Intégrez Google Threat Intelligence à Google SecOps

Ce document explique comment intégrer Google Threat Intelligence à Google Security Operations.

Avant de commencer

Pour utiliser cette intégration, vous avez besoin d'une clé API. Pour plus d'informations, consultez Clés API Google Threat Intelligence.

Paramètres d'intégration

L'intégration de Google Threat Intelligence nécessite les paramètres suivants :

Paramètre	Description
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé de l'API Google Threat Intelligence.
ASM Project Name	Facultatif. Nom du projet Mandiant Attack Surface Management (ASM) à utiliser dans l'intégration. Ce paramètre est requis pour exécuter les actions Rechercher les entités ASM, Rechercher les problèmes ASM et Mettre à jour le problème ASM. Si aucune valeur n'est définie, seules les alertes provenant des collections du projet principal seront renvoyées.
Active Group	Facultatif. L'identifiant du groupe actif (contexte d'organisation) pour les environnements multi-locataires. Cela est nécessaire si vos projets ASM se trouvent dans une organisation différente de votre organisation principale.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement, si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour savoir comment configurer et prendre en charge plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente dans Votre bureau et Effectuer une action manuelle.

Ajouter une note de problème ASM

Utilisez l'action Ajouter une note de problème ASM pour ajouter une note technique à un problème de gestion de la surface d'attaque (ASM) dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Ajouter une note de problème ASM nécessite les paramètres suivants :

Paramètre	Description
Alert ID	Obligatoire. ID de l'alerte à modifier.
Text	Obligatoire. Le contenu de l'analyse ou de la note à ajouter à l'alerte.

Sorties d'action

L'action Ajouter une note de problème ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter une note sur le problème ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter une note sur le problème ASM :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter un commentaire à une entité

Utilisez l'action Ajouter un commentaire à une entité pour ajouter des commentaires aux entités Google SecOps dans Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entrées d'action

L'action Ajouter un commentaire à l'entité nécessite les paramètres suivants :

Paramètre	Description
Comment	Obligatoire. Commentaire à ajouter à toutes les entités compatibles.

Sorties d'action

L'action Ajouter un commentaire à l'entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre les résultats JSON obtenus lors de l'utilisation de l'action Ajouter un commentaire à l'entité :

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Messages de sortie

L'action Ajouter un commentaire à l'entité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Ajouter un commentaire à l'entité :

Nom du résultat du script	Valeur
is_success	True ou False

Ajouter une étiquette à l'alerte DTM

Utilisez Ajouter une balise à une alerte DTM pour ajouter des balises à une alerte de surveillance des menaces numériques (DTM) dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Ajouter une étiquette à l'alerte DTM nécessite les paramètres suivants :

Paramètre	Description
Alert ID	Obligatoire. Identifiant unique de l'alerte à mettre à jour.
Mode	Facultatif. Logique opérationnelle de la mise à jour des étiquettes. Les valeurs possibles sont les suivantes : Append: Ajoute les balises spécifiées à la liste de balises existante de l'alerte. Set: Remplace toutes les balises d'alerte existantes par les balises fournies dans Tags. La valeur par défaut est Append.
Tags	Obligatoire. Liste de balises, séparées par des virgules, à appliquer à l'alerte.

Sorties d'action

L'action Ajouter une étiquette à l'alerte DTM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter une étiquette à l'alerte DTM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Ajouter une balise à l'alerte DTM :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter un vote à l'entité

Utilisez l'action Ajouter un commentaire à l'entité pour ajouter des votes aux entités Google SecOps dans Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entrées d'action

L'action Ajouter un vote à l'entité nécessite les paramètres suivants :

Paramètre	Description
Vote	Obligatoire. Un vote pour ajouter à la liste des entités prises en charge. Voici les valeurs possibles : Harmless Malicious La valeur par défaut est Malicious.

Sorties d'action

L'action Ajouter un vote à l'entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Ajouter un vote à l'entité :

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Messages de sortie

L'action Ajouter un vote à l'entité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Ajouter un vote à l'entité :

Nom du résultat du script	Valeur
is_success	True ou False

Télécharger le fichier

Utilisez l'action Télécharger le fichier pour télécharger un fichier depuis Google Threat Intelligence.

Cette action s'exécute sur l'entité Hash de Google SecOps.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Entrées d'action

L'action Télécharger le fichier nécessite les paramètres suivants :

Paramètre	Description
Download Folder Path	Obligatoire. Chemin d'accès au dossier où stocker les fichiers téléchargés.
Overwrite	Obligatoire. Si cette option est sélectionnée, l'action écrasera un fichier existant avec le nouveau fichier si les noms de fichiers sont identiques. Cette option est activée par défaut.

Sorties d'action

L'action Télécharger le fichier fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Télécharger le fichier :

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

Messages de sortie

L'action Télécharger le fichier peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Download File". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Enrichir les entités

Utilisez l'action Enrichir les entités pour enrichir les entités avec des informations provenant de Google Threat Intelligence.

Cette action est compatible avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• CVE
• Domain
• Hash (y compris CHILDHASH et PARENTHASH)
• Hostname
• IP Address
• Threat Actor
• URL

Entrées d'action

L'action Enrichir les entités nécessite les paramètres suivants :

Paramètre	Description
GTI Score	Facultatif. Score minimal de Google Threat Intelligence requis pour marquer une entité Google SecOps comme suspecte. Cette condition est validée en même temps que les informations sur le verdict de Google Threat Intelligence. Ce paramètre n'accepte que les entités IP Address, URL, Hostname, Domain et Hash. Si aucune valeur n'est fournie, l'action ignore les valeurs du score Google Threat Intelligence. La valeur par défaut est 60.
Engine Threshold	Facultatif. Nombre minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour que Google SecOps la marque comme suspecte. Cette condition est validée en même temps que les informations sur le verdict de Google Threat Intelligence. Ce paramètre n'accepte que les entités IP Address, URL, Hostname, Domain et Hash. Si Engine Allowlist contient des valeurs, l'action ne comptabilise que les résultats de ces moteurs spécifiques. Si aucune valeur n'est fournie, l'action ignore les calculs du moteur.
Engine Percentage Threshold	Facultatif. Pourcentage minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour que Google SecOps la marque comme suspecte. Ce paramètre n'accepte que les entités IP Address, URL, Hostname, Domain et Hash. Si Engine Allowlist contient des valeurs, l'action ne calcule le pourcentage qu'à partir de ces moteurs spécifiques. Si les options Engine Threshold et Engine Percentage Threshold sont fournies, Engine Threshold prévaut. Si aucune valeur n'est fournie, l'action ignore les calculs du moteur. La valeur maximale est de 100. La valeur minimale est 0.
Engine Allowlist	Facultatif. Liste des moteurs de sécurité séparés par une virgule, utilisés pour récupérer des informations sur la malveillance (par exemple, AlienVault,Kaspersky). Si aucune valeur n'est fournie, l'action récupère les résultats de tous les moteurs disponibles. Les moteurs qui ne renvoient pas d'informations sur une entité sont exclus des calculs Engine Threshold et Engine Percentage Threshold.
Resubmit Entity	Facultatif. Si cette option est sélectionnée, l'action renvoie les entités pour analyse au lieu d'utiliser les informations sur les entités de l'exécution de l'action précédente. Ce paramètre n'accepte que les entités URL et Hash. (non sélectionné par défaut).
Resubmit After (Days)	Facultatif. Nombre de jours pendant lesquels l'action doit attendre avant de renvoyer l'entité. Pour utiliser ce paramètre, sélectionnez le paramètre Resubmit Entity. La valeur par défaut est 30. Ce paramètre n'accepte que les entités URL et Hash.
Sandbox	Facultatif. Liste de noms de bacs à sable à analyser, séparés par une virgule, par exemple VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO. Ce paramètre n'accepte que l'entité Hash. Si vous ne définissez pas ce paramètre, l'action utilise le bac à sable par défaut, qui est VirusTotal Jujubox.
Retrieve Sandbox Analysis	Facultatif. Si cette option est sélectionnée, l'action récupère l'analyse du bac à sable pour l'entité et crée une section distincte pour chaque bac à sable dans le résultat JSON. L'action renvoie des données pour les bacs à sable que vous avez configurés dans le paramètre Sandbox. Ce paramètre n'accepte que l'entité Hash. (non sélectionné par défaut).
Fetch MITRE Details	Facultatif. Si cette option est sélectionnée, l'action renvoie des informations sur les techniques et tactiques MITRE associées. Ce paramètre n'accepte que l'entité Hash. (non sélectionné par défaut).
Lowest MITRE Technique Severity	Facultatif. Niveau de gravité le plus faible de la technique MITRE à renvoyer. L'action traite la gravité Unknown comme Info. Ce paramètre ne prend en charge que l'entité Hash. Voici les valeurs possibles : High Medium Low Info La valeur par défaut est Medium.
Retrieve Comments	Facultatif. Si cette option est sélectionnée, l'action récupère les commentaires relatifs à l'entité. Ce paramètre prend en charge les entités suivantes : Domain Hash Hostname IP Address URL
Widget Theme	Facultatif. Style visuel appliqué au widget augmenté du CIO. Les valeurs possibles sont les suivantes : Dark Dark Blue Light La valeur par défaut est Dark Blue.
Max Comments To Return	Facultatif. Nombre maximal de commentaires à renvoyer pour chaque action exécutée. La valeur par défaut est 10.

Sorties d'action

L'action Enrichir les entités fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement des entités	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Lien vers le mur des cas

L'action Enrichir les entités peut renvoyer les liens suivants :

• CIO : https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• Acteur menaçant : https://www.virustotal.com/gui/collection/threat-actor--ID

• Vulnérabilité : https://www.virustotal.com/gui/collection/vulnerability--ID

Table d'enrichissement des entités

1. L'action Enrich Entities prend en charge l'enrichissement d'entités suivant pour les adresses IP  :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_owner	as_owner	Lorsqu'il est disponible dans le résultat JSON.
GTI_asn	asn	Lorsqu'il est disponible dans le résultat JSON.
GTI_continent	continent	Lorsqu'il est disponible dans le résultat JSON.
GTI_country	country	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_certificate_valid_not_after	validity/not_after	Lorsqu'il est disponible dans le résultat JSON.
GTI_certificate_valid_not_before	validity/not_before	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.

2. L'action Enrich Entities prend en charge l'enrichissement d'entités suivant pour URL :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_title	title	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_code	last_http_response_code	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_names	Comma-separated list of threat_names	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Lorsqu'il est disponible dans le résultat JSON.

3. L'action Enrich Entities prend en charge l'enrichissement d'entités suivant pour Hash :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_magic	magic	Lorsqu'il est disponible dans le résultat JSON.
GTI_md5	md5	Lorsqu'il est disponible dans le résultat JSON.
GTI_sha1	sha1	Lorsqu'il est disponible dans le résultat JSON.
GTI_sha256	sha256	Lorsqu'il est disponible dans le résultat JSON.
GTI_ssdeep	ssdeep	Lorsqu'il est disponible dans le résultat JSON.
GTI_tlsh	tlsh	Lorsqu'il est disponible dans le résultat JSON.
GTI_vhash	vhash	Lorsqu'il est disponible dans le résultat JSON.
GTI_meaningful_name	meaningful_name	Lorsqu'il est disponible dans le résultat JSON.
GTI_magic	Comma-separated list of names	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. L'action Enrich Entities prend en charge l'enrichissement d'entités suivant pour Domain/Hostname :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Lorsqu'il est disponible dans le résultat JSON.

5. L'action Enrichir les entités prend en charge l'enrichissement d'entités suivant pour Acteur de menace :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_motivations	Csv of motivations/name	Lorsqu'il est disponible dans le résultat JSON.
GTI_aliases	Csv of alt_names_details/value	Lorsqu'il est disponible dans le résultat JSON.
GTI_industries	Csv of targeted_industries/value	Lorsqu'il est disponible dans le résultat JSON.
GTI_malware	Csv of malware/name	Lorsqu'il est disponible dans le résultat JSON.
GTI_source_region	CSV of source_regions_hierarchy/country	Lorsqu'il est disponible dans le résultat JSON.
GTI_target_region	Csv of targeted_regions_hierarchy/country	Lorsqu'il est disponible dans le résultat JSON.
GTI_origin	origin	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	description	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_activity_time	last_activity_time	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	We craft it.	Lorsqu'il est disponible dans le résultat JSON.

6. L'action Enrich Entities prend en charge l'enrichissement d'entités suivant pour Vulnerability :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_sources	Csv of source_name	Lorsqu'il est disponible dans le résultat JSON.
GTI_exploitation_state	exploitation_state	Lorsqu'il est disponible dans le résultat JSON.
GTI_date_of_disclosure	date_of_disclosure	Lorsqu'il est disponible dans le résultat JSON.
GTI_vendor_fix_references	vendor_fix_references/url	Lorsqu'il est disponible dans le résultat JSON.
GTI_exploitation_vectors	Csv of exploitation_vectors	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	description	Lorsqu'il est disponible dans le résultat JSON.
GTI_risk_rating	risk_rating	Lorsqu'il est disponible dans le résultat JSON.
GTI_available_mitigation	CSV of available_mitigation	Lorsqu'il est disponible dans le résultat JSON.
GTI_exploitation_consequence	exploitation_consequence	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	We craft it.	Lorsqu'il est disponible dans le résultat JSON.

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu pour les IOC (entités IP, Hash, URL, Domain et Hostname) lors de l'utilisation de l'action Enrichir les entités :

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

L'exemple suivant illustre le résultat JSON obtenu pour les vulnérabilités lors de l'utilisation de l'action Enrichir les entités :

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

L'exemple suivant montre le résultat JSON obtenu pour les acteurs de menace lors de l'utilisation de l'action Enrichir les entités :

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

Messages de sortie

L'action Enrichir les entités peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	L'action a réussi.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Enrichir les entités :

Nom du résultat du script	Valeur
is_success	True ou False

Enrichir les COI

Utilisez l'action Enrichir les IOC pour enrichir les indicateurs de compromission (IoC) à l'aide des informations de Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Enrichir les IOC requiert les paramètres suivants :

Paramètre	Description
IOC Type	Facultatif. Le type de CIO à enrichir. Les valeurs possibles sont les suivantes : Filehash URL Domain IP Address La valeur par défaut est Filehash.
IOCs	Obligatoire. Liste d'IOC séparés par des virgules pour l'ingestion de données.
Widget Theme	Facultatif. Style visuel appliqué au widget augmenté du CIO. Les valeurs possibles sont les suivantes : Dark Dark Blue Light La valeur par défaut est Dark Blue.

Sorties d'action

L'action Enrichir les IOC fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Lien vers le mur des cas

L'action Enrichir les IOC peut fournir le lien suivant pour chaque entité enrichie :

Nom : Lien du rapport

Valeur : URL

Tableau du mur des cas

L'action Enrich IOCs peut fournir le tableau suivant pour chaque entité enrichie :

Nom de la table : IOC_ID

Colonnes du tableau :

• Nom
• Catégorie
• Méthode
• Résultat

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Enrich IOCs :

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

Messages de sortie

L'action Enrich IOCs peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	L'action a réussi.
Error executing action "Enrich IOC". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Enrichir les IOC :

Nom du résultat du script	Valeur
is_success	True ou False

Exécuter la recherche IOC

Utilisez l'action Exécuter la recherche IOC pour exécuter la recherche IOC dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Exécuter la recherche IOC nécessite les paramètres suivants :

Paramètre	Description
Search Query	Obligatoire. Une requête de recherche à exécuter, telle que crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return	Facultatif. Nombre maximal de résultats à renvoyer pour chaque action exécutée. La valeur maximale est de 200. La valeur par défaut est 50.

Sorties d'action

L'action Exécuter la recherche IOC fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Exécuter la recherche IOC :

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

Messages de sortie

L'action Exécuter la recherche IOC peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	L'action a réussi.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Exécuter la recherche IOC :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les détails de l'entité ASM

Utilisez l'action Obtenir les détails de l'entité ASM pour obtenir des informations sur une entité ASM dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir les détails de l'entité ASM nécessite les paramètres suivants :

Paramètre	Description
Entity ID	Obligatoire. Liste d'identifiants d'entités séparés par des virgules pour obtenir des détails.

Sorties d'action

L'action Obtenir les détails de l'entité ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Obtenir les détails de l'entité ASM :

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED —>
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

Messages de sortie

L'action Obtenir les détails de l'entité ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	L'action a réussi.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Obtenir les détails de l'entité ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les détails du graphique

Utilisez l'action Obtenir les détails du graphique pour obtenir des informations détaillées sur les graphiques dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir les détails du graphique nécessite les paramètres suivants :

Paramètre	Description
Graph ID	Obligatoire. Liste d'identifiants de graphes séparés par des virgules pour récupérer les détails.
Max Links To Return	Obligatoire. Le nombre maximal de liens à renvoyer pour chaque graphe. La valeur par défaut est 50.

Sorties d'action

L'action Obtenir les détails du graphique fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir les détails du graphique peut fournir le tableau suivant pour chaque entité enrichie :

Nom du tableau : Graphique GRAPH_ID Liens

Colonnes du tableau :

• Source
• Cible
• Type de connexion

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Obtenir les détails du graphique :

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

Messages de sortie

L'action Obtenir les détails du graphique peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	L'action a réussi.
Error executing action "Get Graph Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Obtenir les détails du graphique :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les associations associées

Utilisez l'action Obtenir les associations associées pour obtenir des informations sur les associations (rapports, campagnes, collections, familles de logiciels malveillants, kits d'outils logiciels, vulnérabilités, acteurs de la menace) liées aux entités dans Google Threat Intelligence.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP address
• URL
• File hash
• Hostname
• Domain

Remarque : Cette action prend uniquement en charge les hachages MD5, SHA-1 et SHA-256.

Entrées d'action

L'action Obtenir les associations associées nécessite les paramètres suivants :

Paramètre	Description
Association Types	Facultatif. Liste d'associations à retourner, séparées par des virgules. Les rapports sont traités une fois toutes les autres associations terminées. Les valeurs possibles sont les suivantes : Report Campaign Collection Malware Family Vulnerability Threat Actor Si aucune valeur n'est fournie, l'action renvoie toutes les associations.
Create Entity	Facultatif. Si cette option est sélectionnée, l'action crée une entité pour les acteurs de menaces, les vulnérabilités et expositions communes (CVE) et les campagnes associées, en la reliant à l'entité d'origine. Seules les entités CVE, Acteur de menace et Campagne sont créées.
Max Associations To Return	Facultatif. Le nombre maximal d'IoC à renvoyer pour chaque entité. La valeur maximale est de 100. La valeur par défaut est 50.

Sorties d'action

L'action Obtenir les associations associées fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Get Related Associations :

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

Messages de sortie

L'action Obtenir les associations associées peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Get Related Associations". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Obtenir les associations associées :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenez les IOC associés

Utilisez l'action Obtenir les IOC associés pour obtenir des informations sur les IOC liés aux entités en utilisant les informations de Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

Entrées d'action

L'action Obtenir les IOC associés nécessite les paramètres suivants :

Paramètre	Description
IOC Types	Obligatoire. Liste d'IOC à extraire, séparés par des virgules. Les valeurs possibles sont les suivantes : IP, Hash, URL, Domain.
Max IOCs To Return	Obligatoire. Le nombre maximal d'IOC à renvoyer pour les types d'IOC sélectionnés pour chaque entité. La valeur par défaut est 40.

Sorties d'action

L'action Obtenir les IOC associés fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Get Related IOCs :

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

Messages de sortie

L'action Obtenir les IOC associés peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	L'action a réussi.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Obtenir les IOC associés :

Nom du résultat du script	Valeur
is_success	True ou False

Ping

Utilisez l'action Ping pour tester la connectivité à Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de résultat suivants :

Message de sortie	Description du message
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	L'action a réussi.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
is_success	True ou False

URL de soumission privée

Utilisez l'action Soumettre une URL privée pour soumettre une URL pour une analyse privée dans Google Threat Intelligence.

Cette action s'exécute sur l'entité Google SecOps suivante :

• URL

Note: Pour une analyse régulière et un enrichissement d'entités, utilisezle Enrichir les entités action plutôt.

Entrées d'action

L'action URL de soumission privée requiert les paramètres suivants :

Paramètre	Description
URL	Facultatif. Liste d'URL à analyser, séparées par des virgules. Le système traite les valeurs saisies ainsi que toutes les entités URL que l'opération détecte.
Check Existing Submissions First	Facultatif. Si cette option est sélectionnée, cette action vérifie l'URL pour détecter d'éventuelles informations de soumission publiques ou privées existantes. Si elle est trouvée, l'action renvoie immédiatement l'information, court-circuitant le flux de soumission. Désactivé par défaut
Resubmit After (Days)	Facultatif. Le nombre minimal de jours qui doivent s'écouler après la dernière date d'analyse publique de l'URL pour que celle-ci puisse être soumise à nouveau. Remarque : Pour utiliser ce paramètre, vous devez activer Check Existing Submissions First. La valeur par défaut est 30.

Sorties d'action

L'action URL de soumission privée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Lien vers le mur des cas

L'action URL de soumission privée peut renvoyer le lien suivant :

Lien du rapport URL: URL to the GTI UI displaying the submission details.

Table d'enrichissement des entités

L'action URL de soumission privée prend en charge l'enrichissement d'entités suivant pour les entités URL lorsque des données sont récupérées à partir d'une soumission publique :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_title	title	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_code	last_http_response_code	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_names	Liste de threat_names séparés par des virgules	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Liste de tags séparés par des virgules	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalised_categories	CSV de gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Lorsqu'il est disponible dans le résultat JSON.

L'action URL de soumission privée prend en charge l'enrichissement d'entités suivant pour les entités URL lorsque des données sont récupérées à partir d'une soumission privée :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_title	title	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_code	last_http_response_code	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Liste de tags séparés par des virgules	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action URL de soumission privée :

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

Messages de sortie

L'action URL de soumission privée peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	L'action a réussi.
Error executing action "Private Submit URL". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action URL de soumission privée :

Nom du résultat du script	Valeur
is_success	true ou false

Recherche d'entités ASM

Utilisez l'action Rechercher des entités ASM pour rechercher des entités ASM dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Rechercher des entités ASM requiert les paramètres suivants :

Paramètre	Description
Project Name	Facultatif. Le nom du projet ASM. Si vous ne définissez pas de valeur, l'action utilise la valeur que vous avez configurée pour le paramètre d'intégration ASM Project Name.
Entity Name	Facultatif. Liste de noms d'entités séparés par des virgules pour rechercher les entités. Cette action considère les noms d'entités contenant des barres obliques / comme des valeurs invalides.
Minimum Vulnerabilities Count	Facultatif. Le nombre minimal de vulnérabilités requis pour que l'action renvoie l'entité.
Minimum Issues Count	Facultatif. Le nombre minimal d'éléments requis pour que l'action renvoie l'entité.
Tags	Facultatif. Liste de noms de balises séparés par des virgules à utiliser lors de la recherche d'entités.
Max Entities To Return	Facultatif. Le nombre d'entités à retourner. La valeur maximale est de 200. La valeur par défaut est 50.
Critical or High Issue	Facultatif. Si cette option est sélectionnée, l'action ne renvoie que les problèmes de gravité High et Critical. Non sélectionné par défaut.

Sorties d'action

L'action Rechercher des entités ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Search ASM Entities :

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

Messages de sortie

L'action Rechercher des entités ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	L'action a réussi.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Rechercher des entités ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Recherche des problèmes ASM

Utilisez l'action Rechercher les problèmes ASM pour rechercher les problèmes ASM dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Rechercher les problèmes ASM nécessite les paramètres suivants :

Paramètre	Description
Project Name	Facultatif. Le nom du projet ASM. Si vous ne définissez pas de valeur, l'action utilise la valeur que vous avez configurée pour le paramètre d'intégration ASM Project Name.
Issue ID	Facultatif. Une liste d'identifiants de problèmes séparés par des virgules pour obtenir les détails.
Entity ID	Facultatif. Liste d'identifiants d'entités séparés par des virgules pour trouver les problèmes associés.
Entity Name	Facultatif. Liste de noms d'entités séparés par des virgules pour trouver les problèmes connexes. Cette action considère les noms d'entités contenant des barres obliques / comme des valeurs invalides.
Time Parameter	Facultatif. Une option de filtre pour définir l'heure de publication. Les valeurs possibles sont First Seen et Last Seen. La valeur par défaut est First Seen.
Time Frame	Facultatif. Une période pour examiner les problèmes. Si vous sélectionnez Custom, configurez le paramètre Start Time. Les valeurs possibles sont les suivantes : Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom La valeur par défaut est Last Hour.
Start Time	Facultatif. L'heure de début des résultats. Si vous avez sélectionné Custom pour le paramètre Time Frame, ce paramètre est obligatoire. Configurez la valeur au format ISO 8601.
End Time	Facultatif. L'heure limite pour les résultats. Si vous avez sélectionné Custom pour le paramètre Time Frame et que vous n'avez pas défini l'heure de fin, ce paramètre utilise l'heure actuelle comme heure de fin. Configurez la valeur au format ISO 8601.
Lowest Severity To Return	Facultatif. Les problèmes les moins graves à réapparaître. Les valeurs possibles sont les suivantes : Select One Critical High Medium Low Informational La valeur par défaut est Select One. Si vous sélectionnez Select One, ce filtre ne s'applique pas à la recherche.
Status	Facultatif. Filtre d'état de la recherche. Les valeurs possibles sont Open, Closed et Select One. La valeur par défaut est Select One. Si vous sélectionnez Select One, ce filtre ne s'applique pas à la recherche.
Tags	Facultatif. Liste de noms de tags séparés par une virgule à utiliser lors de la recherche de problèmes.
Max Issues To Return	Obligatoire. Nombre de problèmes à renvoyer. La valeur maximale est de 200. La valeur par défaut est 50.

Sorties d'action

L'action Rechercher les problèmes ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Search ASM Issues (Rechercher les problèmes ASM) :

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

Messages de sortie

L'action Search ASM Issues (Rechercher les problèmes ASM) peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	L'action a réussi.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Rechercher les problèmes ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Rechercher des graphiques d'entités

Utilisez l'action Search Entity Graphs (Rechercher des graphiques d'entités) pour rechercher des graphiques basés sur des entités Google SecOps dans Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

Entrées d'action

L'action Rechercher des graphes d'entités nécessite les paramètres suivants :

Paramètre	Description
Sort Field	Facultatif. La valeur du champ permettant de trier les résultats. Les valeurs possibles sont les suivantes : Owner Creation Date Last Modified Date Views Count Comments Count La valeur par défaut est Owner.
Max Graphs To Return	Facultatif. Le nombre maximal de graphiques à renvoyer pour chaque exécution d'action. La valeur par défaut est 10.

Sorties d'action

L'action Rechercher des graphes d'entités fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Search Entity Graphs :

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Messages de sortie

L'action Rechercher des graphes d'entités peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	L'action a réussi.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Graphiques de recherche

Utilisez l'action Search Graphs pour rechercher des graphiques en fonction de filtres personnalisés dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Rechercher des graphes nécessite les paramètres suivants :

Paramètre	Description
Query	Obligatoire. Le filtre de requête pour le graphique. Par exemple, pour rechercher des graphiques sur la période sélectionnée, formatez la requête comme suit : creation_date:2018-11-1+creation_date:2018-11-12 Pour plus d'informations sur les requêtes, voir Comment créer des requêtes, Modificateurs liés au graphe et Modificateurs liés aux nœuds.
Sort Field	Facultatif. La valeur du champ permettant de trier les graphiques VirusTotal. Les valeurs possibles sont les suivantes : Comments Count Creation Date Last Modified Date Owner Views Count La valeur par défaut est Owner.
Max Graphs To Return	Facultatif. Le nombre maximal de graphiques à renvoyer pour chaque exécution d'action. La valeur par défaut est 10.

Comment créer des requêtes

Pour affiner les résultats de recherche à partir de graphiques, créez des requêtes contenant modificateurs liés aux graphiques. Pour améliorer la recherche, vous pouvez combiner les modificateurs avec les opérateurs AND, OR et NOT.

Les champs de date et numériques prennent en charge les suffixes plus + et moins -. Un suffixe plus (+) correspond à des valeurs supérieures à la valeur fournie. Un suffixe moins correspond à des valeurs inférieures à la valeur indiquée. Sans suffixe, la requête renvoie des correspondances exactes.

Pour définir des plages, vous pouvez utiliser le même modificateur plusieurs fois dans une requête. Par exemple, pour rechercher les graphiques créés entre le 15/11/2018 et le 20/11/2018, utilisez la requête suivante :

creation_date:2018-11-15+ creation_date:2018-11-20-

Pour les dates ou les mois qui commencent par 0, supprimez le caractère 0 dans la requête. Par exemple, formatez la date 2018-11-01 comme 2018-11-1.

Modificateurs liés aux graphes

Le tableau suivant répertorie les modificateurs liés aux graphes que vous pouvez utiliser pour construire la requête de recherche :

Nom du modificateur	Description	Exemple
id	Filtres par identifiant de graphique.	id:g675a2fd4c8834e288af
name	Filtrer par nom de graphique.	name:Example-name
owner	Filtres par graphiques appartenant à l'utilisateur.	owner:example_user
group	Filtrer par graphiques appartenant à un groupe.	group:example
visible_to_user	Filtres par graphiques visibles pour l'utilisateur.	visible_to_user:example_user
visible_to_group	Filtrer par graphiques visibles pour le groupe.	visible_to_group:example
private	Filtres par graphes privés.	private:true, private:false
creation_date	Filtrer par date de création du graphique.	creation_date:2018-11-15
last_modified_date	Filtrer par date de dernière modification du graphique.	last_modified_date:2018-11-20
total_nodes	Filtre les graphes contenant un nombre spécifique de nœuds.	total_nodes:100
comments_count	Filtrer par le nombre de commentaires dans le graphique.	comments_count:10+
views_count	Filtres par nombre de vues du graphique.	views_count:1000+

Modificateurs liés aux nœuds

Le tableau suivant répertorie les modificateurs liés aux graphes que vous pouvez utiliser pour construire la requête de recherche :

Nom du modificateur	Description	Exemple
label	Filtre les graphes contenant des nœuds avec une étiquette spécifique.	label:Kill switch
file	Filtrer par graphiques contenant le fichier spécifique.	file:131f95c51cc819465fa17
domain	Filtrer par graphiques contenant le domaine spécifique.	domain:example.com
ip_address	Filtrer par graphiques contenant l'adresse IP spécifique.	ip_address:203.0.113.1
url	Filtrer par graphiques contenant l'URL spécifique.	url:https://example.com/example/
actor	Filtrer par graphiques contenant l'acteur spécifique.	actor:example actor
victim	Filtrer par graphiques contenant la victime spécifique.	victim:example_user
email	Filtrer par graphiques contenant l'adresse e-mail spécifique.	email:[e-mail]
department	Filtrer par graphiques contenant le département spécifique.	department:engineers

Sorties d'action

L'action Search Graphs fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Search Graphs :

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Messages de sortie

L'action Search Graphs peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	L'action a réussi.
Error executing action "Search Graphs". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Search Graphs :

Nom du résultat du script	Valeur
is_success	True ou False

Analyse d'alerte DTM

Utilisez l'action Définir l'analyse d'alerte DTM pour définir une analyse pour une alerte de surveillance des menaces numériques (DTM) dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir l'analyse d'alerte DTM nécessite les paramètres suivants :

Paramètre	Description
Alert ID	Obligatoire. L'identifiant de l'alerte à laquelle ajouter l'analyse.
Text	Obligatoire. Analyse à ajouter à l'alerte.
Attachment File Paths	Facultatif. Liste de chemins de fichiers, séparés par des virgules, à joindre à l'alerte. Un maximum de 10 pièces jointes est pris en charge.

Sorties d'action

L'action Définir l'analyse d'alerte DTM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Messages de sortie

L'action Définir l'analyse d'alerte DTM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	L'action a réussi.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Définir l'analyse d'alerte DTM :

Nom du résultat du script	Valeur
is_success	True ou False

Envoyer le fichier

Utilisez l'action Submit File pour soumettre un fichier et obtenir les résultats de Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Cette action est asynchrone. Ajustez la valeur du délai d'expiration du script dans l'environnement de développement intégré (IDE) Google SecOps pour l'action, si nécessaire.

Entrées d'action

L'action Soumettre un fichier requiert les paramètres suivants :

Paramètre	Description
GTI Score	Facultatif. Le score Google Threat Intelligence utilisé pour définir la propriété is_risky sur true dans le résultat JSON. Cette condition est validée en parallèle des informations de verdict de Google Threat Intelligence. Si aucune valeur n'est fournie, l'action ignore le score Google Threat Intelligence. La valeur par défaut est 60.
Engine Threshold	Facultatif. Le nombre minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour définir la propriété is_risky sur true. Cette condition est validée en parallèle des informations de verdict de Google Threat Intelligence. Si Engine Allowlist contient des valeurs, seuls les résultats provenant de ces moteurs spécifiques sont comptabilisés. Si aucune valeur n'est fournie, l'action ignore les calculs du nombre de moteurs.
Engine Percentage Threshold	Facultatif. Le pourcentage minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour définir la propriété is_risky sur true (0 et 100). Si Engine Allowlist contient des valeurs, le pourcentage est calculé uniquement à partir de ces moteurs spécifiques. Si Engine Threshold et Engine Percentage Threshold sont tous deux fournis, Engine Threshold a la priorité. Si aucune valeur n'est fournie, l'action ignore les calculs de pourcentage.
Engine Allowlist	Facultatif. Une liste de moteurs de sécurité séparés par des virgules à utiliser pour déterminer la malveillance (par exemple, AlienVault,Kaspersky). Les moteurs qui ne renvoient pas d'informations sur une entité sont exclus des calculs Engine Threshold et Engine Percentage Threshold. Si aucune valeur n'est fournie, l'action récupère les résultats de tous les moteurs disponibles.
External URLs	Facultatif. Liste d'URL publiques des fichiers à envoyer, séparées par une virgule. Si vous fournissez à la fois une URL externe et des chemins d'accès aux fichiers, l'action collectera les fichiers à partir des deux entrées.
File Paths	Facultatif. Liste de chemins d'accès absolus aux fichiers, séparés par une virgule. Si vous configurez le paramètre **Adresse du serveur Linux**, l'action tente de récupérer le fichier à partir d'un serveur distant. Si vous fournissez à la fois une URL externe et des chemins d'accès aux fichiers, l'action collectera les fichiers à partir des deux entrées.
Check Hash First	Facultatif. Valeur par défaut : désactivé. Si cette option est activée, l'action calculera d'abord les hachages des fichiers et recherchera les informations disponibles. Si elles sont disponibles, les informations seront renvoyées sans le flux d'envoi.
Resubmit After (Days)	Facultatif. Nombre de jours pendant lesquels l'action doit attendre avant de renvoyer le fichier (même si le hachage est disponible pour le fichier dans la base de données GTI). Vous devez activer Check Hash First pour utiliser ce paramètre. La valeur par défaut est 30.
Fetch MITRE Details	Facultatif. Si cette option est sélectionnée, l'action renvoie des informations sur les techniques et tactiques MITRE associées. Par défaut, cette option n'est pas sélectionnée.
Lowest MITRE Technique Severity	Facultatif. Niveau de gravité le plus faible de la technique MITRE à renvoyer. L'action traite la gravité Unknown comme Info. Ce paramètre n'accepte que l'entité "Hash". La valeur par défaut est Low.
Private Submission	Facultatif. Si cette option est sélectionnée, l'action envoie le fichier en mode privé. Pour envoyer des fichiers de manière privée, l'API VirusTotal Premium est requise.
Retrieve Comments	Facultatif. Si cette option est sélectionnée, l'action récupère les commentaires relatifs au fichier soumis.
Max Comments To Return	Facultatif. Nombre maximal de commentaires à renvoyer à chaque exécution.
Linux Server Address	Facultatif. L'adresse IP du serveur Linux distant où se trouve le fichier.
Linux Username	Facultatif. Le nom d'utilisateur du serveur Linux distant où se trouve le fichier.
Linux Password	Facultatif. Le mot de passe du serveur Linux distant où se trouve le fichier.
ZIP Password	Facultatif. Un mot de passe pour le dossier compressé contenant les fichiers à soumettre.

Sorties d'action

L'action Soumettre un fichier fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Lien vers le mur des cas

L'action Soumettre un fichier peut renvoyer le lien suivant :

Lien du rapport PATH: URL

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Soumettre un fichier :

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

Messages de sortie

L'action Soumettre un fichier peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	L'action a réussi.
Error executing action "Submit File". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Error executing action "Submit File". Reason: ERROR_REASON	Aucune valeur de « chemin de fichier » ou d’« URL externes » Au moins un des paramètres « Chemins d'accès aux fichiers » ou « URL externes » doit avoir une valeur.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Soumettre un fichier :

Nom du résultat du script	Valeur
is_success	True ou False

Mise à jour du problème ASM

Utilisez l'action Mettre à jour un problème ASM pour mettre à jour un problème ASM dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre à jour le problème ASM nécessite les paramètres suivants :

Paramètre	Description
Issue ID	Obligatoire. L'identifiant du problème à mettre à jour.
Status	Obligatoire. Nouveau statut à définir pour ce problème. Les valeurs possibles sont les suivantes : Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated La valeur par défaut est Select One. Si vous utilisez la valeur par défaut, l'action échoue.

Sorties d'action

L'action Mettre à jour le problème ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Mettre à jour le problème ASM :

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

Messages de sortie

L'action Mettre à jour le problème ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	L'action a réussi.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Mettre à jour le problème ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Alerte DTM mise à jour

Utilisez l'action Mettre à jour l'alerte DTM pour mettre à jour une alerte de surveillance des menaces numériques Mandiant dans Google Threat Intelligence.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre à jour l'alerte DTM nécessite les paramètres suivants :

Paramètres	Description
Alert ID	Obligatoire. ID de l'alerte à modifier.
Status	Facultatif. Nouveau statut à définir pour l'alerte. Voici les valeurs possibles : Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally La valeur par défaut est Select One. Si vous utilisez la valeur par défaut, l'action échoue.

Sorties d'action

L'action Mettre à jour l'alerte DTM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant illustre le résultat JSON obtenu lors de l'utilisation de l'action Mettre à jour l'alerte DTM :

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

Messages de sortie

L'action Mettre à jour l'alerte DTM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	Action effectuée.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lors de l'utilisation de l'action Mettre à jour l'alerte DTM :

Nom du résultat du script	Valeur
is_success	True ou False

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (par exemple, plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements uniques distincts.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'élément unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

Connecteur d'alertes Google Threat Intelligence - DTM

Utilisez le Google Threat Intelligence - DTM Alerts Connector pour récupérer les alertes de Google Threat Intelligence. Pour travailler avec une liste dynamique, utilisez le paramètre alert_type.

Entrées du connecteur

Le connecteur Google Threat Intelligence - DTM Alerts requiert les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a un impact principalement sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue en valeur de remplacement par défaut. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom (sous-type) de l'événement. La valeur par défaut est event_type.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" (environnement) est manquant, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide de la logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, l'environnement final est l'environnement par défaut.
Script Timeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé de l'API Google Threat Intelligence.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des alertes à récupérer. Si vous ne configurez pas ce paramètre, le connecteur ingère les alertes de tous les niveaux de gravité. Les valeurs possibles sont les suivantes : Low Medium High
Monitor ID Filter	Facultatif. Liste d'identifiants de moniteurs séparés par des virgules pour récupérer les alertes.
Monitor Name Filter	Facultatif. Liste de noms de moniteurs, séparés par des virgules, à partir desquels récupérer les alertes. Si plusieurs moniteurs partagent le même nom, le connecteur ingère les données de chacun d'eux. Ce paramètre est évalué en parallèle des valeurs d'ID de moniteur à l'aide de la logique OU.
Event Type Filter	Facultatif. Liste, séparée par des virgules, des types d'événements à renvoyer. La saisie n'est pas sensible à la casse. Si aucune valeur n'est fournie, le connecteur traite tous les types d'événements. Pour exclure un type spécifique, ajoutez un point d'exclamation devant (par exemple, !event_type).
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de capacité Google SecOps. Cette option est activée par défaut.
Max Hours Backwards	Obligatoire. Nombre d'heures avant maintenant pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après l'avoir activé pour la première fois, ou à la valeur de remplacement pour un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Alerts To Fetch	Obligatoire. Nombre d'alertes à traiter à chaque itération du connecteur. La valeur maximale est de 25. La valeur par défaut est 25.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. (non sélectionné par défaut).
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Règles du connecteur

Le connecteur Google Threat Intelligence - DTM Alerts prend en charge les proxys.

Événements de connecteur

Il existe deux types d'événements pour le Google Threat Intelligence - DTM Alerts Connector : un événement basé sur l'alerte principale et un événement basé sur un sujet.

Voici un exemple d'événement de connecteur basé sur l'alerte principale :

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

Voici un exemple d'événement de connecteur basé sur un sujet :

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Connecteur Google Threat Intelligence - ASM Issues

Utilisez le Google Threat Intelligence - ASM Issues Connector pour récupérer des informations sur les problèmes ASM à partir de Google Threat Intelligence. Pour utiliser le filtre de liste dynamique, utilisez le paramètre category.

Entrées du connecteur

Le connecteur Google Threat Intelligence - ASM Issues requiert les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a un impact principalement sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue en valeur de remplacement par défaut. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom (sous-type) de l'événement. La valeur par défaut est entity_type.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" (environnement) est manquant, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide de la logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, l'environnement final est l'environnement par défaut.
Script Timeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé de l'API Google Threat Intelligence.
Project Name	Facultatif. Nom du projet ASM. Si vous ne définissez aucune valeur, seules les alertes des collections du projet principal sont renvoyées.
Active Group	Facultatif. Identifiant du groupe actif (contexte de l'organisation) pour les environnements multitenants. Cela est nécessaire si vos projets ASM résident dans une organisation différente de votre organisation principale.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des alertes à récupérer. Si vous ne configurez pas ce paramètre, le connecteur ingère les alertes de tous les niveaux de gravité. Les valeurs possibles sont les suivantes : Critical High Medium Low Informational
Issue Name Filter	Facultatif. Liste des problèmes à ingérer, séparés par une virgule. L'entrée est sensible à la casse. Si les noms sont listés directement, le connecteur utilise un filtre d'inclusion et n'ingère que les problèmes correspondants. Pour exclure des problèmes spécifiques, ajoutez un point d'exclamation comme préfixe au nom (par exemple, !issue_name). Si aucune valeur n'est fournie, le filtre n'est pas appliqué et tous les problèmes sont ingérés.
Status Filter	Facultatif. Liste des états des problèmes à ingérer, séparés par une virgule. Si aucune valeur n'est fournie, le connecteur ne traite que les problèmes ouverts. Les valeurs possibles sont les suivantes : Open Closed La valeur par défaut est Open.
Event Type Filter	Facultatif. Liste, séparée par des virgules, des types d'événements à renvoyer. La saisie n'est pas sensible à la casse. Si aucune valeur n'est fournie, le connecteur traite tous les types d'événements. Pour exclure un type spécifique, ajoutez un point d'exclamation devant (par exemple, !event_type).
Max Hours Backwards	Obligatoire. Nombre d'heures avant maintenant pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après l'avoir activé pour la première fois, ou à la valeur de remplacement pour un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Issues To Fetch	Obligatoire. Nombre de problèmes à traiter à chaque itération du connecteur. La valeur maximale est de 100. La valeur par défaut est 10.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de capacité Google SecOps. Cette option est activée par défaut.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. (non sélectionné par défaut).
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Événements de connecteur

Voici un exemple d'événement Google Threat Intelligence - ASM Issues Connector :

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Connecteur Google Threat Intelligence - Livehunt

Utilisez le Google Threat Intelligence - Livehunt Connector pour récupérer des informations sur les notifications Livehunt et leurs fichiers associés à partir de Google Threat Intelligence. Pour travailler avec la liste dynamique, utilisez le paramètre rule_name.

Entrées du connecteur

Le connecteur Google Threat Intelligence - Livehunt requiert les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a un impact principalement sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue en valeur de remplacement par défaut. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom (sous-type) de l'événement. La valeur par défaut est type.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" (environnement) est manquant, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide de la logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, l'environnement final est l'environnement par défaut.
Script Timeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé de l'API Google Threat Intelligence.
Entity Type Filter	Facultatif. Liste de types d'entités, séparés par des virgules, permettant de filtrer les notifications (par exemple : file, url, domain, ip_address). Si ce champ est laissé vide, tous les types d'entités seront inclus. La valeur par défaut est file.
Max Hours Backwards	Obligatoire. Nombre d'heures avant maintenant pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après l'avoir activé pour la première fois, ou à la valeur de remplacement pour un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Notifications To Fetch	Obligatoire. Le nombre de notifications à traiter à chaque itération du connecteur. La valeur par défaut est 40.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de capacité Google SecOps. Cette option est activée par défaut.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. (non sélectionné par défaut).
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Règles du connecteur

Le connecteur Google Threat Intelligence - Livehunt prend en charge les proxys.

Événements de connecteur

Voici un exemple d'événement Google Threat Intelligence - Livehunt Connector :

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED —>
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.