Intégrer Google Threat Intelligence à Google SecOps

Ce document explique comment intégrer Google Threat Intelligence à Google Security Operations.

Avant de commencer

Pour utiliser cette intégration, vous avez besoin d'une clé API. Pour en savoir plus, consultez Clés API Google Threat Intelligence.

Paramètres d'intégration

L'intégration de Google Threat Intelligence nécessite les paramètres suivants :

Paramètre	Description
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé API Google Threat Intelligence.
ASM Project Name	Facultatif. Nom du projet Mandiant Attack Surface Management (ASM) à utiliser dans l'intégration. Ce paramètre est requis pour exécuter les actions Rechercher des entités ASM, Rechercher des problèmes ASM et Mettre à jour un problème ASM. Si aucune valeur n'est définie, seules les alertes des collections du projet principal sont renvoyées.
Active Group	Facultatif. Identifiant du groupe actif (contexte de l'organisation) pour les environnements mutualisés. Cette étape est nécessaire si vos projets ASM résident dans une organisation différente de votre organisation principale.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ajouter une note sur un problème ASM

Utilisez l'action Ajouter une note au problème ASM pour ajouter une note technique à un problème de gestion de la surface d'attaque (ASM) dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Ajouter une note de problème ASM nécessite les paramètres suivants :

Paramètre	Description
Alert ID	Obligatoire. ID de l'alerte à mettre à jour.
Text	Obligatoire. Contenu de l'analyse ou de la note à ajouter à l'alerte.

Sorties de l'action

L'action Ajouter une note à un problème ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter une note à un problème ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Ajouter une note au problème ASM :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter un commentaire à l'entité

Utilisez l'action Ajouter un commentaire à l'entité pour ajouter des commentaires aux entités Google SecOps dans Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entrées de l'action

L'action Ajouter un commentaire à l'entité nécessite les paramètres suivants :

Paramètre	Description
Comment	Obligatoire. Commentaire à ajouter à toutes les entités compatibles.

Sorties de l'action

L'action Ajouter un commentaire à l'entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Ajouter un commentaire à l'entité :

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Messages de sortie

L'action Ajouter un commentaire à l'entité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Ajouter un commentaire à l'entité :

Nom du résultat du script	Valeur
is_success	True ou False

Ajouter un tag à l'alerte DTM

Utilisez Ajouter un tag à une alerte DTM pour ajouter des tags à une alerte Digital Threat Monitoring (DTM) dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Ajouter un tag à l'alerte DTM nécessite les paramètres suivants :

Paramètre	Description
Alert ID	Obligatoire. Identifiant unique de l'alerte à mettre à jour.
Mode	Facultatif. Logique opérationnelle de la mise à jour du tag. Les valeurs possibles sont les suivantes : Append : ajoute les tags spécifiés à la liste de tags existante de l'alerte. Set : remplace tous les tags d'alerte existants par les tags fournis dans Tags. La valeur par défaut est Append.
Tags	Obligatoire. Liste de tags séparés par une virgule à appliquer à l'alerte.

Sorties de l'action

L'action Ajouter un tag à l'alerte DTM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un tag à l'alerte DTM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Add Tag To DTM Alert (Ajouter un tag à l'alerte DTM) :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter un vote à l'entité

Utilisez l'action Ajouter un commentaire à l'entité pour ajouter des votes aux entités Google SecOps dans Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entrées de l'action

L'action Ajouter un vote à l'entité nécessite les paramètres suivants :

Paramètre	Description
Vote	Obligatoire. Un vote à ajouter à toutes les entités compatibles. Les valeurs possibles sont les suivantes : Harmless Malicious La valeur par défaut est Malicious.

Sorties de l'action

L'action Ajouter un vote à l'entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Add Vote To Entity (Ajouter un vote à l'entité) :

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Add Vote To Entity (Ajouter un vote à l'entité) :

Nom du résultat du script	Valeur
is_success	True ou False

Demander à l'agent de renseignement sur les menaces

Utilisez l'action Demander à l'agent Threat Intelligence pour exécuter des requêtes en langage naturel et discuter avec l'agent Google Threat Intelligence afin de récupérer des analyses de renseignement sur les menaces basées sur l'IA, des informations sur le contexte des acteurs, des tris de logiciels malveillants et des recommandations de détection.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Demander à l'agent de renseignement sur les menaces nécessite les paramètres suivants :

Paramètre	Description
Prompt	Obligatoire. Requête en langage naturel ou requête d'investigation à envoyer à l'agent Google Threat Intelligence.
Session ID	Facultatif. ID de session existant utilisé pour poursuivre une conversation en cours avec l'agent. Si aucune valeur n'est fournie, l'action crée une session.
File Paths	Facultatif. Liste de chemins d'accès aux fichiers locaux à joindre à la requête, séparés par une virgule.
Delete Session After Completion	Facultatif. Si cette option est sélectionnée, l'action supprime automatiquement la session de l'agent après avoir récupéré la réponse.

Sorties de l'action

L'action Demander à l'agent de renseignement sur les menaces fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Interroger l'agent de renseignement sur les menaces :

{
  "session_id": "cdc04504-0e13-4e53-901b-3a3c3a8b2211",
  "title": "Threat Investigation",
  "response_text": "### 1. Overview & Reputation\n\nThe IP address 8.8.8.8 is safe and benign..."
}

Messages de sortie

L'action Demander à l'agent de renseignement sur les menaces peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully executed prompt in Google Threat Intelligence.	L'action a réussi et a renvoyé une réponse textuelle de l'agent.
Google Threat Intelligence Agent didn't return a text response for session SESSION_ID.	La session s'est terminée, mais la réponse de l'agent ne contenait aucun texte.
Error executing action "Ask Threat Intelligence Agent". Reason: Failed to connect to the Google Threat Intelligence server! Please check the provided credentials. Error executing action "Ask Threat Intelligence Agent". Reason: Google Threat Intelligence Agent didn't return a final response for session SESSION_ID. Error executing action "Ask Threat Intelligence Agent". Reason: The following paths are directories, not files: PATHS. Error executing action "Ask Threat Intelligence Agent". Reason: The following files are empty: PATHS. Error executing action "Ask Threat Intelligence Agent". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, vos identifiants API, le Session ID et tous les chemins d'accès locaux spécifiés dans File Paths.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Demander à l'agent Threat Intelligence :

Nom du résultat du script	Valeur
is_success	true ou false

Télécharger le fichier

Utilisez l'action Télécharger un fichier pour télécharger un fichier depuis Google Threat Intelligence.

Cette action s'exécute sur l'entité Google SecOps Hash.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Entrées de l'action

L'action Télécharger le fichier nécessite les paramètres suivants :

Paramètre	Description
Download Folder Path	Obligatoire. Chemin d'accès au dossier dans lequel stocker les fichiers téléchargés.
Overwrite	Obligatoire. Si cette option est sélectionnée, l'action remplace un fichier existant par le nouveau fichier si les noms de fichiers sont identiques. Cette option est activée par défaut.

Sorties de l'action

L'action Télécharger le fichier fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Télécharger le fichier :

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

Messages de sortie

L'action Télécharger le fichier peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Download File". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Enrichir les entités

Utilisez l'action Enrichir les entités pour enrichir les entités avec des informations provenant de Google Threat Intelligence.

Cette action est compatible avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• CVE
• Domain
• Hash (y compris CHILDHASH et PARENTHASH)
• Hostname
• IP Address
• Threat Actor
• URL

Entrées de l'action

L'action Enrichir les entités nécessite les paramètres suivants :

Paramètre	Description
GTI Score	Facultatif. Score Google Threat Intelligence minimal requis pour marquer une entité Google SecOps comme suspecte. Cette condition est validée avec les informations de verdict de Google Threat Intelligence. Ce paramètre n'accepte que les entités IP Address, URL, Hostname, Domain et Hash. Si aucune valeur n'est fournie, l'action ignore les valeurs de score Google Threat Intelligence. La valeur par défaut est 60.
Engine Threshold	Facultatif. Nombre minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour que Google SecOps la marque comme suspecte. Cette condition est validée en même temps que les informations de verdict de Google Threat Intelligence. Ce paramètre n'accepte que les entités IP Address, URL, Hostname, Domain et Hash. Si Engine Allowlist contient des valeurs, l'action ne comptabilise que les résultats de ces moteurs spécifiques. Si aucune valeur n'est fournie, l'action ignore les calculs du moteur.
Engine Percentage Threshold	Facultatif. Pourcentage minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour que Google SecOps la qualifie de suspecte. Ce paramètre n'accepte que les entités IP Address, URL, Hostname, Domain et Hash. Si Engine Allowlist contient des valeurs, l'action ne calcule le pourcentage que pour ces moteurs spécifiques. Si les options Engine Threshold et Engine Percentage Threshold sont fournies, Engine Threshold est prioritaire. Si aucune valeur n'est fournie, l'action ignore les calculs du moteur. La valeur maximale est 100. La valeur minimale est 0.
Engine Allowlist	Facultatif. Liste d'éléments séparés par une virgule de moteurs de sécurité utilisés pour récupérer des informations sur la malveillance (par exemple, AlienVault,Kaspersky). Si aucune valeur n'est fournie, l'action récupère les résultats de tous les moteurs disponibles. Les moteurs qui ne renvoient pas d'informations sur une entité sont exclus des calculs Engine Threshold et Engine Percentage Threshold.
Resubmit Entity	Facultatif. Si cette option est sélectionnée, l'action renvoie les entités pour analyse au lieu d'utiliser les informations d'entité de l'exécution de l'action précédente. Ce paramètre n'accepte que les entités URL et Hash. Non sélectionné par défaut.
Resubmit After (Days)	Facultatif. Nombre de jours d'attente avant de renvoyer l'entité. Pour utiliser ce paramètre, sélectionnez le paramètre Resubmit Entity. La valeur par défaut est 30. Ce paramètre n'accepte que les entités URL et Hash.
Sandbox	Facultatif. Liste de noms de bacs à sable à analyser, séparés par une virgule, par exemple VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO. Ce paramètre n'est compatible qu'avec l'entité Hash. Si vous ne définissez pas ce paramètre, l'action utilise le bac à sable par défaut, à savoir VirusTotal Jujubox.
Retrieve Sandbox Analysis	Facultatif. Si cette option est sélectionnée, l'action récupère l'analyse du bac à sable pour l'entité et crée une section distincte pour chaque bac à sable dans le résultat JSON. L'action renvoie les données des bacs à sable que vous avez configurés dans le paramètre Sandbox. Ce paramètre n'accepte que l'entité Hash. Non sélectionné par défaut.
Fetch MITRE Details	Facultatif. Si cette option est sélectionnée, l'action renvoie des informations sur les techniques et tactiques MITRE associées. Ce paramètre n'accepte que l'entité Hash. Non sélectionné par défaut.
Lowest MITRE Technique Severity	Facultatif. Niveau de gravité le plus faible de la technique MITRE à renvoyer. L'action traite le niveau de gravité Unknown comme Info. Ce paramètre n'est compatible qu'avec l'entité Hash. Les valeurs possibles sont les suivantes : High Medium Low Info La valeur par défaut est Medium.
Retrieve Comments	Facultatif. Si cette option est sélectionnée, l'action récupère les commentaires sur l'entité. Ce paramètre accepte les entités suivantes : Domain Hash Hostname IP Address URL
Widget Theme	Facultatif. Style visuel appliqué au widget augmenté IOC. Les valeurs possibles sont les suivantes : Dark Dark Blue Light La valeur par défaut est Dark Blue.
Max Comments To Return	Facultatif. Nombre maximal de commentaires à renvoyer pour chaque exécution d'action. La valeur par défaut est 10.

Sorties de l'action

L'action Enrichir les entités fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement des entités	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Lien vers le mur des cas

L'action Enrichir les entités peut renvoyer les liens suivants :

• IOC : https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• Acteur malveillant : https://www.virustotal.com/gui/collection/threat-actor--ID

• Vulnérabilité : https://www.virustotal.com/gui/collection/vulnerability--ID

Table d'enrichissement des entités

1. L'action Enrichir les entités accepte l'enrichissement d'entités suivant pour les adresses IP :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_owner	as_owner	Lorsqu'il est disponible dans le résultat JSON.
GTI_asn	asn	Lorsqu'il est disponible dans le résultat JSON.
GTI_continent	continent	Lorsqu'il est disponible dans le résultat JSON.
GTI_country	country	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_certificate_valid_not_after	validity/not_after	Lorsqu'il est disponible dans le résultat JSON.
GTI_certificate_valid_not_before	validity/not_before	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.

2. L'action Enrichir les entités accepte l'enrichissement d'entité suivant pour l'URL :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_title	title	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_code	last_http_response_code	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_names	Comma-separated list of threat_names	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Lorsqu'il est disponible dans le résultat JSON.

3. L'action Enrichir les entités est compatible avec l'enrichissement d'entité suivant pour Hash :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_magic	magic	Lorsqu'il est disponible dans le résultat JSON.
GTI_md5	md5	Lorsqu'il est disponible dans le résultat JSON.
GTI_sha1	sha1	Lorsqu'il est disponible dans le résultat JSON.
GTI_sha256	sha256	Lorsqu'il est disponible dans le résultat JSON.
GTI_ssdeep	ssdeep	Lorsqu'il est disponible dans le résultat JSON.
GTI_tlsh	tlsh	Lorsqu'il est disponible dans le résultat JSON.
GTI_vhash	vhash	Lorsqu'il est disponible dans le résultat JSON.
GTI_meaningful_name	meaningful_name	Lorsqu'il est disponible dans le résultat JSON.
GTI_magic	Comma-separated list of names	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. L'action Enrichir les entités accepte l'enrichissement d'entité suivant pour Domaine/Nom d'hôte :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Comma-separated list of tags	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report_link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Lorsqu'il est disponible dans le résultat JSON.

5. L'action Enrichir les entités accepte l'enrichissement d'entité suivant pour Acteur de menace :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_motivations	Csv of motivations/name	Lorsqu'il est disponible dans le résultat JSON.
GTI_aliases	Csv of alt_names_details/value	Lorsqu'il est disponible dans le résultat JSON.
GTI_industries	Csv of targeted_industries/value	Lorsqu'il est disponible dans le résultat JSON.
GTI_malware	Csv of malware/name	Lorsqu'il est disponible dans le résultat JSON.
GTI_source_region	CSV of source_regions_hierarchy/country	Lorsqu'il est disponible dans le résultat JSON.
GTI_target_region	Csv of targeted_regions_hierarchy/country	Lorsqu'il est disponible dans le résultat JSON.
GTI_origin	origin	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	description	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_activity_time	last_activity_time	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	We craft it.	Lorsqu'il est disponible dans le résultat JSON.

6. L'action Enrichir les entités est compatible avec l'enrichissement d'entité suivant pour Vulnérabilité :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_sources	Csv of source_name	Lorsqu'il est disponible dans le résultat JSON.
GTI_exploitation_state	exploitation_state	Lorsqu'il est disponible dans le résultat JSON.
GTI_date_of_disclosure	date_of_disclosure	Lorsqu'il est disponible dans le résultat JSON.
GTI_vendor_fix_references	vendor_fix_references/url	Lorsqu'il est disponible dans le résultat JSON.
GTI_exploitation_vectors	Csv of exploitation_vectors	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	description	Lorsqu'il est disponible dans le résultat JSON.
GTI_risk_rating	risk_rating	Lorsqu'il est disponible dans le résultat JSON.
GTI_available_mitigation	CSV of available_mitigation	Lorsqu'il est disponible dans le résultat JSON.
GTI_exploitation_consequence	exploitation_consequence	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	We craft it.	Lorsqu'il est disponible dans le résultat JSON.

Résultat JSON

L'exemple suivant montre le résultat JSON pour les IOC (entités IP, Hash, URL, Domain et Hostname) reçus lors de l'utilisation de l'action Enrichir les entités :

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

L'exemple suivant montre le résultat JSON des failles reçues lors de l'utilisation de l'action Enrich Entities (Enrichir les entités) :

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

L'exemple suivant montre le résultat JSON obtenu pour les acteurs de menace lors de l'utilisation de l'action Enrichir les entités :

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

Messages de sortie

L'action Enrichir les entités peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	L'action a réussi.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Enrichir les entités :

Nom du résultat du script	Valeur
is_success	True ou False

Enrichir les IOC

Utilisez l'action Enrichir les IoC pour enrichir les indicateurs de compromission (IoC) à l'aide des informations de Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Enrichir les IOC nécessite les paramètres suivants :

Paramètre	Description
IOC Type	Facultatif. Type d'IOC à enrichir. Les valeurs possibles sont les suivantes : Filehash URL Domain IP Address La valeur par défaut est Filehash.
IOCs	Obligatoire. Liste d'IOC séparés par une virgule pour ingérer des données.
Widget Theme	Facultatif. Style visuel appliqué au widget augmenté IOC. Les valeurs possibles sont les suivantes : Dark Dark Blue Light La valeur par défaut est Dark Blue.

Sorties de l'action

L'action Enrichir les IOC fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Lien vers le mur des cas

L'action Enrichir les IOC peut fournir le lien suivant pour chaque entité enrichie :

Nom : Lien vers le rapport

Valeur : URL

Tableau du mur des cas

L'action Enrichir les IOC peut fournir le tableau suivant pour chaque entité enrichie :

Nom de la table : IOC_ID

Colonnes d'un tableau :

• Nom
• Catégorie
• Méthode
• Résultat

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Enrichir les IOC :

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

Messages de sortie

L'action Enrichir les IOC peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	L'action a réussi.
Error executing action "Enrich IOC". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Enrichir les IOC :

Nom du résultat du script	Valeur
is_success	True ou False

Exécuter une recherche d'IOC

Utilisez l'action Exécuter une recherche d'IoC pour exécuter la recherche d'IoC dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Exécuter une recherche d'IOC nécessite les paramètres suivants :

Paramètre	Description
Search Query	Obligatoire. Requête de recherche à exécuter, par exemple crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return	Facultatif. Nombre maximal de résultats à renvoyer pour chaque exécution d'action. La valeur maximale est 200. La valeur par défaut est 50.

Sorties de l'action

L'action Exécuter une recherche d'IOC fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Exécuter une recherche d'IOC :

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

Messages de sortie

L'action Exécuter une recherche d'IOC peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	L'action a réussi.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Exécuter une recherche d'IOC :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les détails de l'entité ASM

Utilisez l'action Obtenir les détails d'une entité ASM pour obtenir des informations sur une entité ASM dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les détails de l'entité ASM nécessite les paramètres suivants :

Paramètre	Description
Entity ID	Obligatoire. Liste d'ID d'entités séparés par une virgule pour obtenir des détails.

Sorties de l'action

L'action Obtenir les détails de l'entité ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get ASM Entity Details (Obtenir les détails de l'entité ASM) :

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED >
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

Messages de sortie

L'action Obtenir les détails de l'entité ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	L'action a réussi.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Obtenir les détails de l'entité ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les détails du graphique

Utilisez l'action Obtenir les détails du graphique pour obtenir des informations détaillées sur les graphiques dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les détails du graphique nécessite les paramètres suivants :

Paramètre	Description
Graph ID	Obligatoire. Liste d'ID de graphiques séparés par une virgule pour récupérer les détails.
Max Links To Return	Obligatoire. Nombre maximal de liens à renvoyer pour chaque graphique. La valeur par défaut est 50.

Sorties de l'action

L'action Obtenir les détails du graphique fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir les détails du graphique peut fournir le tableau suivant pour chaque entité enrichie :

Nom de la table : Graph GRAPH_ID Links

Colonnes d'un tableau :

• Source
• Cible
• Type de connexion

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les détails du graphique :

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

Messages de sortie

L'action Obtenir les détails du graphique peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	L'action a réussi.
Error executing action "Get Graph Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get Graph Details (Obtenir les détails du graphique) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les associations associées

Utilisez l'action Obtenir les associations associées pour obtenir des informations sur les associations (rapports, campagnes, collections, familles de logiciels malveillants, kits d'outils logiciels, failles, acteurs malveillants) liées aux entités dans Google Threat Intelligence.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP address
• URL
• File hash
• Hostname
• Domain

Remarque : Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Entrées de l'action

L'action Obtenir les associations associées nécessite les paramètres suivants :

Paramètre	Description
Association Types	Facultatif. Liste d'associations à renvoyer, séparées par une virgule. Les rapports sont traités une fois que toutes les autres associations sont terminées. Les valeurs possibles sont les suivantes : Report Campaign Collection Malware Family Vulnerability Threat Actor Si aucune valeur n'est fournie, l'action renvoie toutes les associations.
Create Entity	Facultatif. Si cette option est sélectionnée, l'action crée une entité pour les acteurs de menace, les failles CVE (Common Vulnerabilities and Exposures) et les campagnes associés, en la reliant à l'entité d'origine. Seules les entités CVE, Acteur malveillant et Campagne sont créées.
Max Associations To Return	Facultatif. Nombre maximal d'IoC à renvoyer pour chaque entité. La valeur maximale est 100. La valeur par défaut est 50.

Sorties de l'action

L'action Obtenir les associations associées fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get Related Associations (Obtenir les associations associées) :

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

Messages de sortie

L'action Get Related Associations (Obtenir les associations associées) peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	L'action a réussi.
Error executing action "Get Related Associations". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Get Related Associations (Obtenir les associations associées) :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir les IOC associés

Utilisez l'action Obtenir les IOC associés pour obtenir des informations sur les IOC associés aux entités à l'aide des informations de Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

Entrées de l'action

L'action Obtenir les IOC associés nécessite les paramètres suivants :

Paramètre	Description
IOC Types	Obligatoire. Liste d'IOC à extraire, séparés par une virgule. Les valeurs possibles sont les suivantes : IP, Hash, URL, Domain.
Max IOCs To Return	Obligatoire. Nombre maximal d'IOC à renvoyer pour les types d'IOC sélectionnés pour chaque entité. La valeur par défaut est 40.

Sorties de l'action

L'action Obtenir les IOC associés fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les IOC associés :

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

Messages de sortie

L'action Obtenir les IOC associés peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	L'action a réussi.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Get Related IOCs (Obtenir les IOC associés) :

Nom du résultat du script	Valeur
is_success	True ou False

Ping

Utilisez l'action Ping pour tester la connectivité à Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	L'action a réussi.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
is_success	True ou False

URL d'envoi privée

Utilisez l'action Private Submit URL (Envoyer une URL privée) pour envoyer une URL à analyser en privé dans Google Threat Intelligence.

Cette action s'exécute sur l'entité Google SecOps suivante :

• URL

Remarque : Pour une analyse standard et un enrichissement des entités, utilisez plutôt l'action Enrichir les entités.

Entrées de l'action

L'action Envoyer une URL privée nécessite les paramètres suivants :

Paramètre	Description
URL	Facultatif. Liste d'URL à analyser, séparées par une virgule. Le système traite les valeurs saisies ainsi que toutes les entités d'URL découvertes par l'opération.
Check Existing Submissions First	Facultatif. Si cette option est sélectionnée, cette action vérifie si l'URL contient des informations d'envoi publiques ou privées existantes. Si elle est trouvée, l'action renvoie immédiatement les informations, en contournant le flux d'envoi. Désactivé par défaut
Resubmit After (Days)	Facultatif. Nombre minimal de jours devant s'écouler après la date de la dernière analyse publique de l'URL pour que celle-ci puisse être renvoyée. Remarque : Pour utiliser ce paramètre, vous devez activer Check Existing Submissions First. La valeur par défaut est 30.

Sorties de l'action

L'action Envoyer une URL privée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Lien vers le mur des cas

L'action URL d'envoi privé peut renvoyer le lien suivant :

Lien vers le rapport URL : URL to the GTI UI displaying the submission details.

Table d'enrichissement des entités

L'action Private Submit URL (Envoyer une URL privée) accepte l'enrichissement d'entité suivant pour les entités URL lorsque les données sont récupérées à partir d'un envoi public :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_title	title	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_code	last_http_response_code	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_names	Liste de threat_names séparés par une virgule	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_count	last_analysis_stats/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_count	last_analysis_stats/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_undetected_count	last_analysis_stats/undetected	Lorsqu'il est disponible dans le résultat JSON.
GTI_reputation	reputation	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Liste de tags séparés par une virgule	Lorsqu'il est disponible dans le résultat JSON.
GTI_malicious_vote_count	total_votes/malicious	Lorsqu'il est disponible dans le résultat JSON.
GTI_harmless_vote_count	total_votes/harmless	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.
GTI_threat_score	gti_assessment.threat_score.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_severity	gti_assessment.severity.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_normalised_categories	Fichier CSV de gti_assessment.contributing_factors.normalised_categories	Lorsqu'il est disponible dans le résultat JSON.
GTI_verdict	gti_assessment.verdict.value	Lorsqu'il est disponible dans le résultat JSON.
GTI_description	gti_assessment.description	Lorsqu'il est disponible dans le résultat JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Lorsqu'il est disponible dans le résultat JSON.

L'action Private Submit URL (Envoyer une URL privée) accepte l'enrichissement d'entité suivant pour les entités URL lorsque les données sont récupérées à partir d'un envoi privé :

Champ d'enrichissement	Source (clé JSON)	Applicabilité
GTI_id	id	Lorsqu'il est disponible dans le résultat JSON.
GTI_title	title	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_code	last_http_response_code	Lorsqu'il est disponible dans le résultat JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Lorsqu'il est disponible dans le résultat JSON.
GTI_tags	Liste de tags séparés par une virgule	Lorsqu'il est disponible dans le résultat JSON.
GTI_report_link	report link	Lorsqu'il est disponible dans le résultat JSON.
GTI_widget_link	widget_url	Lorsqu'il est disponible dans le résultat JSON.

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Envoyer une URL privée :

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

Messages de sortie

L'action URL d'envoi privé peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	L'action a réussi.
Error executing action "Private Submit URL". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Private Submit URL (Envoyer une URL privée) :

Nom du résultat du script	Valeur
is_success	true ou false

Rechercher des entités ASM

Utilisez l'action Rechercher des entités ASM pour rechercher des entités ASM dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Rechercher des entités ASM nécessite les paramètres suivants :

Paramètre	Description
Project Name	Facultatif. Nom du projet ASM. Si vous ne définissez pas de valeur, l'action utilise la valeur que vous avez configurée pour le paramètre d'intégration ASM Project Name.
Entity Name	Facultatif. Liste de noms d'entités séparés par une virgule pour rechercher des entités. L'action traite les noms d'entités contenant des barres obliques / comme des valeurs non valides.
Minimum Vulnerabilities Count	Facultatif. Nombre minimal de failles requises pour que l'action renvoie l'entité.
Minimum Issues Count	Facultatif. Nombre minimal de problèmes requis pour que l'action renvoie l'entité.
Tags	Facultatif. Liste de noms de tags séparés par une virgule à utiliser lors de la recherche d'entités.
Max Entities To Return	Facultatif. Nombre d'entités à renvoyer. La valeur maximale est 200. La valeur par défaut est 50.
Critical or High Issue	Facultatif. Si cette option est sélectionnée, l'action ne renvoie que les problèmes de gravité High et Critical. Non sélectionné par défaut.

Sorties de l'action

L'action Rechercher des entités ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Rechercher des entités ASM :

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

Messages de sortie

L'action Rechercher des entités ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	L'action a réussi.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Rechercher des entités ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Rechercher des problèmes ASM

Utilisez l'action Rechercher des problèmes ASM pour rechercher des problèmes ASM dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Rechercher des problèmes ASM nécessite les paramètres suivants :

Paramètre	Description
Project Name	Facultatif. Nom du projet ASM. Si vous ne définissez pas de valeur, l'action utilise la valeur que vous avez configurée pour le paramètre d'intégration ASM Project Name.
Issue ID	Facultatif. Liste d'ID de problèmes séparés par une virgule pour renvoyer les détails.
Entity ID	Facultatif. Liste d'ID d'entités séparés par une virgule pour rechercher les problèmes associés.
Entity Name	Facultatif. Liste de noms d'entités séparés par une virgule pour rechercher les problèmes associés. L'action traite les noms d'entités contenant des barres obliques / comme des valeurs non valides.
Time Parameter	Facultatif. Option de filtre permettant de définir l'heure du problème. Les valeurs possibles sont First Seen et Last Seen. La valeur par défaut est First Seen.
Time Frame	Facultatif. Période de filtrage des problèmes. Si vous sélectionnez Custom, configurez le paramètre Start Time. Les valeurs possibles sont les suivantes : Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom La valeur par défaut est Last Hour.
Start Time	Facultatif. Heure de début des résultats. Si vous avez sélectionné Custom pour le paramètre Time Frame, ce paramètre est obligatoire. Configurez la valeur au format ISO 8601.
End Time	Facultatif. Heure de fin des résultats. Si vous avez sélectionné Custom pour le paramètre Time Frame et que vous n'avez pas défini l'heure de fin, ce paramètre utilise l'heure actuelle comme heure de fin. Configurez la valeur au format ISO 8601.
Lowest Severity To Return	Facultatif. Niveau de gravité le plus faible des problèmes à renvoyer. Les valeurs possibles sont les suivantes : Select One Critical High Medium Low Informational La valeur par défaut est Select One. Si vous sélectionnez Select One, ce filtre ne s'applique pas à la recherche.
Status	Facultatif. Filtre d'état pour la recherche. Les valeurs possibles sont Open, Closed et Select One. La valeur par défaut est Select One. Si vous sélectionnez Select One, ce filtre ne s'applique pas à la recherche.
Tags	Facultatif. Liste de noms de tags séparés par une virgule à utiliser lors de la recherche de problèmes.
Max Issues To Return	Obligatoire. Nombre de problèmes à renvoyer. La valeur maximale est 200. La valeur par défaut est 50.

Sorties de l'action

L'action Rechercher des problèmes ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Rechercher des problèmes ASM :

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

Messages de sortie

L'action Rechercher des problèmes ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	L'action a réussi.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Rechercher les problèmes ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Rechercher des graphiques d'entités

Utilisez l'action Rechercher dans les graphiques d'entités pour rechercher des graphiques basés sur des entités Google SecOps dans Google Threat Intelligence.

Cette action n'est compatible qu'avec les hachages MD5, SHA-1 et SHA-256.

Cette action s'exécute sur les entités Google SecOps suivantes :

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

Entrées de l'action

L'action Rechercher des graphiques d'entités nécessite les paramètres suivants :

Paramètre	Description
Sort Field	Facultatif. Valeur du champ pour trier les résultats. Les valeurs possibles sont les suivantes : Owner Creation Date Last Modified Date Views Count Comments Count La valeur par défaut est Owner.
Max Graphs To Return	Facultatif. Nombre maximal de graphiques à renvoyer pour chaque exécution d'action. La valeur par défaut est 10.

Sorties de l'action

L'action Rechercher dans les graphiques d'entités fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Rechercher dans les graphiques d'entités :

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Messages de sortie

L'action Rechercher des graphiques d'entités peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	L'action a réussi.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Rechercher des graphiques

Utilisez l'action Rechercher des graphiques pour rechercher des graphiques en fonction de filtres personnalisés dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Rechercher des graphiques nécessite les paramètres suivants :

Paramètre	Description
Query	Obligatoire. Filtre de requête pour le graphique. Par exemple, pour rechercher des graphiques au cours de la période sélectionnée, formatez la requête comme suit : creation_date:2018-11-1+creation_date:2018-11-12 Pour en savoir plus sur les requêtes, consultez Créer des requêtes, Modificateurs liés aux graphiques et Modificateurs liés aux nœuds.
Sort Field	Facultatif. Valeur du champ pour trier les graphiques VirusTotal. Les valeurs possibles sont les suivantes : Comments Count Creation Date Last Modified Date Owner Views Count La valeur par défaut est Owner.
Max Graphs To Return	Facultatif. Nombre maximal de graphiques à renvoyer pour chaque exécution d'action. La valeur par défaut est 10.

Créer des requêtes

Pour affiner les résultats de recherche à partir de graphiques, créez des requêtes contenant des modificateurs liés aux graphiques. Pour améliorer la recherche, vous pouvez combiner des modificateurs avec les opérateurs AND, OR et NOT.

Les champs de date et numériques acceptent les suffixes plus + et moins -. Un suffixe plus correspond aux valeurs supérieures à la valeur fournie. Un suffixe moins correspond aux valeurs inférieures à la valeur fournie. Sans suffixe, la requête renvoie des correspondances exactes.

Pour définir des plages, vous pouvez utiliser le même modificateur plusieurs fois dans une requête. Par exemple, pour rechercher des graphiques créés entre le 15/11/2018 et le 20/11/2018, utilisez la requête suivante :

creation_date:2018-11-15+ creation_date:2018-11-20-

Pour les dates ou les mois commençant par 0, supprimez le caractère 0 de la requête. Par exemple, formatez la date 2018-11-01 en 2018-11-1.

Modificateurs liés aux graphiques

Le tableau suivant liste les modificateurs liés aux graphiques que vous pouvez utiliser pour créer la requête de recherche :

Nom du modificateur	Description	Exemple
id	Filtre par identifiant de graphique.	id:g675a2fd4c8834e288af
name	Filtre par nom de graphique.	name:Example-name
owner	Filtre par graphiques appartenant à l'utilisateur.	owner:example_user
group	Filtre par graphiques appartenant à un groupe.	group:example
visible_to_user	Filtre par graphiques visibles par l'utilisateur.	visible_to_user:example_user
visible_to_group	Filtre par graphiques visibles par le groupe.	visible_to_group:example
private	Filtre par graphiques privés.	private:true, private:false
creation_date	Filtre par date de création du graphique.	creation_date:2018-11-15
last_modified_date	Filtre en fonction de la date de la dernière modification du graphique.	last_modified_date:2018-11-20
total_nodes	Filtre les graphiques contenant un nombre spécifique de nœuds.	total_nodes:100
comments_count	Filtre en fonction du nombre de commentaires dans le graphique.	comments_count:10+
views_count	Filtre par nombre de vues du graphique.	views_count:1000+

Modificateurs liés aux nœuds

Le tableau suivant liste les modificateurs liés aux graphiques que vous pouvez utiliser pour créer la requête de recherche :

Nom du modificateur	Description	Exemple
label	Filtre par graphiques contenant des nœuds avec un libellé spécifique.	label:Kill switch
file	Filtre par graphiques contenant le fichier spécifié.	file:131f95c51cc819465fa17
domain	Filtre les graphiques contenant le domaine spécifié.	domain:example.com
ip_address	Filtre les graphiques contenant l'adresse IP spécifiée.	ip_address:203.0.113.1
url	Filtre par graphiques contenant l'URL spécifique.	url:https://example.com/example/
actor	Filtre par graphiques contenant l'acteur spécifié.	actor:example actor
victim	Filtre les graphiques contenant la victime spécifique.	victim:example_user
email	Filtre les graphiques contenant l'adresse e-mail spécifiée.	email:[e-mail]
department	Filtre les graphiques contenant le service spécifié.	department:engineers

Sorties de l'action

L'action Rechercher des graphiques fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Rechercher des graphiques :

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Messages de sortie

L'action Rechercher des graphiques peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	L'action a réussi.
Error executing action "Search Graphs". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur du résultat du script lors de l'utilisation de l'action Rechercher des graphiques :

Nom du résultat du script	Valeur
is_success	True ou False

Définir l'analyse des alertes DTM

Utilisez l'action Définir l'analyse d'alerte DTM pour définir une analyse pour une alerte Digital Threat Monitoring (DTM) dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Définir l'analyse des alertes DTM nécessite les paramètres suivants :

Paramètre	Description
Alert ID	Obligatoire. ID de l'alerte à laquelle ajouter l'analyse.
Text	Obligatoire. Analyse à ajouter à l'alerte.
Attachment File Paths	Facultatif. Liste de chemins d'accès aux fichiers à joindre à l'alerte, séparés par une virgule. Vous pouvez ajouter jusqu'à 10 pièces jointes.

Sorties de l'action

L'action Set DTM Alert Analysis fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Messages de sortie

L'action Set DTM Alert Analysis peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	L'action a réussi.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Set DTM Alert Analysis (Définir l'analyse des alertes DTM) :

Nom du résultat du script	Valeur
is_success	True ou False

Envoyer le fichier

Utilisez l'action Envoyer un fichier pour envoyer un fichier et renvoyer les résultats de Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Cette action est asynchrone. Ajustez la valeur du délai avant expiration du script dans l'environnement de développement intégré (IDE) de Google SecOps pour l'action, si nécessaire.

Entrées de l'action

L'action Envoyer un fichier nécessite les paramètres suivants :

Paramètre	Description
GTI Score	Facultatif. Score Google Threat Intelligence utilisé pour définir la propriété is_risky sur true dans le résultat JSON. Cette condition est validée en même temps que les informations de verdict de Google Threat Intelligence. Si aucune valeur n'est fournie, l'action ignore le score Google Threat Intelligence. La valeur par défaut est 60.
Engine Threshold	Facultatif. Nombre minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour définir la propriété is_risky sur true. Cette condition est validée en même temps que les informations de verdict de Google Threat Intelligence. Si Engine Allowlist contient des valeurs, seuls les résultats de ces moteurs spécifiques sont comptabilisés. Si aucune valeur n'est fournie, l'action ignore les calculs du nombre de moteurs.
Engine Percentage Threshold	Facultatif. Pourcentage minimal de moteurs de sécurité qui doivent marquer une entité comme malveillante ou suspecte pour définir la propriété is_risky sur true (0 et 100). Si Engine Allowlist contient des valeurs, le pourcentage n'est calculé qu'à partir de ces moteurs spécifiques. Si les options Engine Threshold et Engine Percentage Threshold sont fournies, Engine Threshold est prioritaire. Si aucune valeur n'est fournie, l'action ignore les calculs de pourcentage.
Engine Allowlist	Facultatif. Liste de moteurs de sécurité séparés par une virgule à utiliser pour déterminer la malveillance (par exemple, AlienVault,Kaspersky). Les moteurs qui ne renvoient pas d'informations sur une entité sont exclus des calculs Engine Threshold et Engine Percentage Threshold. Si aucune valeur n'est fournie, l'action récupère les résultats de tous les moteurs disponibles.
External URLs	Facultatif. Liste d'URL publiques séparées par une virgule pour les fichiers à envoyer. Si les champs "URL externe" et "Chemins d'accès aux fichiers" sont tous deux renseignés, l'action collecte les fichiers des deux entrées.
File Paths	Facultatif. Liste de chemins d'accès absolus aux fichiers, séparés par une virgule. Si vous configurez le paramètre **Adresse du serveur Linux**, l'action tente de récupérer le fichier à partir d'un serveur distant. Si les champs "URL externe" et "Chemins d'accès aux fichiers" sont tous deux renseignés, l'action collecte les fichiers des deux entrées.
Check Hash First	Facultatif. Valeur par défaut : désactivé. Si cette option est activée, l'action calcule d'abord les hachages des fichiers et effectue une recherche si des informations sont disponibles. Si elle est disponible, elle renverra les informations sans le flux d'envoi.
Resubmit After (Days)	Facultatif. Nombre de jours d'attente avant de renvoyer le fichier (même si le hachage est disponible pour le fichier dans la base de données GTI). Vous devez activer Check Hash First pour utiliser ce paramètre. La valeur par défaut est 30.
Fetch MITRE Details	Facultatif. Si cette option est sélectionnée, l'action renvoie les informations sur les techniques et tactiques MITRE associées. Non sélectionné par défaut.
Lowest MITRE Technique Severity	Facultatif. Niveau de gravité le plus faible de la technique MITRE à renvoyer. L'action traite le niveau de gravité Unknown comme Info. Ce paramètre n'est compatible qu'avec l'entité Hash. La valeur par défaut est Low.
Private Submission	Facultatif. Si cette option est sélectionnée, l'action envoie le fichier en mode privé. Pour envoyer des fichiers de manière privée, l'API VirusTotal Premium est requise.
Retrieve Comments	Facultatif. Si cette option est sélectionnée, l'action récupère les commentaires sur le fichier envoyé.
Max Comments To Return	Facultatif. Nombre maximal de commentaires à renvoyer à chaque exécution d'action.
Linux Server Address	Facultatif. Adresse IP du serveur Linux distant où se trouve le fichier.
Linux Username	Facultatif. Nom d'utilisateur du serveur Linux distant où se trouve le fichier.
Linux Password	Facultatif. Mot de passe du serveur Linux distant où se trouve le fichier.
ZIP Password	Facultatif. Mot de passe du dossier compressé contenant les fichiers à envoyer.

Sorties de l'action

L'action Envoyer un fichier fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script.	Disponible

Lien vers le mur des cas

L'action Envoyer le fichier peut renvoyer le lien suivant :

Lien vers le rapport PATH : URL

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Envoyer un fichier :

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

Messages de sortie

L'action Envoyer un fichier peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	L'action a réussi.
Error executing action "Submit File". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Error executing action "Submit File". Reason: ERROR_REASON	Aucune valeur "Chemins d'accès aux fichiers" ou "URL externes" Au moins l'un des paramètres "Chemins d'accès aux fichiers" ou "URL externes" doit avoir une valeur.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Envoyer un fichier :

Nom du résultat du script	Valeur
is_success	True ou False

Modifier un problème ASM

Utilisez l'action Mettre à jour un problème ASM pour mettre à jour un problème ASM dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre à jour un problème ASM nécessite les paramètres suivants :

Paramètre	Description
Issue ID	Obligatoire. ID du problème à mettre à jour.
Status	Obligatoire. Nouvel état à définir pour le problème. Les valeurs possibles sont les suivantes : Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated La valeur par défaut est Select One. Si vous utilisez la valeur par défaut, l'action échoue.

Sorties de l'action

L'action Mettre à jour un problème ASM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Mettre à jour un problème ASM :

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

Messages de sortie

L'action Mettre à jour un problème ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	L'action a réussi.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Mettre à jour un problème ASM :

Nom du résultat du script	Valeur
is_success	True ou False

Mettre à jour l'alerte DTM

Utilisez l'action Mettre à jour l'alerte DTM pour mettre à jour une alerte Mandiant Digital Threat Monitoring dans Google Threat Intelligence.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre à jour l'alerte DTM nécessite les paramètres suivants :

Paramètres	Description
Alert ID	Obligatoire. ID de l'alerte à mettre à jour.
Status	Facultatif. Nouvel état à définir pour l'alerte. Les valeurs possibles sont les suivantes : Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally La valeur par défaut est Select One. Si vous utilisez la valeur par défaut, l'action échoue.

Sorties de l'action

L'action Mettre à jour l'alerte DTM fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Mettre à jour l'alerte DTM :

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

Messages de sortie

L'action Update DTM Alert (Mettre à jour l'alerte DTM) peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	Action effectuée.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Mettre à jour l'alerte DTM :

Nom du résultat du script	Valeur
is_success	True ou False

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (par exemple, plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements distincts et uniques.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'élément unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

Google Threat Intelligence – Connecteur d'alertes DTM

Utilisez le connecteur d'alertes Google Threat Intelligence – DTM pour récupérer les alertes de Google Threat Intelligence. Pour utiliser une liste dynamique, utilisez le paramètre alert_type.

Entrées du connecteur

Le connecteur d'alertes Google Threat Intelligence – DTM nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est event_type.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut.
Script Timeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé API Google Threat Intelligence.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des alertes à récupérer. Si vous ne configurez pas ce paramètre, le connecteur ingère les alertes de tous les niveaux de gravité. Les valeurs possibles sont les suivantes : Low Medium High
Monitor ID Filter	Facultatif. Liste d'ID de moniteurs séparés par une virgule pour récupérer les alertes.
Monitor Name Filter	Facultatif. Liste de noms de moniteurs, séparés par une virgule, à partir desquels récupérer les alertes. Si plusieurs moniteurs portent le même nom, le connecteur ingère les données de tous ces moniteurs. Ce paramètre est évalué avec les valeurs d'ID de surveillance à l'aide de la logique OU.
Event Type Filter	Facultatif. Liste des types d'événements à renvoyer, séparés par une virgule. L'entrée n'est pas sensible à la casse. Si aucune valeur n'est fournie, le connecteur traite tous les types d'événements. Pour exclure un type spécifique, ajoutez un point d'exclamation comme préfixe (par exemple, !event_type).
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps. Cette option est activée par défaut.
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'heure actuelle pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après sa première activation, ou à la valeur de remplacement d'un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Alerts To Fetch	Obligatoire. Nombre d'alertes à traiter à chaque itération du connecteur. La valeur maximale est 25. La valeur par défaut est 25.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. Non sélectionné par défaut.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.
Anonymize Passwords	Facultatif. Si cette option est sélectionnée, le connecteur anonymise les champs de mot de passe dans les données d'alerte en remplaçant les caractères par des astérisques, ne laissant visibles que le premier et le dernier caractère.

Règles du connecteur

Le connecteur d'alertes Google Threat Intelligence – DTM est compatible avec les proxys.

Événements de connecteur

Il existe deux types d'événements pour le connecteur d'alertes Google Threat Intelligence - DTM : un événement basé sur l'alerte principale et un événement basé sur un sujet.

Voici un exemple d'événement de connecteur basé sur l'alerte principale :

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

Voici un exemple d'événement de connecteur basé sur un sujet :

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence – Connecteur d'alertes GTI

Utilisez le connecteur d'alertes Google Threat Intelligence - GTI pour récupérer les alertes, les résultats, les documents et les entités associées de Google Threat Intelligence sur le dark Web à partir de Google Threat Intelligence.

Ce connecteur utilise la liste dynamique pour filtrer les valeurs detailType.

Cas d'utilisation

Le connecteur d'alertes Google Threat Intelligence (GTI) aide les équipes chargées des opérations de sécurité à automatiser l'ingestion et le tri des alertes de Dark Web Intelligence (DWI) et de menaces dans Google SecOps. Pour chaque alerte ingérée, le connecteur mappe l'alerte principale, les résultats associés, les documents du dark Web et les indicateurs de compromission (IOC) à valeurs multiples dans des événements Google SecOps distincts pour une investigation et une réponse automatisées.

Entrées du connecteur

Configurez ce connecteur à l'aide des paramètres suivants :

Paramètre	Description
DeviceProductField	Obligatoire. Nom du champ qui détermine le produit de l'appareil. La valeur par défaut est Product Name.
EventClassId	Obligatoire. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est eventType.
PythonProcessTimeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut.
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut.
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence, y compris le chemin d'accès au projet Google Cloud (par exemple, https://threatintelligence.googleapis.com/v1beta/projects/YOUR_PROJECT_ID). La valeur par défaut est https://threatintelligence.googleapis.com.
API Key	Obligatoire. Clé API Google Threat Intelligence.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des alertes à récupérer. Si vous ne configurez pas ce paramètre, le connecteur ingère les alertes de tous les niveaux de gravité. Les valeurs possibles sont les suivantes : Critical High Medium Low Informational
Alert Type Filter	Facultatif. Liste de valeurs detailType d'alertes du dark Web à récupérer, séparées par une virgule (par exemple, data_leak, insider_threat, initial_access_broker, target_technology).
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'itération initiale du connecteur pour récupérer les alertes. La valeur par défaut est 1.
Max Alerts To Fetch	Obligatoire. Nombre maximal d'alertes à traiter par itération de connecteur. La valeur maximale est 100. La valeur par défaut est 25.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage.
Verify SSL	Obligatoire. Si cette option est sélectionnée, le connecteur vérifie que le certificat SSL de connexion à Google Threat Intelligence est valide. Cette option est activée par défaut.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Assistance de proxy

Le connecteur est compatible avec les proxys.

Événements de connecteur

L'exemple suivant montre un événement personnalisé généré par le connecteur d'alertes Google Threat Intelligence - GTI :

{
  "name": "projects/gti-project/alerts/alert-123",
  "displayName": "Leaked Credentials Alert",
  "detail_detailType": "leaked_credentials",
  "detail_leakedCredentials_severity": "HIGH",
  "severityAnalysis_severityLevel": "SEVERITY_LEVEL_HIGH",
  "priorityAnalysis_priorityLevel": "PRIORITY_LEVEL_HIGH",
  "aiSummary": "Leaked credentials detected for Cymbal Bank.",
  "audit_createTime": "2026-09-15T10:00:00Z",
  "audit_updateTime": "2026-09-15T10:00:00Z",
  "eventType": "Alert",
  "id": "projects/gti-project/alerts/alert-123",
  "title": "Leaked Credentials Alert",
  "alert_type": "leaked_credentials",
  "severity": "HIGH",
  "priority": "HIGH",
  "ai_summary": "Leaked credentials detected for Cymbal Bank.",
  "created_at": "2026-09-15T10:00:00Z"
}

Google Threat Intelligence – Connecteur de problèmes ASM

Utilisez le connecteur de problèmes ASM de Google Threat Intelligence pour récupérer des informations sur les problèmes ASM à partir de Google Threat Intelligence. Pour utiliser le filtre de liste dynamique, utilisez le paramètre category.

Entrées du connecteur

Le connecteur Google Threat Intelligence – Problèmes ASM nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est entity_type.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut.
Script Timeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé API Google Threat Intelligence.
Project Name	Facultatif. Nom du projet ASM. Si vous ne définissez pas de valeur, seules les alertes des collections du projet principal sont renvoyées.
Active Group	Facultatif. Identifiant du groupe actif (contexte de l'organisation) pour les environnements mutualisés. Cette étape est nécessaire si vos projets ASM résident dans une organisation différente de votre organisation principale.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des alertes à récupérer. Si vous ne configurez pas ce paramètre, le connecteur ingère les alertes de tous les niveaux de gravité. Les valeurs possibles sont les suivantes : Critical High Medium Low Informational
Issue Name Filter	Facultatif. Liste de problèmes à ingérer, séparés par une virgule. La saisie est sensible à la casse. Si les noms sont listés directement, le connecteur utilise un filtre "Inclure" et n'ingère que les problèmes correspondants. Pour exclure des problèmes spécifiques, ajoutez un point d'exclamation devant le nom (par exemple, !issue_name). Si aucune valeur n'est fournie, le filtre n'est pas appliqué et tous les problèmes sont ingérés.
Status Filter	Facultatif. Liste d'états de problème à ingérer, séparés par une virgule. Si aucune valeur n'est fournie, le connecteur ne traite que les problèmes ouverts. Les valeurs possibles sont les suivantes : Open Closed La valeur par défaut est Open.
Event Type Filter	Facultatif. Liste des types d'événements à renvoyer, séparés par une virgule. L'entrée n'est pas sensible à la casse. Si aucune valeur n'est fournie, le connecteur traite tous les types d'événements. Pour exclure un type spécifique, ajoutez un point d'exclamation comme préfixe (par exemple, !event_type).
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'heure actuelle pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après sa première activation, ou à la valeur de remplacement d'un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Issues To Fetch	Obligatoire. Nombre de problèmes à traiter à chaque itération du connecteur. La valeur maximale est 100. La valeur par défaut est 10.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps. Cette option est activée par défaut.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. Non sélectionné par défaut.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Événements de connecteur

Voici un exemple d'événement Google Threat Intelligence - Connecteur de problèmes ASM :

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence – Connecteur Livehunt

Utilisez le connecteur Google Threat Intelligence – Livehunt pour récupérer des informations sur les notifications Livehunt et les fichiers associés à partir de Google Threat Intelligence. Pour utiliser la liste dynamique, utilisez le paramètre rule_name.

Entrées du connecteur

Le connecteur Google Threat Intelligence – Livehunt nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est type.
Environment Field Name	Facultatif. Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut.
Script Timeout	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. Racine de l'API de l'instance Google Threat Intelligence. La valeur par défaut est https://www.virustotal.com.
API Key	Obligatoire. Clé API Google Threat Intelligence.
Entity Type Filter	Facultatif. Liste de types d'entités séparés par une virgule pour filtrer les notifications (par exemple : file, url, domain, ip_address). Si ce champ est vide, tous les types d'entités sont ingérés. La valeur par défaut est file.
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'heure actuelle pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après sa première activation, ou à la valeur de remplacement d'un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Notifications To Fetch	Obligatoire. Nombre de notifications à traiter à chaque itération du connecteur. La valeur par défaut est 40.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps. Cette option est activée par défaut.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. Non sélectionné par défaut.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Google Threat Intelligence. Cette option est activée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Règles du connecteur

Le connecteur Google Threat Intelligence - Livehunt est compatible avec les proxys.

Événements de connecteur

Voici un exemple d'événement Google Threat Intelligence – Connecteur Livehunt :

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED >
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.