disponible en el resultado JSON.
GTI_continent	continent	Cuando está disponible en el resultado JSON.
GTI_country	country	Cuando está disponible en el resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Cuando está disponible en el resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Cuando está disponible en el resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Cuando está disponible en el resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Cuando está disponible en el resultado JSON.
GTI_certificate_valid_not_after	validity/not_after	Cuando está disponible en el resultado JSON.
GTI_certificate_valid_not_before	validity/not_before	Cuando está disponible en el resultado JSON.
GTI_reputation	reputation	Cuando está disponible en el resultado JSON.
GTI_tags	Comma-separated list of tags	Cuando está disponible en el resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Cuando está disponible en el resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Cuando está disponible en el resultado JSON.
GTI_report_link	report_link	Cuando está disponible en el resultado JSON.
GTI_widget_link	widget_url	Cuando está disponible en el resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Cuando está disponible en el resultado JSON.
GTI_severity	gti_assessment.severity.value	Cuando está disponible en el resultado JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Cuando está disponible en el resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Cuando está disponible en el resultado JSON.
GTI_description	gti_assessment.description	Cuando está disponible en el resultado JSON.

2. La acción Enrich Entities admite el siguiente enriquecimiento de entidades para URL:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_id	id	Cuando está disponible en el resultado JSON.
GTI_title	title	Cuando está disponible en el resultado JSON.
GTI_last_http_response_code	last_http_response_code	Cuando está disponible en el resultado JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Cuando está disponible en el resultado JSON.
GTI_threat_names	Comma-separated list of threat_names	Cuando está disponible en el resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Cuando está disponible en el resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Cuando está disponible en el resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Cuando está disponible en el resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Cuando está disponible en el resultado JSON.
GTI_reputation	reputation	Cuando está disponible en el resultado JSON.
GTI_tags	Comma-separated list of tags	Cuando está disponible en el resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Cuando está disponible en el resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Cuando está disponible en el resultado JSON.
GTI_report_link	report_link	Cuando está disponible en el resultado JSON.
GTI_widget_link	widget_url	Cuando está disponible en el resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Cuando está disponible en el resultado JSON.
GTI_severity	gti_assessment.severity.value	Cuando está disponible en el resultado JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Cuando está disponible en el resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Cuando está disponible en el resultado JSON.
GTI_description	gti_assessment.description	Cuando está disponible en el resultado JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Cuando está disponible en el resultado JSON.

3. La acción Enrich Entities admite el siguiente enriquecimiento de entidades para Hash:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_id	id	Cuando está disponible en el resultado JSON.
GTI_magic	magic	Cuando está disponible en el resultado JSON.
GTI_md5	md5	Cuando está disponible en el resultado JSON.
GTI_sha1	sha1	Cuando está disponible en el resultado JSON.
GTI_sha256	sha256	Cuando está disponible en el resultado JSON.
GTI_ssdeep	ssdeep	Cuando está disponible en el resultado JSON.
GTI_tlsh	tlsh	Cuando está disponible en el resultado JSON.
GTI_vhash	vhash	Cuando está disponible en el resultado JSON.
GTI_meaningful_name	meaningful_name	Cuando está disponible en el resultado JSON.
GTI_magic	Comma-separated list of names	Cuando está disponible en el resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Cuando está disponible en el resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Cuando está disponible en el resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Cuando está disponible en el resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Cuando está disponible en el resultado JSON.
GTI_reputation	reputation	Cuando está disponible en el resultado JSON.
GTI_tags	Comma-separated list of tags	Cuando está disponible en el resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Cuando está disponible en el resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Cuando está disponible en el resultado JSON.
GTI_report_link	report_link	Cuando está disponible en el resultado JSON.
GTI_widget_link	widget_url	Cuando está disponible en el resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Cuando está disponible en el resultado JSON.
GTI_severity	gti_assessment.severity.value	Cuando está disponible en el resultado JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Cuando está disponible en el resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Cuando está disponible en el resultado JSON.
GTI_description	gti_assessment.description	Cuando está disponible en el resultado JSON.
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. La acción Enrich Entities admite el siguiente enriquecimiento de entidades para Domain/Hostname:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_id	id	Cuando está disponible en el resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Cuando está disponible en el resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Cuando está disponible en el resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Cuando está disponible en el resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Cuando está disponible en el resultado JSON.
GTI_reputation	reputation	Cuando está disponible en el resultado JSON.
GTI_tags	Comma-separated list of tags	Cuando está disponible en el resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Cuando está disponible en el resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Cuando está disponible en el resultado JSON.
GTI_report_link	report_link	Cuando está disponible en el resultado JSON.
GTI_widget_link	widget_url	Cuando está disponible en el resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Cuando está disponible en el resultado JSON.
GTI_severity	gti_assessment.severity.value	Cuando está disponible en el resultado JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Cuando está disponible en el resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Cuando está disponible en el resultado JSON.
GTI_description	gti_assessment.description	Cuando está disponible en el resultado JSON.
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Cuando está disponible en el resultado JSON.

5. La acción Enrich Entities admite el siguiente enriquecimiento de entidades para Agente de amenazas:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_motivations	Csv of motivations/name	Cuando está disponible en el resultado JSON.
GTI_aliases	Csv of alt_names_details/value	Cuando está disponible en el resultado JSON.
GTI_industries	Csv of targeted_industries/value	Cuando está disponible en el resultado JSON.
GTI_malware	Csv of malware/name	Cuando está disponible en el resultado JSON.
GTI_source_region	CSV of source_regions_hierarchy/country	Cuando está disponible en el resultado JSON.
GTI_target_region	Csv of targeted_regions_hierarchy/country	Cuando está disponible en el resultado JSON.
GTI_origin	origin	Cuando está disponible en el resultado JSON.
GTI_description	description	Cuando está disponible en el resultado JSON.
GTI_last_activity_time	last_activity_time	Cuando está disponible en el resultado JSON.
GTI_report_link	We craft it.	Cuando está disponible en el resultado JSON.

6. La acción Enrich Entities admite el siguiente enriquecimiento de entidades para Vulnerabilidad:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_sources	Csv of source_name	Cuando está disponible en el resultado JSON.
GTI_exploitation_state	exploitation_state	Cuando está disponible en el resultado JSON.
GTI_date_of_disclosure	date_of_disclosure	Cuando está disponible en el resultado JSON.
GTI_vendor_fix_references	vendor_fix_references/url	Cuando está disponible en el resultado JSON.
GTI_exploitation_vectors	Csv of exploitation_vectors	Cuando está disponible en el resultado JSON.
GTI_description	description	Cuando está disponible en el resultado JSON.
GTI_risk_rating	risk_rating	Cuando está disponible en el resultado JSON.
GTI_available_mitigation	CSV of available_mitigation	Cuando está disponible en el resultado JSON.
GTI_exploitation_consequence	exploitation_consequence	Cuando está disponible en el resultado JSON.
GTI_report_link	We craft it.	Cuando está disponible en el resultado JSON.

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado de JSON para los IOC (entidades IP, Hash, URL, Domain y Hostname) que se reciben cuando se usa la acción Enriquecer entidades:

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

En el siguiente ejemplo, se muestra el resultado JSON de las vulnerabilidades recibidas cuando se usa la acción Enrich Entities:

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

En el siguiente ejemplo, se muestra el resultado JSON de los agentes de amenazas que se recibe cuando se usa la acción Enrich Entities:

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

Mensajes de salida

La acción Enrich Entities puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	La acción se realizó correctamente.
Error executing action "Enrich Entities". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Enrich Entities:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Enriquece los IOC

Usa la acción Enriquecer IoC para enriquecer los indicadores de compromiso (IoC) con información de Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Enrich IOCs requiere los siguientes parámetros:

Parámetro	Descripción
IOC Type	Es opcional. Es el tipo de IOC que se enriquecerá. Los valores posibles son los siguientes: Filehash URL Domain IP Address El valor predeterminado es Filehash.
IOCs	Obligatorio. Es una lista separada por comas de los IOC para transferir datos.
Widget Theme	Es opcional. Es el estilo visual que se aplica al widget aumentado de IOC. Los valores posibles son los siguientes: Dark Dark Blue Light El valor predeterminado es Dark Blue.

Resultados de la acción

La acción Enrich IOCs proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	Disponible
Tabla del muro de casos	Disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Vínculo al muro de casos

La acción Enriquecer IOC puede proporcionar el siguiente vínculo para cada entidad enriquecida:

Nombre: Vínculo del informe

Valor: URL

Tabla del muro de casos

La acción Enriquecer IOC puede proporcionar la siguiente tabla para cada entidad enriquecida:

Nombre de la tabla: IOC_ID

Columnas de la tabla:

• Nombre
• Categoría
• Método
• Resultado

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Enriquecer IOC:

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

Mensajes de salida

La acción Enrich IOCs puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	La acción se realizó correctamente.
Error executing action "Enrich IOC". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Enrich IOCs:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Ejecuta la búsqueda de IOC

Usa la acción Execute IOC Search para ejecutar la búsqueda de IOC en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Ejecutar búsqueda de IOC requiere los siguientes parámetros:

Parámetro	Descripción
Search Query	Obligatorio. Es una búsqueda que se ejecutará, como crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return	Es opcional. Es la cantidad máxima de resultados que se devolverán para cada ejecución de acción. El valor máximo es 200. El valor predeterminado es 50.

Resultados de la acción

La acción Ejecutar búsqueda de IOC proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Ejecutar búsqueda de IOC:

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

Mensajes de salida

La acción Ejecutar búsqueda de IOC puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Ejecutar búsqueda de IOC:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Obtén detalles de la entidad de ASM

Usa la acción Obtener detalles de la entidad de ASM para obtener información sobre una entidad de ASM en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Obtener detalles de la entidad de ASM requiere los siguientes parámetros:

Parámetro	Descripción
Entity ID	Obligatorio. Es una lista separada por comas de los IDs de entidad para obtener detalles.

Resultados de la acción

La acción Obtener detalles de la entidad de ASM proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Obtener detalles de la entidad de ASM:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED >
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

Mensajes de salida

La acción Get ASM Entity Details puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	La acción se realizó correctamente.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Get ASM Entity Details:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Obtén detalles del gráfico

Usa la acción Obtener detalles del gráfico para obtener información detallada sobre los gráficos en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Obtener detalles del grafo requiere los siguientes parámetros:

Parámetro	Descripción
Graph ID	Obligatorio. Es una lista separada por comas de los IDs de gráficos de los que se quieren recuperar detalles.
Max Links To Return	Obligatorio. Es la cantidad máxima de vínculos que se devolverán para cada gráfico. El valor predeterminado es 50.

Resultados de la acción

La acción Obtener detalles del gráfico proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	Disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Tabla del muro de casos

La acción Obtener detalles del gráfico puede proporcionar la siguiente tabla para cada entidad enriquecida:

Nombre de la tabla: Vínculos del grafo GRAPH_ID

Columnas de la tabla:

• Fuente
• Target
• Tipo de conexión

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Obtener detalles del gráfico:

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

Mensajes de salida

La acción Get Graph Details puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	La acción se realizó correctamente.
Error executing action "Get Graph Details". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor de la salida del resultado de la secuencia de comandos cuando se usa la acción Obtener detalles del gráfico:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Obtén asociaciones relacionadas

Usa la acción Obtener asociaciones relacionadas para obtener información sobre las asociaciones (informes, campañas, colecciones, familias de malware, kits de herramientas de software, vulnerabilidades, agentes de amenazas) relacionadas con las entidades de Google Threat Intelligence.

Esta acción se ejecuta en las siguientes entidades de Google SecOps:

• IP address
• URL
• File hash
• Hostname
• Domain

Nota: Esta acción solo admite hashes MD5, SHA-1 y SHA-256.

Entradas de acción

La acción Obtener asociaciones relacionadas requiere los siguientes parámetros:

Parámetro	Descripción
Association Types	Es opcional. Es una lista separada por comas de las asociaciones que se devolverán. Los informes se procesan después de que se completan todas las demás asociaciones. Los valores posibles son los siguientes: Report Campaign Collection Malware Family Vulnerability Threat Actor Si no se proporciona ningún valor, la acción devuelve todas las asociaciones.
Create Entity	Es opcional. Si se selecciona, la acción crea una entidad para los agentes de amenazas, las vulnerabilidades y exposiciones comunes (CVE) y las campañas relacionadas, y la vincula a la entidad original. Solo se crean las entidades CVE, Agente de amenazas y Campaña.
Max Associations To Return	Es opcional. Es la cantidad máxima de IoC que se devolverán para cada entidad. El valor máximo es 100. El valor predeterminado es 50.

Resultados de la acción

La acción Obtener asociaciones relacionadas proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Es el resultado de la secuencia de comandos.	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Obtener asociaciones relacionadas:

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

Mensajes de salida

La acción Obtener asociaciones relacionadas puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Get Related Associations". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Obtener asociaciones relacionadas:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Obtener IOC relacionados

Usa la acción Obtener IOC relacionados para obtener información sobre los IOC relacionados con las entidades con información de Google Threat Intelligence.

Esta acción solo admite hashes MD5, SHA-1 y SHA-256.

Esta acción se ejecuta en las siguientes entidades de Google SecOps:

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

Entradas de acción

La acción Obtener IOC relacionados requiere los siguientes parámetros:

Parámetro	Descripción
IOC Types	Obligatorio. Es una lista separada por comas de los IOC que se extraerán. Los valores posibles son los siguientes: IP, Hash, URL, Domain.
Max IOCs To Return	Obligatorio. Es la cantidad máxima de IOC que se devolverán para los tipos de IOC seleccionados para cada entidad. El valor predeterminado es 40.

Resultados de la acción

La acción Obtener IOC relacionados proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Es el resultado de la secuencia de comandos.	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Obtener IOC relacionados:

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

Mensajes de salida

La acción Get Related IOCs puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	La acción se realizó correctamente.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Obtener IOC relacionados:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Ping

Usa la acción Ping para probar la conectividad con Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Es el resultado de la secuencia de comandos.	Disponible

Mensajes de salida

La acción Ping puede devolver los siguientes mensajes de resultado:

Mensaje de salida	Descripción del mensaje
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	La acción se realizó correctamente.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

URL de envío privada

Usa la acción Private Submit URL para enviar una URL para un análisis privado en Google Threat Intelligence.

Esta acción se ejecuta en la siguiente entidad de Google SecOps:

• URL

Nota: Para un análisis regular y un enriquecimiento de entidades, usa la acción Enriquecer entidades en su lugar.

Entradas de acción

La acción URL de envío privado requiere los siguientes parámetros:

Parámetro	Descripción
URL	Es opcional. Es una lista de URLs separadas por comas que se deben analizar. El sistema procesa los valores ingresados junto con las entidades de URL que descubre la operación.
Check Existing Submissions First	Es opcional. Si se selecciona, esta acción verifica la URL para obtener información de envío pública o privada existente. Si se encuentra, la acción devuelve de inmediato la información y omite el flujo de envío. Está inhabilitado de forma predeterminada.
Resubmit After (Days)	Es opcional. Es la cantidad mínima de días que deben transcurrir después de la última fecha de análisis público de la URL para que esta se pueda volver a enviar. Nota: Para usar este parámetro, debes habilitar Check Existing Submissions First. El valor predeterminado es 30.

Resultados de la acción

La acción Private Submit URL proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	Disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	Disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Es el resultado de la secuencia de comandos.	Disponible

Vínculo al muro de casos

La acción Private Submit URL puede devolver el siguiente vínculo:

Vínculo del informe URL: URL to the GTI UI displaying the submission details.

Tabla de enriquecimiento de entidades

La acción Private Submit URL admite el siguiente enriquecimiento de entidades para las entidades de URL cuando se recuperan datos de un envío público:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_id	id	Cuando está disponible en el resultado JSON.
GTI_title	title	Cuando está disponible en el resultado JSON.
GTI_last_http_response_code	last_http_response_code	Cuando está disponible en el resultado JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Cuando está disponible en el resultado JSON.
GTI_threat_names	Lista de threat_names separada por comas	Cuando está disponible en el resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Cuando está disponible en el resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Cuando está disponible en el resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Cuando está disponible en el resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Cuando está disponible en el resultado JSON.
GTI_reputation	reputation	Cuando está disponible en el resultado JSON.
GTI_tags	Lista de tags separada por comas	Cuando está disponible en el resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Cuando está disponible en el resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Cuando está disponible en el resultado JSON.
GTI_report_link	report link	Cuando está disponible en el resultado JSON.
GTI_widget_link	widget_url	Cuando está disponible en el resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Cuando está disponible en el resultado JSON.
GTI_severity	gti_assessment.severity.value	Cuando está disponible en el resultado JSON.
GTI_normalised_categories	CSV de gti_assessment.contributing_factors.normalised_categories	Cuando está disponible en el resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Cuando está disponible en el resultado JSON.
GTI_description	gti_assessment.description	Cuando está disponible en el resultado JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Cuando está disponible en el resultado JSON.

La acción Private Submit URL admite el siguiente enriquecimiento de entidades para las entidades de URL cuando se recuperan datos de un envío privado:

Campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
GTI_id	id	Cuando está disponible en el resultado JSON.
GTI_title	title	Cuando está disponible en el resultado JSON.
GTI_last_http_response_code	last_http_response_code	Cuando está disponible en el resultado JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Cuando está disponible en el resultado JSON.
GTI_tags	Lista de tags separada por comas	Cuando está disponible en el resultado JSON.
GTI_report_link	report link	Cuando está disponible en el resultado JSON.
GTI_widget_link	widget_url	Cuando está disponible en el resultado JSON.

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción URL de envío privado:

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

Mensajes de salida

La acción URL de envío privado puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Private Submit URL". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción URL de envío privado:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Buscar entidades de ASM

Usa la acción Buscar entidades de ASM para buscar entidades de ASM en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Buscar entidades de ASM requiere los siguientes parámetros:

Parámetro	Descripción
Project Name	Es opcional. Es el nombre del proyecto de ASM. Si no estableces un valor, la acción usará el valor que configuraste para el parámetro de integración ASM Project Name.
Entity Name	Es opcional. Es una lista separada por comas de nombres de entidades para encontrar entidades. La acción trata los nombres de entidades que contienen / barras diagonales como valores no válidos.
Minimum Vulnerabilities Count	Es opcional. Es la cantidad mínima de vulnerabilidades que se requieren para que la acción devuelva la entidad.
Minimum Issues Count	Es opcional. Es la cantidad mínima de problemas que se requieren para que la acción devuelva la entidad.
Tags	Es opcional. Es una lista separada por comas de los nombres de las etiquetas que se usarán cuando se busquen entidades.
Max Entities To Return	Es opcional. Es la cantidad de entidades que se devolverán. El valor máximo es 200. El valor predeterminado es 50.
Critical or High Issue	Es opcional. Si se selecciona, la acción solo devuelve problemas con gravedad High y Critical. No se selecciona de forma predeterminada.

Resultados de la acción

La acción Buscar entidades de ASM proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Buscar entidades de ASM:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

Mensajes de salida

La acción Buscar entidades de ASM puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Buscar entidades de ASM:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Buscar problemas de ASM

Usa la acción Buscar problemas de ASM para buscar problemas de ASM en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Search ASM Issues requiere los siguientes parámetros:

Parámetro	Descripción
Project Name	Es opcional. Es el nombre del proyecto de ASM. Si no estableces un valor, la acción usará el valor que configuraste para el parámetro de integración ASM Project Name.
Issue ID	Es opcional. Es una lista separada por comas de los IDs de problemas para devolver los detalles.
Entity ID	Es opcional. Es una lista separada por comas de IDs de entidades para encontrar problemas relacionados.
Entity Name	Es opcional. Es una lista separada por comas de nombres de entidades para encontrar problemas relacionados. La acción trata los nombres de entidades que contienen / barras diagonales como valores no válidos.
Time Parameter	Es opcional. Una opción de filtro para establecer la hora del problema Los valores posibles son First Seen y Last Seen. El valor predeterminado es First Seen.
Time Frame	Es opcional. Es un período para filtrar los problemas. Si seleccionas Custom, configura el parámetro Start Time. Los valores posibles son los siguientes: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom El valor predeterminado es Last Hour.
Start Time	Es opcional. Es la hora de inicio de los resultados. Si seleccionaste Custom para el parámetro Time Frame, este parámetro es obligatorio. Configura el valor en el formato ISO 8601.
End Time	Es opcional. Es la hora de finalización de los resultados. Si seleccionaste Custom para el parámetro Time Frame y no estableciste la hora de finalización, este parámetro usa la hora actual como hora de finalización. Configura el valor en el formato ISO 8601.
Lowest Severity To Return	Es opcional. Es la gravedad más baja de los problemas que se devolverán. Los valores posibles son los siguientes: Select One Critical High Medium Low Informational El valor predeterminado es Select One. Si seleccionas Select One, este filtro no se aplica a la búsqueda.
Status	Es opcional. Es el filtro de estado de la búsqueda. Los valores posibles son Open, Closed y Select One. El valor predeterminado es Select One. Si seleccionas Select One, este filtro no se aplica a la búsqueda.
Tags	Es opcional. Es una lista separada por comas de los nombres de las etiquetas que se usarán cuando se busquen problemas.
Max Issues To Return	Obligatorio. Es la cantidad de problemas que se devolverán. El valor máximo es 200. El valor predeterminado es 50.

Resultados de la acción

La acción Search ASM Issues proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	Disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado de JSON que se recibe cuando se usa la acción Buscar problemas de ASM:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

Mensajes de salida

La acción Search ASM Issues puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Buscar problemas de ASM:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Buscar gráficos de entidades

Usa la acción Buscar gráficos de entidades para buscar gráficos que se basen en entidades de Google SecOps en Google Threat Intelligence.

Esta acción solo admite hashes MD5, SHA-1 y SHA-256.

Esta acción se ejecuta en las siguientes entidades de Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

Entradas de acción

La acción Buscar grafos de entidades requiere los siguientes parámetros:

Parámetro	Descripción
Sort Field	Es opcional. Es el valor del campo para ordenar los resultados. Los valores posibles son los siguientes: Owner Creation Date Last Modified Date Views Count Comments Count El valor predeterminado es Owner.
Max Graphs To Return	Es opcional. Es la cantidad máxima de gráficos que se devolverán para cada ejecución de acción. El valor predeterminado es 10.

Resultados de la acción

La acción Buscar gráficos de entidades proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Buscar gráficos de entidades:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Mensajes de salida

La acción Buscar gráficos de entidades puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	La acción se realizó correctamente.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Gráficos de búsqueda

Usa la acción Buscar gráficos para buscar gráficos basados en filtros personalizados en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Buscar grafos requiere los siguientes parámetros:

Parámetro	Descripción
Query	Obligatorio. Es el filtro de consulta para el gráfico. Por ejemplo, para buscar gráficos en el período seleccionado, dale el siguiente formato a la consulta: creation_date:2018-11-1+creation_date:2018-11-12 Para obtener más información sobre las consultas, consulta Cómo crear consultas, Modificadores relacionados con grafos y Modificadores relacionados con nodos.
Sort Field	Es opcional. Es el valor del campo para ordenar los gráficos de VirusTotal. Los valores posibles son los siguientes: Comments Count Creation Date Last Modified Date Owner Views Count El valor predeterminado es Owner.
Max Graphs To Return	Es opcional. Es la cantidad máxima de gráficos que se devolverán para cada ejecución de acción. El valor predeterminado es 10.

Cómo crear consultas

Para definir mejor los resultados de la búsqueda de gráficos, crea consultas que contengan modificadores relacionados con gráficos. Para mejorar la búsqueda, puedes combinar modificadores con los operadores AND, OR y NOT.

Los campos de fecha y numéricos admiten los sufijos más (+) y menos (-). Un sufijo de signo más coincide con valores mayores que el valor proporcionado. Un sufijo de signo menos coincide con valores inferiores al valor proporcionado. Sin un sufijo, la consulta devuelve coincidencias exactas.

Para definir rangos, puedes usar el mismo modificador varias veces en una consulta. Por ejemplo, para buscar gráficos que se crearon entre el 15 de noviembre de 2018 y el 20 de noviembre de 2018, usa la siguiente consulta:

creation_date:2018-11-15+ creation_date:2018-11-20-

En el caso de las fechas o los meses que comienzan con 0, quita el carácter 0 de la consulta. Por ejemplo, dale el formato 2018-11-1 a la fecha 2018-11-01.

Modificadores relacionados con gráficos

En la siguiente tabla, se enumeran los modificadores relacionados con el gráfico que puedes usar para crear la consulta de búsqueda:

Nombre del modificador	Descripción	Ejemplo
id	Filtra por identificador de grafo.	id:g675a2fd4c8834e288af
name	Filtra por nombre de gráfico.	name:Example-name
owner	Filtra por gráficos que pertenecen al usuario.	owner:example_user
group	Filtra por gráficos que pertenecen a un grupo.	group:example
visible_to_user	Filtra por gráficos visibles para el usuario.	visible_to_user:example_user
visible_to_group	Filtra por gráficos visibles para el grupo.	visible_to_group:example
private	Filtra por gráficos privados.	private:true, private:false
creation_date	Filtra por la fecha de creación del gráfico.	creation_date:2018-11-15
last_modified_date	Filtra por la fecha de la última modificación del gráfico.	last_modified_date:2018-11-20
total_nodes	Filtra por gráficos que contienen una cantidad específica de nodos.	total_nodes:100
comments_count	Filtra por la cantidad de comentarios en el gráfico.	comments_count:10+
views_count	Filtra por la cantidad de vistas de gráfico.	views_count:1000+

Modificadores relacionados con los nodos

En la siguiente tabla, se enumeran los modificadores relacionados con el gráfico que puedes usar para crear la consulta de búsqueda:

Nombre del modificador	Descripción	Ejemplo
label	Filtra por gráficos que contengan nodos con una etiqueta específica.	label:Kill switch
file	Filtra por gráficos que contienen el archivo específico.	file:131f95c51cc819465fa17
domain	Filtra por gráficos que contienen el dominio específico.	domain:example.com
ip_address	Filtra por gráficos que contienen la dirección IP específica.	ip_address:203.0.113.1
url	Filtra por gráficos que contienen la URL específica.	url:https://example.com/example/
actor	Filtra por gráficos que contienen el actor específico.	actor:example actor
victim	Filtra por gráficos que contienen la víctima específica.	victim:example_user
email	Filtra por gráficos que contienen la dirección de correo electrónico específica.	email:[e-mail]
department	Filtra por gráficos que contienen el departamento específico.	department:engineers

Resultados de la acción

La acción Buscar grafos proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Buscar gráficos:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Mensajes de salida

La acción Search Graphs puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	La acción se realizó correctamente.
Error executing action "Search Graphs". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Buscar gráficos:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Establecer el análisis de alertas de DTM

Usa la acción Set DTM Alert Analysis para definir un análisis de una alerta de Digital Threat Monitoring (DTM) en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Set DTM Alert Analysis requiere los siguientes parámetros:

Parámetro	Descripción
Alert ID	Obligatorio. Es el ID de la alerta a la que se agregará el análisis.
Text	Obligatorio. Es el análisis que se agregará a la alerta.
Attachment File Paths	Es opcional. Es una lista separada por comas de las rutas de acceso de los archivos que se adjuntarán a la alerta. Se admite un máximo de 10 archivos adjuntos.

Resultados de la acción

La acción Set DTM Alert Analysis proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Es el resultado de la secuencia de comandos.	Disponible

Mensajes de salida

La acción Set DTM Alert Analysis puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Set DTM Alert Analysis:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Enviar archivo

Usa la acción Enviar archivo para enviar un archivo y devolver resultados de Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Esta acción es asíncrona. Ajusta el valor del tiempo de espera de la secuencia de comandos en el entorno de desarrollo integrado (IDE) de Google SecOps para la acción según sea necesario.

Entradas de acción

La acción Enviar archivo requiere los siguientes parámetros:

Parámetro	Descripción
GTI Score	Es opcional. Es la puntuación de Google Threat Intelligence que se usa para establecer la propiedad is_risky en true en el resultado JSON. Esta condición se valida junto con la información del veredicto de Google Threat Intelligence. Si no se proporciona ningún valor, la acción ignora la puntuación de Google Threat Intelligence. El valor predeterminado es 60.
Engine Threshold	Es opcional. Es la cantidad mínima de motores de seguridad que deben marcar una entidad como maliciosa o sospechosa para establecer la propiedad is_risky en true. Esta condición se valida junto con la información del veredicto de Google Threat Intelligence. Si Engine Allowlist contiene valores, solo se cuentan los resultados de esos motores específicos. Si no se proporciona ningún valor, la acción ignora los cálculos del recuento de motores.
Engine Percentage Threshold	Es opcional. Es el porcentaje mínimo de motores de seguridad que deben marcar una entidad como maliciosa o sospechosa para establecer la propiedad is_risky en true (0 y 100). Si Engine Allowlist contiene valores, el porcentaje se calcula solo a partir de esos motores específicos. Si se proporcionan Engine Threshold y Engine Percentage Threshold, Engine Threshold tiene prioridad. Si no se proporciona ningún valor, la acción ignora los cálculos de porcentaje.
Engine Allowlist	Es opcional. Es una lista separada por comas de los motores de seguridad que se usarán para determinar la actividad maliciosa (por ejemplo, AlienVault,Kaspersky). Los motores que no devuelven información sobre una entidad se excluyen de los cálculos de Engine Threshold y Engine Percentage Threshold. Si no se proporciona ningún valor, la acción recupera los resultados de todos los motores disponibles.
External URLs	Es opcional. Es una lista separada por comas de las URLs públicas de los archivos que se enviarán. Si se proporcionan tanto la "URL externa" como las "Rutas de acceso a archivos", la acción recopilará archivos de ambas entradas.
File Paths	Es opcional. Es una lista separada por comas de rutas de acceso de archivos absolutas. Si configuras el parámetro **Dirección del servidor Linux**, la acción intentará recuperar el archivo de un servidor remoto. Si se proporcionan tanto la "URL externa" como las "Rutas de acceso a archivos", la acción recopilará archivos de ambas entradas.
Check Hash First	Es opcional. Valor predeterminado: Inhabilitado. Si se habilita, la acción primero calculará los hashes de los archivos y la búsqueda, si hay información disponible para ello. Si está disponible, se devolverá la información sin el flujo de envío.
Resubmit After (Days)	Es opcional. Es la cantidad de días que la acción debe esperar antes de volver a enviar el archivo (incluso si el hash está disponible para el archivo en la base de datos de GTI). Debes habilitar Check Hash First para usar este parámetro. El valor predeterminado es 30.
Fetch MITRE Details	Es opcional. Si se selecciona, la acción devuelve la información sobre las técnicas y tácticas de MITRE relacionadas. No se selecciona de forma predeterminada.
Lowest MITRE Technique Severity	Es opcional. Es la gravedad más baja de la técnica de MITRE que se devolverá. La acción trata la gravedad Unknown como Info. Este parámetro solo admite la entidad Hash. El valor predeterminado es Low.
Private Submission	Es opcional. Si se selecciona, la acción envía el archivo en un modo privado. Para enviar archivos de forma privada, se requiere la API de VirusTotal Premium.
Retrieve Comments	Es opcional. Si se selecciona, la acción recupera los comentarios sobre el archivo enviado.
Max Comments To Return	Es opcional. Es la cantidad máxima de comentarios que se devolverán en cada ejecución de la acción.
Linux Server Address	Es opcional. Es la dirección IP del servidor remoto de Linux en el que se encuentra el archivo.
Linux Username	Es opcional. Es el nombre de usuario del servidor remoto de Linux en el que se encuentra el archivo.
Linux Password	Es opcional. Es la contraseña del servidor remoto de Linux en el que se encuentra el archivo.
ZIP Password	Es opcional. Una contraseña para la carpeta comprimida que contiene los archivos que se enviarán.

Resultados de la acción

La acción Enviar archivo proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	Disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Es el resultado de la secuencia de comandos.	Disponible

Vínculo al muro de casos

La acción Enviar archivo puede devolver el siguiente vínculo:

Vínculo del informe PATH: URL

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Enviar archivo:

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

Mensajes de salida

La acción Enviar archivo puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	La acción se realizó correctamente.
Error executing action "Submit File". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Error executing action "Submit File". Reason: ERROR_REASON	No hay valores de "Rutas de acceso de archivos" ni "URLs externas" Al menos uno de los parámetros "Rutas de acceso de archivos" o "URLs externas" debe tener un valor.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Enviar archivo:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Actualiza un problema de ASM

Usa la acción Actualizar problema de ASM para actualizar un problema de ASM en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Actualizar problema de ASM requiere los siguientes parámetros:

Parámetro	Descripción
Issue ID	Obligatorio. Es el ID del problema que se actualizará.
Status	Obligatorio. Es el estado nuevo que se establecerá para el problema. Los valores posibles son los siguientes: Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated El valor predeterminado es Select One. Si usas el valor predeterminado, la acción fallará.

Resultados de la acción

La acción Actualizar problema de ASM proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Actualizar problema de ASM:

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

Mensajes de salida

La acción Actualizar problema de ASM puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	La acción se realizó correctamente.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Actualizar problema de ASM:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Actualiza la alerta de DTM

Usa la acción Actualizar alerta de DTM para actualizar una alerta de Digital Threat Monitoring de Mandiant en Google Threat Intelligence.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Actualizar alerta de DTM requiere los siguientes parámetros:

Parámetros	Descripción
Alert ID	Obligatorio. Es el ID de la alerta que se actualizará.
Status	Es opcional. Es el estado nuevo que se establecerá para la alerta. Los valores posibles son los siguientes: Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally El valor predeterminado es Select One. Si usas el valor predeterminado, la acción fallará.

Resultados de la acción

La acción Actualizar alerta de DTM proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Actualizar alerta de DTM:

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

Mensajes de salida

La acción Update DTM Alert puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	La acción se realizó correctamente.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Actualizar alerta de DTM:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Conectores

Para obtener más información sobre cómo configurar conectores en Google SecOps, consulta Transferir tus datos (conectores).

Nota: Para evitar la pérdida de datos, los conectores utilizan la unificación de eventos. Si una alerta sin procesar contiene una lista de entidades (como varias direcciones de correo electrónico, nombres de host o direcciones IP), los conectores las aplanan automáticamente en eventos independientes y únicos.

Por ejemplo, una sola alerta sin procesar que contiene tres direcciones de correo electrónico diferentes se transfiere como tres eventos separados, cada uno con una dirección de correo electrónico distinta.

Este proceso garantiza que cada entidad se indexe correctamente como un recurso único, lo que permite que se pueda buscar y usar en las guías.

Google Threat Intelligence: Conector de alertas de DTM

Usa el conector de alertas de Google Threat Intelligence - DTM para recuperar alertas de Google Threat Intelligence. Para trabajar con una lista dinámica, usa el parámetro alert_type.

Entradas del conector

El conector de alertas de Google Threat Intelligence - DTM requiere los siguientes parámetros:

Parámetro	Descripción
Product Field Name	Obligatorio. Es el nombre del campo en el que se almacena el nombre del producto. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada. El valor predeterminado es Product Name.
Event Field Name	Obligatorio. Es el nombre del campo que determina el nombre del evento (subtipo). El valor predeterminado es event_type.
Environment Field Name	Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo environment, el conector usa el valor predeterminado. El valor predeterminado es "".
Environment Regex Pattern	Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo de entorno con la lógica de expresiones regulares. Usa el valor predeterminado .* para recuperar el valor sin procesar de Environment Field Name requerido. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Script Timeout	Obligatorio. Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es 180.
API Root	Obligatorio. Es la raíz de la API de la instancia de Google Threat Intelligence. El valor predeterminado es https://www.virustotal.com.
API Key	Obligatorio. La clave de API de Google Threat Intelligence.
Lowest Severity To Fetch	Es opcional. Es la gravedad más baja de las alertas que se recuperarán. Si no configuras este parámetro, el conector transferirá alertas con todos los niveles de gravedad. Los valores posibles son los siguientes: Low Medium High
Monitor ID Filter	Es opcional. Es una lista separada por comas de los IDs de supervisión para recuperar las alertas.
Monitor Name Filter	Es opcional. Es una lista separada por comas de los nombres de los supervisores de los que se recuperarán las alertas. Si varios monitores comparten el mismo nombre, el conector transfiere datos de todos ellos. Este parámetro se evalúa junto con los valores de ID de supervisión con la lógica OR.
Event Type Filter	Es opcional. Es una lista separada por comas de los tipos de eventos que se devolverán. La entrada no distingue mayúsculas de minúsculas. Si no se proporciona ningún valor, el conector procesa todos los tipos de eventos. Para excluir un tipo específico, agrega un signo de exclamación como prefijo (por ejemplo, !event_type).
Disable Overflow	Es opcional. Si se selecciona, el conector ignora el mecanismo de desbordamiento de Google SecOps. Habilitada de forma predeterminada.
Max Hours Backwards	Obligatorio. Es la cantidad de horas previas al momento actual para recuperar alertas. Este parámetro se puede aplicar a la iteración inicial del conector después de que lo habilites por primera vez o al valor de resguardo de una marca de tiempo de conector vencida. El valor predeterminado es 1.
Max Alerts To Fetch	Obligatorio. Es la cantidad de alertas que se procesarán en cada iteración del conector. El valor máximo es 25. El valor predeterminado es 25.
Use dynamic list as a blocklist	Obligatorio. Si se selecciona, el conector usa la lista dinámica como una lista de entidades bloqueadas. No se selecciona de forma predeterminada.
Verify SSL	Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google Threat Intelligence. Habilitada de forma predeterminada.
Proxy Server Address	Es opcional. Es la dirección del servidor proxy que se usará.
Proxy Username	Es opcional. Es el nombre de usuario del proxy con el que se autenticará.
Proxy Password	Es opcional. Es la contraseña del proxy con la que se realizará la autenticación.
Anonymize Passwords	Es opcional. Si se selecciona, el conector anonimiza los campos de contraseña en los datos de alerta reemplazando los caracteres por asteriscos, de modo que solo queden visibles el primer y el último carácter.

Reglas del conector

El conector de alertas de Google Threat Intelligence - DTM admite proxies.

Eventos de conectores

Hay dos tipos de eventos para el conector de alertas de DTM de Google Threat Intelligence: un evento que se basa en la alerta principal y un evento que se basa en un tema.

A continuación, se muestra un ejemplo del evento del conector basado en la alerta principal:

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

A continuación, se muestra un ejemplo del evento del conector basado en un tema:

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence: Conector de alertas de GTI

Usa el conector de alertas de Google Threat Intelligence (GTI) para recuperar alertas, hallazgos, documentos y entidades asociadas de inteligencia de la Web oscura de Google Threat Intelligence.

Este conector usa la lista dinámica para filtrar los valores de detailType.

Caso de uso

El conector de alertas de Google Threat Intelligence (GTI) ayuda a los equipos de operaciones de seguridad a automatizar la transferencia y la clasificación de la inteligencia de la Web oscura (DWI) y las alertas de amenazas en Google SecOps. Para cada alerta transferida, el conector asigna la alerta principal, los hallazgos relacionados, los documentos de la Web oscura y los indicadores de compromiso (IOC) de varios valores a eventos discretos de Google SecOps para la investigación y respuesta automatizadas.

Entradas del conector

Configura este conector con los siguientes parámetros:

Parámetro	Descripción
DeviceProductField	Obligatorio. Es el nombre del campo que determina el producto del dispositivo. El valor predeterminado es Product Name.
EventClassId	Obligatorio. Es el nombre del campo que determina el nombre del evento (subtipo). El valor predeterminado es eventType.
PythonProcessTimeout	Obligatorio. Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es 180.
Environment Field Name	Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo environment, el conector usa el valor predeterminado.
Environment Regex Pattern	Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo de entorno con la lógica de expresiones regulares. Usa el valor predeterminado .* para recuperar el valor sin procesar de Environment Field Name requerido. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
API Root	Obligatorio. Es la raíz de la API de la instancia de Google Threat Intelligence, incluida la ruta de acceso del proyecto de Google Cloud (por ejemplo, https://threatintelligence.googleapis.com/v1beta/projects/YOUR_PROJECT_ID). El valor predeterminado es https://threatintelligence.googleapis.com.
API Key	Obligatorio. La clave de API de Google Threat Intelligence.
Lowest Severity To Fetch	Es opcional. Es la gravedad más baja de las alertas que se recuperarán. Si no configuras este parámetro, el conector transferirá alertas con todos los niveles de gravedad. Los valores posibles son los siguientes: Critical High Medium Low Informational
Alert Type Filter	Es opcional. Es una lista separada por comas de valores detailType de alertas de la Web oscura que se recuperarán (por ejemplo, data_leak, insider_threat, initial_access_broker, target_technology).
Max Hours Backwards	Obligatorio. Es la cantidad de horas antes de la iteración inicial del conector desde la que se recuperarán las alertas. El valor predeterminado es 1.
Max Alerts To Fetch	Obligatorio. Es la cantidad máxima de alertas que se procesarán por iteración del conector. El valor máximo es 100. El valor predeterminado es 25.
Use dynamic list as a blocklist	Obligatorio. Si se selecciona, el conector usa la lista dinámica como una lista de entidades bloqueadas.
Verify SSL	Obligatorio. Si se selecciona, el conector verifica que el certificado SSL para conectarse a Google Threat Intelligence sea válido. Habilitada de forma predeterminada.
Disable Overflow	Es opcional. Si se selecciona, el conector ignora el mecanismo de desbordamiento de Google SecOps. Habilitada de forma predeterminada.
Proxy Server Address	Es opcional. Es la dirección del servidor proxy que se usará.
Proxy Username	Es opcional. Es el nombre de usuario del proxy con el que se autenticará.
Proxy Password	Es opcional. Es la contraseña del proxy con la que se realizará la autenticación.

Compatibilidad con proxy

El conector admite proxies.

Eventos de conectores

En el siguiente ejemplo, se muestra un evento personalizado generado por el conector de alertas de Google Threat Intelligence (GTI):

{
  "name": "projects/gti-project/alerts/alert-123",
  "displayName": "Leaked Credentials Alert",
  "detail_detailType": "leaked_credentials",
  "detail_leakedCredentials_severity": "HIGH",
  "severityAnalysis_severityLevel": "SEVERITY_LEVEL_HIGH",
  "priorityAnalysis_priorityLevel": "PRIORITY_LEVEL_HIGH",
  "aiSummary": "Leaked credentials detected for Cymbal Bank.",
  "audit_createTime": "2026-09-15T10:00:00Z",
  "audit_updateTime": "2026-09-15T10:00:00Z",
  "eventType": "Alert",
  "id": "projects/gti-project/alerts/alert-123",
  "title": "Leaked Credentials Alert",
  "alert_type": "leaked_credentials",
  "severity": "HIGH",
  "priority": "HIGH",
  "ai_summary": "Leaked credentials detected for Cymbal Bank.",
  "created_at": "2026-09-15T10:00:00Z"
}

Google Threat Intelligence: Conector de problemas de ASM

Usa el conector de problemas de ASM de Google Threat Intelligence para recuperar información sobre los problemas de ASM de Google Threat Intelligence. Para trabajar con el filtro de lista dinámico, usa el parámetro category.

Entradas del conector

El conector de problemas de ASM de Google Threat Intelligence requiere los siguientes parámetros:

Parámetro	Descripción
Product Field Name	Obligatorio. Es el nombre del campo en el que se almacena el nombre del producto. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada. El valor predeterminado es Product Name.
Event Field Name	Obligatorio. Es el nombre del campo que determina el nombre del evento (subtipo). El valor predeterminado es entity_type.
Environment Field Name	Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo environment, el conector usa el valor predeterminado. El valor predeterminado es "".
Environment Regex Pattern	Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo de entorno con la lógica de expresiones regulares. Usa el valor predeterminado .* para recuperar el valor sin procesar de Environment Field Name requerido. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Script Timeout	Obligatorio. Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es 180.
API Root	Obligatorio. Es la raíz de la API de la instancia de Google Threat Intelligence. El valor predeterminado es https://www.virustotal.com.
API Key	Obligatorio. La clave de API de Google Threat Intelligence.
Project Name	Es opcional. Es el nombre del proyecto de ASM. Si no estableces un valor, solo se devuelven las alertas de las colecciones del proyecto principal.
Active Group	Es opcional. Es el identificador del grupo activo (contexto de la organización) para entornos de múltiples usuarios. Esto es necesario si tus proyectos de ASM residen en una organización diferente de la principal.
Lowest Severity To Fetch	Es opcional. Es la gravedad más baja de las alertas que se recuperarán. Si no configuras este parámetro, el conector transferirá alertas con todos los niveles de gravedad. Los valores posibles son los siguientes: Critical High Medium Low Informational
Issue Name Filter	Es opcional. Es una lista separada por comas de los problemas que se deben transferir. La entrada distingue mayúsculas de minúsculas. Si los nombres se enumeran directamente, el conector usa un filtro de inclusión y solo transfiere los problemas que coinciden. Para excluir problemas específicos, agrega un signo de exclamación antes del nombre (como !issue_name). Si no se proporciona ningún valor, no se aplica el filtro y se transfieren todos los problemas.
Status Filter	Es opcional. Es una lista separada por comas de los estados de los problemas que se transferirán. Si no se proporciona ningún valor, el conector solo procesa los problemas abiertos. Los valores posibles son los siguientes: Open Closed El valor predeterminado es Open.
Event Type Filter	Es opcional. Es una lista separada por comas de los tipos de eventos que se devolverán. La entrada no distingue mayúsculas de minúsculas. Si no se proporciona ningún valor, el conector procesa todos los tipos de eventos. Para excluir un tipo específico, agrega un signo de exclamación como prefijo (por ejemplo, !event_type).
Max Hours Backwards	Obligatorio. Es la cantidad de horas previas al momento actual para recuperar alertas. Este parámetro se puede aplicar a la iteración inicial del conector después de que lo habilites por primera vez o al valor de resguardo de una marca de tiempo de conector vencida. El valor predeterminado es 1.
Max Issues To Fetch	Obligatorio. Es la cantidad de problemas que se procesarán en cada iteración del conector. El valor máximo es 100. El valor predeterminado es 10.
Disable Overflow	Es opcional. Si se selecciona, el conector ignora el mecanismo de desbordamiento de Google SecOps. Habilitada de forma predeterminada.
Use dynamic list as a blocklist	Obligatorio. Si se selecciona, el conector usa la lista dinámica como una lista de entidades bloqueadas. No se selecciona de forma predeterminada.
Verify SSL	Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google Threat Intelligence. Habilitada de forma predeterminada.
Proxy Server Address	Es opcional. Es la dirección del servidor proxy que se usará.
Proxy Username	Es opcional. Es el nombre de usuario del proxy con el que se autenticará.
Proxy Password	Es opcional. Es la contraseña del proxy con la que se realizará la autenticación.

Eventos de conectores

El ejemplo del evento Google Threat Intelligence - ASM Issues Connector es el siguiente:

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence: Conector de Livehunt

Usa el conector de Google Threat Intelligence - Livehunt para recuperar información sobre las notificaciones de Livehunt y sus archivos relacionados de Google Threat Intelligence. Para trabajar con la lista dinámica, usa el parámetro rule_name.

Entradas del conector

El conector de Google Threat Intelligence - Livehunt requiere los siguientes parámetros:

Parámetro	Descripción
Product Field Name	Obligatorio. Es el nombre del campo en el que se almacena el nombre del producto. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada. El valor predeterminado es Product Name.
Event Field Name	Obligatorio. Es el nombre del campo que determina el nombre del evento (subtipo). El valor predeterminado es type.
Environment Field Name	Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo environment, el conector usa el valor predeterminado. El valor predeterminado es "".
Environment Regex Pattern	Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo de entorno con la lógica de expresiones regulares. Usa el valor predeterminado .* para recuperar el valor sin procesar de Environment Field Name requerido. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Script Timeout	Obligatorio. Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es 180.
API Root	Obligatorio. Es la raíz de la API de la instancia de Google Threat Intelligence. El valor predeterminado es https://www.virustotal.com.
API Key	Obligatorio. La clave de API de Google Threat Intelligence.
Entity Type Filter	Es opcional. Es una lista separada por comas de tipos de entidades por los que se filtran las notificaciones (por ejemplo: file, url, domain, ip_address). Si se deja vacía, se transfieren todos los tipos de entidades. El valor predeterminado es file.
Max Hours Backwards	Obligatorio. Es la cantidad de horas previas al momento actual para recuperar alertas. Este parámetro se puede aplicar a la iteración inicial del conector después de que lo habilites por primera vez o al valor de resguardo de una marca de tiempo de conector vencida. El valor predeterminado es 1.
Max Notifications To Fetch	Obligatorio. Es la cantidad de notificaciones que se procesarán en cada iteración del conector. El valor predeterminado es 40.
Disable Overflow	Es opcional. Si se selecciona, el conector ignora el mecanismo de desbordamiento de Google SecOps. Habilitada de forma predeterminada.
Use dynamic list as a blocklist	Obligatorio. Si se selecciona, el conector usa la lista dinámica como una lista de entidades bloqueadas. No se selecciona de forma predeterminada.
Verify SSL	Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google Threat Intelligence. Habilitada de forma predeterminada.
Proxy Server Address	Es opcional. Es la dirección del servidor proxy que se usará.
Proxy Username	Es opcional. Es el nombre de usuario del proxy con el que se autenticará.
Proxy Password	Es opcional. Es la contraseña del proxy con la que se realizará la autenticación.

Reglas del conector

El conector de Livehunt de Google Threat Intelligence admite proxies.

Eventos de conectores

El siguiente es un ejemplo del evento Google Threat Intelligence - Livehunt Connector:

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED >
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.