שלב את מודיעין האיומים של גוגל עם Google SecOps

מסמך זה מסביר כיצד לשלב את מודיעין האיומים של גוגל עם פעולות האבטחה של גוגל.

לפני שמתחילים

כדי להשתמש באינטגרציה זו, תזדקק למפתח API. למידע נוסף, ראו מפתחות API של Google Threat Intelligence.

פרמטרים של שילוב

שילוב מודיעין האיומים של גוגל דורש את הפרמטרים הבאים:

פרמטר	תיאור
API Root	חובה. שורש ה-API של מופע מודיעין האיומים של גוגל. ערך ברירת המחדל הוא https://www.virustotal.com.
API Key	חובה. מפתח ה-API של מודיעין האיומים של גוגל.
ASM Project Name	זה שינוי אופציונלי. שם הפרויקט של Mandiant Attack Surface Management (ASM) שיש להשתמש בו באינטגרציה. פרמטר זה נדרש להפעלת הפעולות חיפוש ישויות ASM, חיפוש בעיות ASM ו- עדכון בעיית ASM. אם לא מוגדר ערך, מוחזרות רק התראות מאוספים בפרויקט הראשי.
Active Group	זה שינוי אופציונלי. מזהה הקבוצה הפעילה (הקשר ארגוני) עבור סביבות מרובות דיירים. זה נדרש אם פרויקטי ה-ASM שלך נמצאים בארגון שונה מהארגון העיקרי שלך.
Verify SSL	חובה. אם נבחר, האינטגרציה מאמתת את אישור ה-SSL בעת התחברות לשרת Google Threat Intelligence. ההגדרה הזו מופעלת כברירת מחדל.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות שממתינות לאישור ב-Your Workdesk ואיך מבצעים פעולה ידנית.

הוסף הערת בעיית ASM

השתמש בפעולה הוסף הערת בעיית ASM כדי להוסיף הערה טכנית לבעיית ניהול משטחי התקפה (ASM) ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה הוסף הערת בעיה ב-ASM דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Alert ID	חובה. המזהה של ההתראה שרוצים לעדכן.
Text	חובה. תוכן הניתוח או ההערה שיש לצרף להתראה.

פלט של פעולות

הפעולה הוסף הערת בעיה ב-ASM מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Add ASM Issue Note יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Add ASM Issue Note:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הוספת תגובה לישות

משתמשים בפעולה Add Comment To Entity כדי להוסיף תגובות לישויות של Google SecOps ב-Google Threat Intelligence.

הפעולה הזו תומכת רק בגיבוב MD5,‏ SHA-1 ו-SHA-256.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• URL

הוספת נתונים לפעולה

הפעולה Add Comment To Entity (הוספת תגובה לישות) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Comment	חובה. תגובה להוספה לכל הישויות הנתמכות.

פלט של פעולות

הפעולה הוסף תגובה לישות מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלטי תוצאות ה-JSON שהתקבלו בעת שימוש בפעולה הוסף תגובה לישות:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

הודעות פלט

הפעולה הוסף תגובה לישות יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה הוסף תגובה לישות:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הוסף תגית להתראת DTM

השתמשו באפשרות הוספת תג להתראת DTM כדי להוסיף תגיות להתראת ניטור איומים דיגיטליים (DTM) ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה הוסף תג להתראת DTM דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Alert ID	חובה. המזהה הייחודי של ההתראה לעדכון.
Mode	זה שינוי אופציונלי. ההיגיון התפעולי לעדכון התג. הערכים האפשריים הם: Append: הוספת התגים שצוינו לרשימת התגים הקיימת של ההתראה. Set: דורס את כל תגי ההתראה הקיימים בתגים שסופקו ב-Tags. ערך ברירת המחדל הוא Append.
Tags	חובה. רשימה מופרדת בפסיקים של תגיות שיוחלו על ההתראה.

פלט של פעולות

הפעולה הוסף תג להתראת DTM מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה הוסף תג להתראת DTM יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה הוסף תג להתראת DTM:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הוסף הצבעה לישות

השתמש בפעולה הוסף תגובה לישות כדי להוסיף הצבעות לישויות Google SecOps ב-Google Threat Intelligence.

הפעולה הזו תומכת רק בגיבוב MD5,‏ SHA-1 ו-SHA-256.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• URL

הוספת נתונים לפעולה

הפעולה הוסף הצבעה לישות דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Vote	חובה. הצבעה להוספה לכל הישויות הנתמכות. הערכים האפשריים הם: Harmless Malicious ערך ברירת המחדל הוא Malicious.

פלט של פעולות

הפעולה הוסף הצבעה לישות מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON המתקבל בעת שימוש בפעולה הוסף הצבעה לישות:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

הודעות פלט

הפעולה Add Vote To Entity יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Add Vote To Entity:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הורדת הקובץ

משתמשים בפעולה הורדת קובץ כדי להוריד קובץ מ-Google Threat Intelligence.

הפעולה הזו מופעלת בישות Hash של Google SecOps.

הפעולה הזו תומכת רק בגיבוב MD5,‏ SHA-1 ו-SHA-256.

הוספת נתונים לפעולה

הפעולה הורדת קובץ דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Download Folder Path	חובה. הנתיב לתיקייה שבה יישמרו הקבצים שהורדו.
Overwrite	חובה. אם בוחרים באפשרות הזו, הפעולה מחליפה קובץ קיים בקובץ החדש אם שמות הקבצים זהים. ההגדרה הזו מופעלת כברירת מחדל.

פלט של פעולות

הפעולה הורדת קובץ מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל באמצעות הפעולה הורדת קובץ:

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

הודעות פלט

הפעולה הורדת קובץ יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Download File". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

העשרת ישויות

משתמשים בפעולה Enrich Entities כדי להעשיר ישויות במידע מ-Google Threat Intelligence.

פעולה זו תומכת בגיבובי MD5, SHA-1 ו-SHA-256.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• CVE
• Domain
• Hash (כולל CHILDHASH ו-PARENTHASH)
• Hostname
• IP Address
• Threat Actor
• URL

הוספת נתונים לפעולה

הפעולה Enrich Entities דורשת את הפרמטרים הבאים:

פרמטר	תיאור
GTI Score	זה שינוי אופציונלי. ציון מודיעין האיומים המינימלי הנדרש של גוגל כדי לסמן ישות של גוגל SecOps כחשודה. תנאי זה מאומת לצד מידע על פסק הדין של מודיעין האיומים של גוגל. פרמטר זה תומך רק בישויות IP Address, URL, Hostname, Domain ו-Hash. אם לא סופק ערך, הפעולה מתעלמת מערכי ציון מודיעין האיומים של גוגל. ערך ברירת המחדל הוא 60.
Engine Threshold	זה שינוי אופציונלי. המספר המינימלי של מנועי אבטחה שחייבים לסמן ישות כזדונית או חשודה כדי ש-Google SecOps יתייגו אותה כחשודה. תנאי זה מאומת לצד מידע על פסק הדין של מודיעין האיומים של גוגל. פרמטר זה תומך רק בישויות IP Address, URL, Hostname, Domain ו-Hash. אם Engine Allowlist מכיל ערכים, הפעולה סופרת רק תוצאות מאותם מנועי פעולה ספציפיים. אם לא סופק ערך, הפעולה מתעלמת מחישובי המנוע.
Engine Percentage Threshold	זה שינוי אופציונלי. האחוז המינימלי של מנועי אבטחה שחייבים לסמן ישות כזדונית או חשודה כדי ש-Google SecOps יתייגו אותה כחשודה. פרמטר זה תומך רק בישויות IP Address, URL, Hostname, Domain ו-Hash. אם Engine Allowlist מכיל ערכים, הפעולה מחשבת רק את האחוז מאותם מנועי חיפוש ספציפיים. אם מסופקים גם Engine Threshold וגם Engine Percentage Threshold, ל-Engine Threshold יש עדיפות. אם לא סופק ערך, הפעולה מתעלמת מחישובי המנוע. הערך המקסימלי הוא 100. הערך המינימלי הוא 0.
Engine Allowlist	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של מנועי אבטחה המשמשים לאחזור מידע על תוכנות זדוניות (לדוגמה, AlienVault,Kaspersky). אם לא סופק ערך, הפעולה מאחזרת תוצאות מכל מנוע זמין. מנועים שאינם מחזירים מידע על ישות אינם נכללים בחישובי Engine Threshold ו-Engine Percentage Threshold.
Resubmit Entity	זה שינוי אופציונלי. אם נבחר, הפעולה שולחת מחדש ישויות לניתוח במקום להשתמש במידע הישות מהפעלת הפעולה הקודמת. פרמטר זה תומך רק בישויות URL ו-Hash. האפשרות הזו לא מסומנת כברירת מחדל.
Resubmit After (Days)	זה שינוי אופציונלי. מספר הימים שיש להמתין לפעולה לפני שליחת הישות שוב. כדי להשתמש בפרמטר זה, בחר את הפרמטר Resubmit Entity. ערך ברירת המחדל הוא 30. פרמטר זה תומך רק בישויות URL ו-Hash.
Sandbox	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שמות ארגזי חול לניתוח, כגון VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO. פרמטר זה תומך רק בישות Hash. אם לא תגדיר פרמטר זה, הפעולה תשתמש בארגז החול המוגדר כברירת מחדל, שהוא VirusTotal Jujubox.
Retrieve Sandbox Analysis	זה שינוי אופציונלי. אם תבחרו באפשרות זו, הפעולה מאחזרת את ניתוח ארגז החול עבור הישות ויוצרת מקטע נפרד עבור כל ארגז חול בתוצאת ה-JSON. הפעולה מחזירה נתונים עבור ארגזי חול שהגדרת בפרמטר Sandbox. פרמטר זה תומך רק בישות Hash. האפשרות הזו לא מסומנת כברירת מחדל.
Fetch MITRE Details	זה שינוי אופציונלי. אם נבחרה, הפעולה מחזירה מידע אודות הטכניקות והטקטיקות הקשורות ל-MITRE. פרמטר זה תומך רק בישות Hash. האפשרות הזו לא מסומנת כברירת מחדל.
Lowest MITRE Technique Severity	זה שינוי אופציונלי. חומרת טכניקת MITRE הנמוכה ביותר להחזרה. הפעולה מתייחסת לחומרת Unknown כאל Info. פרמטר זה תומך רק בישות Hash. הערכים האפשריים הם: High Medium Low Info ערך ברירת המחדל הוא Medium.
Retrieve Comments	זה שינוי אופציונלי. אם נבחרה, הפעולה מאחזרת הערות אודות הישות. פרמטר זה תומך בישויות הבאות: Domain Hash Hostname IP Address URL
Widget Theme	זה שינוי אופציונלי. הסגנון הוויזואלי שהחל על הווידג'ט המוגבר של ה-IOC. הערכים האפשריים הם: Dark Dark Blue Light ערך ברירת המחדל הוא Dark Blue.
Max Comments To Return	זה שינוי אופציונלי. המספר המרבי של תגובות שיש להחזיר עבור כל הרצת פעולה. ערך ברירת המחדל הוא 10.

פלט של פעולות

הפעולה Enrich Entities מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	יש גישה
טבלת קיר עם תושבת	לא זמין
טבלת העשרה של ישויות	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט.	יש גישה

קישור לקיר של הפנייה

הפעולה העשרת ישויות יכולה להחזיר את הקישורים הבאים:

• הוועד האולימפי הבינלאומי: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• גורם איום: https://www.virustotal.com/gui/collection/threat-actor--ID

• פגיעות: https://www.virustotal.com/gui/collection/vulnerability--ID

טבלת העשרה של ישויות

1. הפעולה העשרת ישויות תומכת בהעשרת ישויות הבאה עבור כתובות IP:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_id	id	אם הוא זמין בתוצאת ה-JSON.
GTI_owner	as_owner	אם הוא זמין בתוצאת ה-JSON.
GTI_asn	asn	אם הוא זמין בתוצאת ה-JSON.
GTI_continent	continent	אם הוא זמין בתוצאת ה-JSON.
GTI_country	country	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_count	last_analysis_stats/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_count	last_analysis_stats/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	אם הוא זמין בתוצאת ה-JSON.
GTI_undetected_count	last_analysis_stats/undetected	אם הוא זמין בתוצאת ה-JSON.
GTI_certificate_valid_not_after	validity/not_after	אם הוא זמין בתוצאת ה-JSON.
GTI_certificate_valid_not_before	validity/not_before	אם הוא זמין בתוצאת ה-JSON.
GTI_reputation	reputation	אם הוא זמין בתוצאת ה-JSON.
GTI_tags	Comma-separated list of tags	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_vote_count	total_votes/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_vote_count	total_votes/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	report_link	אם הוא זמין בתוצאת ה-JSON.
GTI_widget_link	widget_url	אם הוא זמין בתוצאת ה-JSON.
GTI_threat_score	gti_assessment.threat_score.value	אם הוא זמין בתוצאת ה-JSON.
GTI_severity	gti_assessment.severity.value	אם הוא זמין בתוצאת ה-JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	אם הוא זמין בתוצאת ה-JSON.
GTI_verdict	gti_assessment.verdict.value	אם הוא זמין בתוצאת ה-JSON.
GTI_description	gti_assessment.description	אם הוא זמין בתוצאת ה-JSON.

2. הפעולה העשרת ישויות תומכת בהעשרת הישויות הבאה עבור URL:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_id	id	אם הוא זמין בתוצאת ה-JSON.
GTI_title	title	אם הוא זמין בתוצאת ה-JSON.
GTI_last_http_response_code	last_http_response_code	אם הוא זמין בתוצאת ה-JSON.
GTI_last_http_response_content_length	last_http_response_content_length	אם הוא זמין בתוצאת ה-JSON.
GTI_threat_names	Comma-separated list of threat_names	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_count	last_analysis_stats/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_count	last_analysis_stats/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	אם הוא זמין בתוצאת ה-JSON.
GTI_undetected_count	last_analysis_stats/undetected	אם הוא זמין בתוצאת ה-JSON.
GTI_reputation	reputation	אם הוא זמין בתוצאת ה-JSON.
GTI_tags	Comma-separated list of tags	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_vote_count	total_votes/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_vote_count	total_votes/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	report_link	אם הוא זמין בתוצאת ה-JSON.
GTI_widget_link	widget_url	אם הוא זמין בתוצאת ה-JSON.
GTI_threat_score	gti_assessment.threat_score.value	אם הוא זמין בתוצאת ה-JSON.
GTI_severity	gti_assessment.severity.value	אם הוא זמין בתוצאת ה-JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	אם הוא זמין בתוצאת ה-JSON.
GTI_verdict	gti_assessment.verdict.value	אם הוא זמין בתוצאת ה-JSON.
GTI_description	gti_assessment.description	אם הוא זמין בתוצאת ה-JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	אם הוא זמין בתוצאת ה-JSON.

3. הפעולה העשרת ישויות תומכת בהעשרת ישויות הבאה עבור Hash:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_id	id	אם הוא זמין בתוצאת ה-JSON.
GTI_magic	magic	אם הוא זמין בתוצאת ה-JSON.
GTI_md5	md5	אם הוא זמין בתוצאת ה-JSON.
GTI_sha1	sha1	אם הוא זמין בתוצאת ה-JSON.
GTI_sha256	sha256	אם הוא זמין בתוצאת ה-JSON.
GTI_ssdeep	ssdeep	אם הוא זמין בתוצאת ה-JSON.
GTI_tlsh	tlsh	אם הוא זמין בתוצאת ה-JSON.
GTI_vhash	vhash	אם הוא זמין בתוצאת ה-JSON.
GTI_meaningful_name	meaningful_name	אם הוא זמין בתוצאת ה-JSON.
GTI_magic	Comma-separated list of names	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_count	last_analysis_stats/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_count	last_analysis_stats/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	אם הוא זמין בתוצאת ה-JSON.
GTI_undetected_count	last_analysis_stats/undetected	אם הוא זמין בתוצאת ה-JSON.
GTI_reputation	reputation	אם הוא זמין בתוצאת ה-JSON.
GTI_tags	Comma-separated list of tags	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_vote_count	total_votes/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_vote_count	total_votes/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	report_link	אם הוא זמין בתוצאת ה-JSON.
GTI_widget_link	widget_url	אם הוא זמין בתוצאת ה-JSON.
GTI_threat_score	gti_assessment.threat_score.value	אם הוא זמין בתוצאת ה-JSON.
GTI_severity	gti_assessment.severity.value	אם הוא זמין בתוצאת ה-JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	אם הוא זמין בתוצאת ה-JSON.
GTI_verdict	gti_assessment.verdict.value	אם הוא זמין בתוצאת ה-JSON.
GTI_description	gti_assessment.description	אם הוא זמין בתוצאת ה-JSON.
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. הפעולה העשרת ישויות תומכת בהעשרת ישויות הבאה עבור דומיין/שם מארח:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_id	id	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_count	last_analysis_stats/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_count	last_analysis_stats/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	אם הוא זמין בתוצאת ה-JSON.
GTI_undetected_count	last_analysis_stats/undetected	אם הוא זמין בתוצאת ה-JSON.
GTI_reputation	reputation	אם הוא זמין בתוצאת ה-JSON.
GTI_tags	Comma-separated list of tags	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_vote_count	total_votes/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_vote_count	total_votes/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	report_link	אם הוא זמין בתוצאת ה-JSON.
GTI_widget_link	widget_url	אם הוא זמין בתוצאת ה-JSON.
GTI_threat_score	gti_assessment.threat_score.value	אם הוא זמין בתוצאת ה-JSON.
GTI_severity	gti_assessment.severity.value	אם הוא זמין בתוצאת ה-JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	אם הוא זמין בתוצאת ה-JSON.
GTI_verdict	gti_assessment.verdict.value	אם הוא זמין בתוצאת ה-JSON.
GTI_description	gti_assessment.description	אם הוא זמין בתוצאת ה-JSON.
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	אם הוא זמין בתוצאת ה-JSON.

5. הפעולה העשרת ישויות תומכת בהעשרת הישויות הבאה עבור גורם איום:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_motivations	Csv of motivations/name	אם הוא זמין בתוצאת ה-JSON.
GTI_aliases	Csv of alt_names_details/value	אם הוא זמין בתוצאת ה-JSON.
GTI_industries	Csv of targeted_industries/value	אם הוא זמין בתוצאת ה-JSON.
GTI_malware	Csv of malware/name	אם הוא זמין בתוצאת ה-JSON.
GTI_source_region	CSV of source_regions_hierarchy/country	אם הוא זמין בתוצאת ה-JSON.
GTI_target_region	Csv of targeted_regions_hierarchy/country	אם הוא זמין בתוצאת ה-JSON.
GTI_origin	origin	אם הוא זמין בתוצאת ה-JSON.
GTI_description	description	אם הוא זמין בתוצאת ה-JSON.
GTI_last_activity_time	last_activity_time	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	We craft it.	אם הוא זמין בתוצאת ה-JSON.

6. הפעולה העשרת ישויות תומכת בהעשרת הישויות הבאה עבור פגיעות:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_sources	Csv of source_name	אם הוא זמין בתוצאת ה-JSON.
GTI_exploitation_state	exploitation_state	אם הוא זמין בתוצאת ה-JSON.
GTI_date_of_disclosure	date_of_disclosure	אם הוא זמין בתוצאת ה-JSON.
GTI_vendor_fix_references	vendor_fix_references/url	אם הוא זמין בתוצאת ה-JSON.
GTI_exploitation_vectors	Csv of exploitation_vectors	אם הוא זמין בתוצאת ה-JSON.
GTI_description	description	אם הוא זמין בתוצאת ה-JSON.
GTI_risk_rating	risk_rating	אם הוא זמין בתוצאת ה-JSON.
GTI_available_mitigation	CSV of available_mitigation	אם הוא זמין בתוצאת ה-JSON.
GTI_exploitation_consequence	exploitation_consequence	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	We craft it.	אם הוא זמין בתוצאת ה-JSON.

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON עבור IOCs (ישויות IP, Hash, URL, Domain ו-Hostname) שהתקבלו בעת שימוש בפעולה Enrich Entities:

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON עבור פגיעויות שהתקבלו בעת שימוש בפעולה Enrich Entities (העשרת ישויות):

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

בדוגמה הבאה מוצג פלט של תוצאת JSON עבור שחקני איומים שהתקבלו כשמשתמשים בפעולה Enrich Entities:

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

הודעות פלט

הפעולה Enrich Entities יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	הפעולה הסתיימה בהצלחה.
Error executing action "Enrich Entities". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Enrich Entities:

שם התוצאה של הסקריפט	ערך
is_success	True או False

העשרת אינדיקטורים של פריצות (IOC)

משתמשים בפעולה Enrich IOCs כדי להעשיר את האינדיקטורים לפריצה (IoCs) באמצעות מידע מ-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Enrich IOCs דורשת את הפרמטרים הבאים:

פרמטר	תיאור
IOC Type	זה שינוי אופציונלי. סוג ה-IOC להעשרה. הערכים האפשריים הם: Filehash URL Domain IP Address ערך ברירת המחדל הוא Filehash.
IOCs	חובה. רשימה מופרדת בפסיקים של אינדיקטורים של פריצות (IOC) להזנת נתונים.
Widget Theme	זה שינוי אופציונלי. הסגנון הוויזואלי שהחל על הווידג'ט המוגבר של ה-IOC. הערכים האפשריים הם: Dark Dark Blue Light ערך ברירת המחדל הוא Dark Blue.

פלט של פעולות

הפעולה Enrich IOCs מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	יש גישה
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

קישור לקיר של הפנייה

הפעולה העשרת IOCs יכולה לספק את הקישור הבא עבור כל ישות מועשרת:

שם: קישור לדיווח

ערך: URL

טבלת קיר עם תושבת

הפעולה העשרת IOCs יכולה לספק את הטבלה הבאה עבור כל ישות מועשרת:

שם הטבלה: IOC_ID

עמודות בטבלה:

• שם
• קטגוריה
• שיטה
• תוצאה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON שהתקבל בעת שימוש בפעולה Enrich IOCs:

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

הודעות פלט

הפעולה Enrich IOCs (העשרת IOCs) יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	הפעולה הסתיימה בהצלחה.
Error executing action "Enrich IOC". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה Enrich IOCs:

שם התוצאה של הסקריפט	ערך
is_success	True או False

בצע חיפוש IOC

השתמש בפעולה הפעל חיפוש IOC כדי להפעיל את חיפוש ה-IOC ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה ביצוע חיפוש IOC דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Search Query	חובה. שאילתת חיפוש להפעלה, כגון crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return	זה שינוי אופציונלי. המספר המקסימלי של תוצאות שיוחזרו לכל הפעלה של פעולה. הערך המקסימלי הוא 200. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה Execute IOC Search מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Execute IOC Search:

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

הודעות פלט

הפעולה Execute IOC Search יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאות הסקריפט כשמשתמשים בפעולה Execute IOC Search:

שם התוצאה של הסקריפט	ערך
is_success	True או False

קבלת פרטי ישות של ASM

משתמשים בפעולה Get ASM Entity Details כדי לקבל מידע על ישות ASM ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Get ASM Entity Details (קבלת פרטים על ישות ASM) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Entity ID	חובה. רשימה מופרדת בפסיקים של מזהי ישויות לקבלת פרטים.

פלט של פעולות

הפעולה Get ASM Entity Details מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Get ASM Entity Details:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED —>
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

הודעות פלט

הפעולה קבל פרטי ישות ASM יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה Get ASM Entity Details:

שם התוצאה של הסקריפט	ערך
is_success	True או False

קבל פרטי גרף

השתמש בפעולה קבל פרטי גרף כדי לקבל מידע מפורט על גרפים ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה קבלת פרטי גרף דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Graph ID	חובה. רשימה מופרדת בפסיקים של מזהי גרף לאחזור פרטים.
Max Links To Return	חובה. המספר המרבי של קישורים שיש להחזיר עבור כל גרף. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה קבל פרטי גרף מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת קיר עם תושבת

הפעולה קבלת פרטי גרף יכולה לספק את הטבלה הבאה עבור כל ישות מועשרת:

שם הטבלה: גרָףGRAPH_ID קישורים

עמודות בטבלה:

• מקור
• Target
• סוג חיבור

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON המתקבל בעת שימוש בפעולה Get Graph Details:

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

הודעות פלט

הפעולה קבל פרטי גרף יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Graph Details". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה קבל פרטי גרף:

שם התוצאה של הסקריפט	ערך
is_success	True או False

קבלת שיוכים קשורים

השתמשו בפעולה קבלו שיוכים קשורים כדי לקבל מידע על שיוכים (דוחות, קמפיינים, אוספים, משפחות תוכנות זדוניות, ערכות כלים של תוכנה, פגיעויות, גורמי איום) הקשורים לישויות ב-Google Threat Intelligence.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• IP address
• URL
• File hash
• Hostname
• Domain

הערה: פעולה זו תומכת רק בגיבובי MD5, SHA-1 ו-SHA-256.

הוספת נתונים לפעולה

הפעולה קבל שיוכים קשורים דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Association Types	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שיוכים להחזרה. הדוחות מעובדים לאחר השלמת כל שאר השיוכים. הערכים האפשריים הם: Report Campaign Collection Malware Family Vulnerability Threat Actor אם לא סופק ערך, הפעולה מחזירה את כל האסוציאציות.
Create Entity	זה שינוי אופציונלי. אם תבחרו באפשרות זו, הפעולה יוצרת ישות עבור גורמי איום, פגיעויות וחשיפות נפוצות (CVEs) וקמפיינים קשורים, ומקשרת אותה לישות המקורית. נוצרות רק ישויות CVE, גורם איום וקמפיין.
Max Associations To Return	זה שינוי אופציונלי. המספר המרבי של IoCs שיש להחזיר עבור כל ישות. הערך המקסימלי הוא 100. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה קבל שיוכים קשורים מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט.	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON המתקבל בעת שימוש בפעולה קבל שיוכים קשורים:

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

הודעות פלט

הפעולה קבל שיוכים קשורים יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Related Associations". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה קבל שיוכים קשורים:

שם התוצאה של הסקריפט	ערך
is_success	True או False

קבלו IOCs קשורים

השתמש בפעולה קבל IOCs קשורים כדי לקבל מידע על IOCs הקשורים לישויות באמצעות מידע מ-Google Threat Intelligence.

הפעולה הזו תומכת רק בגיבוב MD5,‏ SHA-1 ו-SHA-256.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

הוספת נתונים לפעולה

הפעולה קבל IOCs קשורים דורשת את הפרמטרים הבאים:

פרמטר	תיאור
IOC Types	חובה. רשימה מופרדת בפסיקים של IOCs לחילוץ. הערכים האפשריים הם כדלקמן: IP, Hash, URL, Domain.
Max IOCs To Return	חובה. המספר המרבי של IOCs להחזרה עבור סוגי IOC נבחרים עבור כל ישות. ערך ברירת המחדל הוא 40.

פלט של פעולות

הפעולה קבל IOCs קשורים מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט.	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON המתקבל בעת שימוש בפעולה Get Related IOCs:

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

הודעות פלט

הפעולה קבל IOCs קשורים יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה קבל IOCs קשורים:

שם התוצאה של הסקריפט	ערך
is_success	True או False

פינג

השתמש בפעולה Ping כדי לבדוק את הקישוריות למודיעין האיומים של גוגל.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט.	יש גישה

הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	הפעולה הסתיימה בהצלחה.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט	ערך
is_success	True או False

כתובת URL פרטית להגשה

השתמשו בפעולה כתובת URL שליחה פרטית כדי לשלוח כתובת URL לסריקה פרטית בתוך Google Threat Intelligence.

פעולה זו פועלת על הישות הבאה של Google SecOps:

• URL

הערה: לסריקה רגילה והעשרת ישויות, השתמשו בפעולה העשרת ישויות במקום זאת.

הוספת נתונים לפעולה

הפעולה כתובת URL להגשה פרטית דורשת את הפרמטרים הבאים:

פרמטר	תיאור
URL	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של כתובות URL לסריקה. המערכת מעבדת ערכים שהוזנו לצד כל ישויות URL שהפעולה מגלה.
Check Existing Submissions First	זה שינוי אופציונלי. אם נבחרה, פעולה זו בודקת את כתובת ה-URL עבור מידע קיים של הגשה ציבורית או פרטית. אם יימצא, הפעולה מחזירה את המידע באופן מיידי, תוך עקיפת זרימת ההגשה. ההגדרה מושבתת כברירת מחדל.
Resubmit After (Days)	זה שינוי אופציונלי. מספר הימים המינימלי שחייב לחלוף מתאריך הניתוח הציבורי האחרון של כתובת ה-URL כדי שהיא תהיה זכאית להגשה חוזרת. הערה: כדי להשתמש בפרמטר זה, עליך להפעיל את Check Existing Submissions First. ערך ברירת המחדל הוא 30.

פלט של פעולות

הפעולה כתובת URL שליחה פרטית מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	יש גישה
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט.	יש גישה

קישור לקיר של הפנייה

הפעולה כתובת URL שליחה פרטית יכולה להחזיר את הקישור הבא:

קישור לדיווחURL :URL to the GTI UI displaying the submission details.

טבלת העשרה של ישויות

הפעולה כתובת URL להגשה פרטית תומכת בהעשרה הבאה של ישויות כתובת URL כאשר נתונים מאוחזרים מהגשה ציבורית:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_id	id	אם הוא זמין בתוצאת ה-JSON.
GTI_title	title	אם הוא זמין בתוצאת ה-JSON.
GTI_last_http_response_code	last_http_response_code	אם הוא זמין בתוצאת ה-JSON.
GTI_last_http_response_content_length	last_http_response_content_length	אם הוא זמין בתוצאת ה-JSON.
GTI_threat_names	רשימה מופרדת בפסיקים של threat_names	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_count	last_analysis_stats/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_count	last_analysis_stats/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	אם הוא זמין בתוצאת ה-JSON.
GTI_undetected_count	last_analysis_stats/undetected	אם הוא זמין בתוצאת ה-JSON.
GTI_reputation	reputation	אם הוא זמין בתוצאת ה-JSON.
GTI_tags	רשימה מופרדת בפסיקים של tags	אם הוא זמין בתוצאת ה-JSON.
GTI_malicious_vote_count	total_votes/malicious	אם הוא זמין בתוצאת ה-JSON.
GTI_harmless_vote_count	total_votes/harmless	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	report link	אם הוא זמין בתוצאת ה-JSON.
GTI_widget_link	widget_url	אם הוא זמין בתוצאת ה-JSON.
GTI_threat_score	gti_assessment.threat_score.value	אם הוא זמין בתוצאת ה-JSON.
GTI_severity	gti_assessment.severity.value	אם הוא זמין בתוצאת ה-JSON.
GTI_normalised_categories	קובץ CSV של gti_assessment.contributing_factors.normalised_categories	אם הוא זמין בתוצאת ה-JSON.
GTI_verdict	gti_assessment.verdict.value	אם הוא זמין בתוצאת ה-JSON.
GTI_description	gti_assessment.description	אם הוא זמין בתוצאת ה-JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	אם הוא זמין בתוצאת ה-JSON.

הפעולה Private Submit URL תומכת בהעשרת הישויות הבאות עבור ישויות מסוג URL כשמאחזרים נתונים משליחה פרטית:

שדה העשרה	מקור (מפתח JSON)	תחולה
GTI_id	id	אם הוא זמין בתוצאת ה-JSON.
GTI_title	title	אם הוא זמין בתוצאת ה-JSON.
GTI_last_http_response_code	last_http_response_code	אם הוא זמין בתוצאת ה-JSON.
GTI_last_http_response_content_length	last_http_response_content_length	אם הוא זמין בתוצאת ה-JSON.
GTI_tags	רשימה מופרדת בפסיקים של tags	אם הוא זמין בתוצאת ה-JSON.
GTI_report_link	report link	אם הוא זמין בתוצאת ה-JSON.
GTI_widget_link	widget_url	אם הוא זמין בתוצאת ה-JSON.

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Private Submit URL:

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

הודעות פלט

הפעולה Private Submit URL יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Private Submit URL". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Private Submit URL:

שם התוצאה של הסקריפט	ערך
is_success	true או false

חיפוש ישויות ב-ASM

משתמשים בפעולה Search ASM Entities כדי לחפש ישויות ASM ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Search ASM Entities דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Project Name	זה שינוי אופציונלי. השם של פרויקט ה-ASM. אם לא מגדירים ערך, הפעולה משתמשת בערך שהגדרתם לפרמטר השילוב ASM Project Name.
Entity Name	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שמות ישויות שצריך למצוא. הפעולה מתייחסת לשמות של ישויות שמכילים / קווים נטויים לפנים כאל ערכים לא תקינים.
Minimum Vulnerabilities Count	זה שינוי אופציונלי. המספר המינימלי של פגיעויות הנדרשות כדי שהפעולה תחזיר את הישות.
Minimum Issues Count	זה שינוי אופציונלי. המספר המינימלי של בעיות הנדרשות כדי שהפעולה תחזיר את הישות.
Tags	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שמות תגיות לשימוש בעת חיפוש ישויות.
Max Entities To Return	זה שינוי אופציונלי. מספר הישויות שיש להחזיר. הערך המקסימלי הוא 200. ערך ברירת המחדל הוא 50.
Critical or High Issue	זה שינוי אופציונלי. אם תבחרו באפשרות זו, הפעולה תחזיר רק בעיות בדרגת חומרה של High ו-Critical. לא נבחר כברירת מחדל.

פלט של פעולות

הפעולה חיפוש ישויות ASM מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON שהתקבל בעת שימוש בפעולה חיפוש ישויות ASM:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

הודעות פלט

הפעולה חיפוש ישויות ASM יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה חיפוש ישויות ASM:

שם התוצאה של הסקריפט	ערך
is_success	True או False

חיפוש בעיות ASM

השתמש בפעולה חיפוש בעיות ASM כדי לחפש בעיות ASM ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה חיפוש בעיות ASM דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Project Name	זה שינוי אופציונלי. השם של פרויקט ה-ASM. אם לא מגדירים ערך, הפעולה משתמשת בערך שהגדרתם לפרמטר השילוב ASM Project Name.
Issue ID	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של מזהי בעיות להחזרת הפרטים.
Entity ID	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של מזהי ישויות למציאת בעיות קשורות.
Entity Name	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שמות ישויות למציאת בעיות קשורות. הפעולה מתייחסת לשמות של ישויות שמכילים / קווים נטויים לפנים כאל ערכים לא תקינים.
Time Parameter	זה שינוי אופציונלי. אפשרות סינון לקביעת זמן ההנפקה. הערכים האפשריים הם First Seen ו-Last Seen. ערך ברירת המחדל הוא First Seen.
Time Frame	זה שינוי אופציונלי. תקופה לסינון בעיות. אם תבחרו באפשרות Custom, הגדירו את הפרמטר Start Time. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom ערך ברירת המחדל הוא Last Hour.
Start Time	זה שינוי אופציונלי. שעת ההתחלה של התוצאות. אם בחרת Custom עבור הפרמטר Time Frame, פרמטר זה נדרש. הגדר את הערך בפורמט ISO 8601.
End Time	זה שינוי אופציונלי. זמן הסיום של התוצאות. אם בחרת Custom עבור הפרמטר Time Frame ולא הגדרת את שעת הסיום, פרמטר זה ישתמש בשעה הנוכחית כשעת הסיום. הגדר את הערך בפורמט ISO 8601.
Lowest Severity To Return	זה שינוי אופציונלי. חומרת הבעיות הנמוכה ביותר שיש לחזור. הערכים האפשריים הם: Select One Critical High Medium Low Informational ערך ברירת המחדל הוא Select One. אם תבחרו באפשרות Select One, מסנן זה לא יחול על החיפוש.
Status	זה שינוי אופציונלי. מסנן הסטטוס עבור החיפוש. הערכים האפשריים הם Open, Closed ו-Select One. ערך ברירת המחדל הוא Select One. אם תבחרו באפשרות Select One, מסנן זה לא יחול על החיפוש.
Tags	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שמות תגיות לשימוש בעת חיפוש בעיות.
Max Issues To Return	חובה. מספר הגיליונות שיש להחזיר. הערך המקסימלי הוא 200. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה חיפוש בעיות ASM מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	יש גישה
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON שהתקבל בעת שימוש בפעולה חיפוש בעיות ASM:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

הודעות פלט

הפעולה חיפוש בעיות ASM יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה חיפוש בעיות ASM:

שם התוצאה של הסקריפט	ערך
is_success	True או False

גרפי ישויות חיפוש

השתמש בפעולה חיפוש גרפים של ישויות כדי לחפש גרפים המבוססים על ישויות של Google SecOps ב-Google Threat Intelligence.

הפעולה הזו תומכת רק בגיבוב MD5,‏ SHA-1 ו-SHA-256.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

הוספת נתונים לפעולה

הפעולה חיפוש גרפים של ישויות דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Sort Field	זה שינוי אופציונלי. ערך השדה למיון התוצאות. הערכים האפשריים הם: Owner Creation Date Last Modified Date Views Count Comments Count ערך ברירת המחדל הוא Owner.
Max Graphs To Return	זה שינוי אופציונלי. המספר המרבי של גרפים שיש להחזיר עבור כל ריצת פעולה. ערך ברירת המחדל הוא 10.

פלט של פעולות

הפעולה חיפוש גרפים של ישויות מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON המתקבל בעת שימוש בפעולה Search Entity Graphs:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

הודעות פלט

הפעולה חיפוש גרפים של ישויות יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	הפעולה הסתיימה בהצלחה.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

חיפוש גרפים

השתמשו בפעולה חיפוש גרפים כדי לחפש גרפים על סמך מסננים מותאמים אישית ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה חיפוש גרפים דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Query	חובה. מסנן השאילתה עבור הגרף. לדוגמה, כדי לחפש גרפים בתקופה שנבחרה, יש לעצב את השאילתה באופן הבא: creation_date:2018-11-1+creation_date:2018-11-12 למידע נוסף על שאילתות, ראו כיצד ליצור שאילתות, מגדירים הקשורים לתרשים ו-מגדירים הקשורים לצמתים.
Sort Field	זה שינוי אופציונלי. ערך השדה למיון גרפי VirusTotal. הערכים האפשריים הם: Comments Count Creation Date Last Modified Date Owner Views Count ערך ברירת המחדל הוא Owner.
Max Graphs To Return	זה שינוי אופציונלי. המספר המרבי של גרפים שיש להחזיר עבור כל ריצת פעולה. ערך ברירת המחדל הוא 10.

איך יוצרים שאילתות

כדי לחדד את תוצאות החיפוש מגרפים, יוצרים שאילתות שמכילות משנים שקשורים לגרף. כדי לשפר את החיפוש, ניתן לשלב שינויים עם האופרטורים AND, OR ו-NOT.

בשדות של תאריכים ומספרים יש תמיכה בסיומות + פלוס ו- מינוס. סיומת עם סימן פלוס מתאימה לערכים שגדולים מהערך שצוין. סיומת עם סימן מינוס תואמת לערכים שקטנים מהערך שצוין. בלי סיומת, השאילתה מחזירה התאמות מדויקות.

כדי להגדיר טווחים, אפשר להשתמש באותו משנה כמה פעמים בשאילתה. לדוגמה, כדי לחפש תרשימים שנוצרו בין 15 בנובמבר 2018 ל-20 בנובמבר 2018, משתמשים בשאילתה הבאה:

creation_date:2018-11-15+ creation_date:2018-11-20-

עבור תאריכים או חודשים שמתחילים ב-0, יש להסיר את התו 0 מהשאילתה. לדוגמה, אם התאריך הוא 2018-11-01, הפורמט יהיה 2018-11-1.

משנים שקשורים לגרפים

בטבלה הבאה מפורטים משנים שקשורים לגרפים, שאפשר להשתמש בהם כדי ליצור את שאילתת החיפוש:

שם ההרחבה	תיאור	דוגמה
id	סינון לפי מזהה גרף.	id:g675a2fd4c8834e288af
name	סינון לפי שם התרשים.	name:Example-name
owner	סינון לפי תרשימים שבבעלות המשתמש.	owner:example_user
group	מסנן לפי גרפים שבבעלות קבוצה.	group:example
visible_to_user	סינון לפי תרשימים שגלויים למשתמש.	visible_to_user:example_user
visible_to_group	מסנן לפי גרפים הגלויים לקבוצה.	visible_to_group:example
private	מסננים לפי גרפים פרטיים.	private:true, private:false
creation_date	מסנן לפי תאריך יצירת הגרף.	creation_date:2018-11-15
last_modified_date	מסנן לפי תאריך שינוי הגרף האחרון.	last_modified_date:2018-11-20
total_nodes	מסנן לפי גרפים המכילים מספר ספציפי של צמתים.	total_nodes:100
comments_count	מסנן לפי מספר התגובות בגרף.	comments_count:10+
views_count	מסנן לפי מספר צפיות הגרף.	views_count:1000+

שינויים הקשורים לצמתים

הטבלה הבאה מפרטת שינויים הקשורים לתרשים בהם ניתן להשתמש כדי לבנות את שאילתת החיפוש:

שם ההרחבה	תיאור	דוגמה
label	מסנן לפי גרפים המכילים צמתים עם תווית ספציפית.	label:Kill switch
file	מסנן לפי גרפים המכילים את הקובץ הספציפי.	file:131f95c51cc819465fa17
domain	מסנן לפי גרפים המכילים את התחום הספציפי.	domain:example.com
ip_address	מסנן לפי גרפים המכילים את כתובת ה-IP הספציפית.	ip_address:203.0.113.1
url	מסנן לפי גרפים המכילים את כתובת האתר הספציפית.	url:https://example.com/example/
actor	מסנן לפי גרפים המכילים את השחקן הספציפי.	actor:example actor
victim	מסנן לפי גרפים המכילים את הקורבן הספציפי.	victim:example_user
email	מסנן לפי גרפים המכילים את כתובת הדוא"ל הספציפית.	email:[e-mail]
department	מסנן לפי גרפים המכילים את המחלקה הספציפית.	department:engineers

פלט של פעולות

הפעולה חיפוש גרפים מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON המתקבל בעת שימוש בפעולה חיפוש גרפים:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

הודעות פלט

הפעולה חיפוש גרפים יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	הפעולה הסתיימה בהצלחה.
Error executing action "Search Graphs". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה חיפוש גרפים:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הגדר ניתוח התראות DTM

השתמש בפעולה הגדר ניתוח התראות DTM כדי להגדיר ניתוח עבור התראת ניטור איומים דיגיטליים (DTM) ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה הגדר ניתוח התראות DTM דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Alert ID	חובה. מזהה ההתראה שאליה יש להוסיף את הניתוח.
Text	חובה. הניתוח שיש להוסיף להתראה.
Attachment File Paths	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של נתיבי קבצים שיש לצרף להתראה. תמיכה ב-10 קבצים מצורפים לכל היותר.

פלט של פעולות

הפעולה הגדר ניתוח התראות DTM מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט.	יש גישה

הודעות פלט

הפעולה הגדר ניתוח התראות DTM יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה הגדר ניתוח התראות DTM:

שם התוצאה של הסקריפט	ערך
is_success	True או False

שליחת קובץ

השתמש בפעולה שלח קובץ כדי לשלוח קובץ ולהחזיר תוצאות ממודיעין האיומים של גוגל.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הפעולה הזו היא אסינכרונית. אם צריך, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט בסביבת הפיתוח המשולבת (IDE) של Google SecOps לפעולה.

הוספת נתונים לפעולה

הפעולה שליחת קובץ דורשת את הפרמטרים הבאים:

פרמטר	תיאור
GTI Score	זה שינוי אופציונלי. ציון מודיעין האיומים של גוגל ששימש להגדרת המאפיין is_risky ל-true בתוצאת JSON. תנאי זה מאומת לצד מידע על פסק הדין של מודיעין האיומים של גוגל. אם לא סופק ערך, הפעולה מתעלמת מציון מודיעין האיומים של גוגל. ערך ברירת המחדל הוא 60.
Engine Threshold	זה שינוי אופציונלי. המספר המינימלי של מנועי אבטחה שחייבים לסמן ישות כזדונית או חשודה כדי להגדיר את המאפיין is_risky ל-true. תנאי זה מאומת לצד מידע על פסק הדין של מודיעין האיומים של גוגל. אם Engine Allowlist מכיל ערכים, רק תוצאות מאותם מנועי חיפוש ספציפיים ייספרו. אם לא סופק ערך, הפעולה מתעלמת מחישובי ספירת המנועים.
Engine Percentage Threshold	זה שינוי אופציונלי. האחוז המינימלי של מנועי אבטחה שחייבים לסמן ישות כזדונית או חשודה כדי להגדיר את המאפיין is_risky ל-true (0 ו-100). אם Engine Allowlist מכיל ערכים, האחוז מחושב רק מאותם מנועי פעולה ספציפיים. אם מסופקים גם Engine Threshold וגם Engine Percentage Threshold, ל-Engine Threshold יש עדיפות. אם לא סופק ערך, הפעולה מתעלמת מחישובי אחוזים.
Engine Allowlist	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של מנועי אבטחה לשימוש בעת קביעת זדונות (לדוגמה, AlienVault,Kaspersky). מנועים שאינם מחזירים מידע על ישות אינם נכללים בחישובי Engine Threshold ו-Engine Percentage Threshold. אם לא סופק ערך, הפעולה מאחזרת תוצאות מכל מנוע זמין.
External URLs	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של כתובות URL ציבוריות עבור הקבצים שיש לשלוח. אם סופקו גם "כתובת URL חיצונית" וגם "נתיבי קבצים", הפעולה תאסוף קבצים משני הקלטים.
File Paths	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של נתיבי קבצים מוחלטים. אם תגדיר את הפרמטר **כתובת שרת לינוקס**, הפעולה תנסה לאחזר את הקובץ משרת מרוחק. אם סופקו גם "כתובת URL חיצונית" וגם "נתיבי קבצים", הפעולה תאסוף קבצים משני הקלטים.
Check Hash First	זה שינוי אופציונלי. ברירת מחדל: מושבת. אם אפשרות זו מופעלת, הפעולה תחשב תחילה את ה-hash עבור הקבצים ותחפש, אם יש מידע זמין עבורם. אם זמין, הוא יחזיר את המידע ללא תהליך ההגשה.
Resubmit After (Days)	זה שינוי אופציונלי. מספר הימים להמתנה לפעולה לפני שליחה מחדש של הקובץ (גם אם ה-hash זמין עבור הקובץ במסד הנתונים של GTI). עליך להפעיל את Check Hash First כדי להשתמש בפרמטר זה. ערך ברירת המחדל הוא 30.
Fetch MITRE Details	זה שינוי אופציונלי. אם נבחרה, הפעולה מחזירה את המידע אודות הטכניקות והטקטיקות הקשורות ל-MITRE. לא מסומן כברירת מחדל.
Lowest MITRE Technique Severity	זה שינוי אופציונלי. חומרת טכניקת MITRE הנמוכה ביותר להחזרה. הפעולה מתייחסת לחומרת Unknown כאל Info. פרמטר זה תומך רק בישות Hash. ערך ברירת המחדל הוא Low.
Private Submission	זה שינוי אופציונלי. אם אפשרות זו נבחרה, הפעולה תשלח את הקובץ במצב פרטי. כדי לשלוח קבצים באופן פרטי, נדרש ממשק ה-API של VirusTotal Premium.
Retrieve Comments	זה שינוי אופציונלי. אם תבחרו באפשרות זו, הפעולה מאחזרת הערות לגבי הקובץ שנשלח.
Max Comments To Return	זה שינוי אופציונלי. המספר המרבי של תגובות שיש להחזיר בכל ריצת פעולה.
Linux Server Address	זה שינוי אופציונלי. כתובת ה-IP של שרת הלינוקס המרוחק שבו נמצא הקובץ.
Linux Username	זה שינוי אופציונלי. שם המשתמש של שרת הלינוקס המרוחק שבו נמצא הקובץ.
Linux Password	זה שינוי אופציונלי. הסיסמה של שרת הלינוקס המרוחק שבו נמצא הקובץ.
ZIP Password	זה שינוי אופציונלי. סיסמה לתיקייה הדחוסה שמכילה את הקבצים שיש לשלוח.

פלט של פעולות

הפעולה שלח קובץ מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	יש גישה
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט.	יש גישה

קישור לקיר של הפנייה

הפעולה שלח קובץ יכולה להחזיר את הקישור הבא:

קישור לדיווחPATH :URL

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON שהתקבל בעת שימוש בפעולה שלח קובץ:

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

הודעות פלט

הפעולה שלח קובץ יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	הפעולה הסתיימה בהצלחה.
Error executing action "Submit File". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Submit File". Reason: ERROR_REASON	אין ערכים של "נתיבי קבצים" או "כתובות URL חיצוניות" לפחות אחד מהפרמטרים "נתיבי קבצים" או "כתובות URL חיצוניות" צריך להיות בעל ערך.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה שלח קובץ:

שם התוצאה של הסקריפט	ערך
is_success	True או False

בעיית עדכון ASM

השתמש בפעולה עדכון בעיית ASM כדי לעדכן בעיית ASM ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה עדכון בעיית ASM דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Issue ID	חובה. מזהה הבעיה לעדכון.
Status	חובה. הסטטוס החדש שיש להגדיר עבור הבעיה. הערכים האפשריים הם: Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated ערך ברירת המחדל הוא Select One. אם תשתמש בערך ברירת המחדל, הפעולה תיכשל.

פלט של פעולות

הפעולה עדכון בעיית ASM מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON שהתקבל בעת שימוש בפעולה עדכון בעיית ASM:

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

הודעות פלט

הפעולה עדכון בעיית ASM יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	הפעולה הסתיימה בהצלחה.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה עדכון בעיית ASM:

שם התוצאה של הסקריפט	ערך
is_success	True או False

עדכון התראת DTM

השתמש בפעולה עדכון התראת DTM כדי לעדכן התראת ניטור איומים דיגיטליים של Mandiant ב-Google Threat Intelligence.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה עדכון התראת DTM דורשת את הפרמטרים הבאים:

פרמטרים	תיאור
Alert ID	חובה. המזהה של ההתראה שרוצים לעדכן.
Status	זה שינוי אופציונלי. הסטטוס החדש שיש להגדיר עבור ההתראה. הערכים האפשריים הם: Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally ערך ברירת המחדל הוא Select One. אם תשתמש בערך ברירת המחדל, הפעולה תיכשל.

פלט של פעולות

הפעולה עדכון התראת DTM מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מציגה את פלט תוצאת ה-JSON שהתקבל בעת שימוש בפעולה עדכון התראת DTM:

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

הודעות פלט

הפעולה עדכון התראת DTM יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	הפעולה הסתיימה בהצלחה.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

הטבלה הבאה מפרטת את הערך עבור פלט תוצאת הסקריפט בעת שימוש בפעולה עדכון התראת DTM:

שם התוצאה של הסקריפט	ערך
is_success	True או False

מחברים

מידע נוסף על הגדרת מחברים ב-Google SecOps זמין במאמר הוספת נתונים (מחברים).

הערה: כדי למנוע אובדן נתונים, המחברים משתמשים בהשטחה של אירועים. אם התראה גולמית מכילה רשימה של ישויות (כמו כמה כתובות אימייל, שמות מארחים או כתובות IP), מחברים משטחים אותן אוטומטית לאירועים נפרדים וייחודיים.

לדוגמה, התראה גולמית אחת שמכילה שלוש כתובות אימייל שונות נקלטת כשלושה אירועים נפרדים, שכל אחד מהם מכיל כתובת אימייל ייחודית אחת.

התהליך הזה מבטיח שכל ישות תתווסף לאינדקס בצורה נכונה כנכס ייחודי, כך שניתן יהיה לחפש אותה ולבצע פעולות לגביה בחוברות הפעלה.

מודיעין איומים של גוגל - מחבר התראות DTM

השתמשו ב-Google Threat Intelligence - DTM Alerts Connector‏ כדי לאחזר התראות מ-Google Threat Intelligence. כדי לעבוד עם רשימה דינמית, השתמש בפרמטר alert_type.

כניסות קלט של מחברים

מחבר התראות DTM של Google - מודיעין איומים של Google דורש את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. השם של המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה. השם של השדה שקובע את שם האירוע (סוג משנה). ערך ברירת המחדל הוא event_type.
Environment Field Name	זה שינוי אופציונלי. השם של השדה שבו מאוחסן שם הסביבה. אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה. שורש ה-API של מופע מודיעין האיומים של גוגל. ערך ברירת המחדל הוא https://www.virustotal.com.
API Key	חובה. מפתח ה-API של מודיעין האיומים של גוגל.
Lowest Severity To Fetch	זה שינוי אופציונלי. רמת החומרה הכי נמוכה של ההתראות שיוחזרו. אם לא מגדירים את הפרמטר הזה, המחבר מעביר התראות עם כל רמות החומרה. הערכים האפשריים הם: Low Medium High
Monitor ID Filter	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של מזהי צג לאחזור ההתראות.
Monitor Name Filter	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שמות צגים שממנה יש לאחזר התראות. אם מספר צגים חולקים את אותו שם, המחבר בולע את הנתונים מכולם. פרמטר זה מוערך לצד ערכי מזהה מוניטור באמצעות לוגיקת OR.
Event Type Filter	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של סוגי אירועים שיש להחזיר. הקלט אינו תלוי אותיות גדולות/קטנות. אם לא סופק ערך, המחבר מעבד את כל סוגי האירועים. כדי לא לכלול סוג מסוים, הוסיפו לו סימן קריאה לפניו (כגון, !event_type).
Disable Overflow	זה שינוי אופציונלי. אם האפשרות הזו נבחרה, המחבר מתעלם ממנגנון הגלישה של Google SecOps. ההגדרה הזו מופעלת כברירת מחדל.
Max Hours Backwards	חובה. מספר השעות לפני עכשיו לאחזור התראות. אפשר להשתמש בפרמטר הזה כדי להגדיר את הערך של המחבר בפעם הראשונה שמפעילים אותו, או כערך ברירת מחדל אם חותמת הזמן של המחבר פגה. ערך ברירת המחדל הוא 1.
Max Alerts To Fetch	חובה. מספר ההתראות לעיבוד בכל איטרציה של המחבר. הערך המקסימלי הוא 25. ערך ברירת המחדל הוא 25.
Use dynamic list as a blocklist	חובה. אם האפשרות הזו נבחרה, המחבר משתמש ברשימה הדינמית כרשימת חסימה. האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL	חובה. אם נבחר, האינטגרציה מאמתת את אישור ה-SSL בעת התחברות לשרת Google Threat Intelligence. ההגדרה הזו מופעלת כברירת מחדל.
Proxy Server Address	זה שינוי אופציונלי. הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	זה שינוי אופציונלי. שם המשתמש של ה-proxy לאימות.
Proxy Password	זה שינוי אופציונלי. סיסמת ה-proxy לאימות.

כללים של Connectors

מחבר התראות DTM של Google Threat Intelligence‏ תומך בפרוקסי.

אירועים של מחברים

ישנם שני סוגי אירועים עבור Google Threat Intelligence - DTM Alerts Connector: אירוע המבוסס על ההתראה הראשית ואירוע המבוסס על נושא.

דוגמה לאירוע המחבר המבוסס על ההתראה הראשית היא כדלקמן:

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

דוגמה לאירוע מחבר המבוסס על נושא היא כדלקמן:

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

מודיעין איומים של גוגל - מחבר בעיות ASM

השתמשו ב-Google Threat Intelligence - ASM Issues Connector כדי לאחזר מידע על בעיות ASM מ-Google Threat Intelligence. כדי לעבוד עם מסנן הרשימה הדינמית, השתמש בפרמטר category.

כניסות קלט של מחברים

מחבר בעיות ASM של Google Threat Intelligence‏ דורש את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. השם של המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה. השם של השדה שקובע את שם האירוע (סוג משנה). ערך ברירת המחדל הוא entity_type.
Environment Field Name	זה שינוי אופציונלי. השם של השדה שבו מאוחסן שם הסביבה. אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה. שורש ה-API של מופע מודיעין האיומים של גוגל. ערך ברירת המחדל הוא https://www.virustotal.com.
API Key	חובה. מפתח ה-API של מודיעין האיומים של גוגל.
Project Name	זה שינוי אופציונלי. השם של פרויקט ה-ASM. אם לא תגדיר ערך, יוחזרו רק התראות מאוספים בפרויקט הראשי.
Active Group	זה שינוי אופציונלי. מזהה הקבוצה הפעילה (הקשר ארגוני) עבור סביבות מרובות דיירים. זה נדרש אם פרויקטי ה-ASM שלך נמצאים בארגון שונה מהארגון העיקרי שלך.
Lowest Severity To Fetch	זה שינוי אופציונלי. רמת החומרה הכי נמוכה של ההתראות שיוחזרו. אם לא מגדירים את הפרמטר הזה, המחבר מעביר התראות עם כל רמות החומרה. הערכים האפשריים הם: Critical High Medium Low Informational
Issue Name Filter	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של בעיות להטמעה. הקלט תלוי רישיות. אם שמות מופיעים ישירות, המחבר משתמש במסנן הכללה, וקולט רק את הבעיות התואמות. כדי לא לכלול בעיות ספציפיות, הוסיפו סימן קריאה לפני השם (כגון, !issue_name). אם לא סופק ערך, המסנן לא יוחל וכל הבעיות ייקלטו.
Status Filter	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של סטטוסי בעיות להטמעה. אם לא סופק ערך, המחבר מעבד רק בעיות פתוחות. הערכים האפשריים הם: Open Closed ערך ברירת המחדל הוא Open.
Event Type Filter	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של סוגי אירועים שיש להחזיר. הקלט אינו תלוי אותיות גדולות/קטנות. אם לא סופק ערך, המחבר מעבד את כל סוגי האירועים. כדי לא לכלול סוג מסוים, הוסיפו לו סימן קריאה לפניו (כגון, !event_type).
Max Hours Backwards	חובה. מספר השעות לפני עכשיו לאחזור התראות. אפשר להשתמש בפרמטר הזה כדי להגדיר את הערך של המחבר בפעם הראשונה שמפעילים אותו, או כערך ברירת מחדל אם חותמת הזמן של המחבר פגה. ערך ברירת המחדל הוא 1.
Max Issues To Fetch	חובה. מספר הבעיות לעיבוד בכל איטרציה של מחבר. הערך המקסימלי הוא 100. ערך ברירת המחדל הוא 10.
Disable Overflow	זה שינוי אופציונלי. אם האפשרות הזו נבחרה, המחבר מתעלם ממנגנון הגלישה של Google SecOps. ההגדרה הזו מופעלת כברירת מחדל.
Use dynamic list as a blocklist	חובה. אם האפשרות הזו נבחרה, המחבר משתמש ברשימה הדינמית כרשימת חסימה. האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL	חובה. אם נבחר, האינטגרציה מאמתת את אישור ה-SSL בעת התחברות לשרת Google Threat Intelligence. ההגדרה הזו מופעלת כברירת מחדל.
Proxy Server Address	זה שינוי אופציונלי. הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	זה שינוי אופציונלי. שם המשתמש של ה-proxy לאימות.
Proxy Password	זה שינוי אופציונלי. סיסמת ה-proxy לאימות.

אירועים של מחברים

דוגמה לאירוע של Google Threat Intelligence - ASM Issues Connector:

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence - Livehunt Connector

אפשר להשתמש ב-Google Threat Intelligence - Livehunt Connector כדי לאחזר מידע על ההתראות של Livehunt והקבצים שקשורים אליהן מ-Google Threat Intelligence. כדי לעבוד עם הרשימה הדינמית, משתמשים בפרמטר rule_name.

כניסות קלט של מחברים

Google Threat Intelligence - Livehunt Connector דורש את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. השם של המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה. השם של השדה שקובע את שם האירוע (סוג משנה). ערך ברירת המחדל הוא type.
Environment Field Name	זה שינוי אופציונלי. השם של השדה שבו מאוחסן שם הסביבה. אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה. שורש ה-API של מופע מודיעין האיומים של גוגל. ערך ברירת המחדל הוא https://www.virustotal.com.
API Key	חובה. מפתח ה-API של מודיעין האיומים של גוגל.
Entity Type Filter	זה שינוי אופציונלי. רשימה של סוגי ישויות שמופרדים בפסיקים, לסינון ההתראות (לדוגמה: file,‏ url,‏ domain,‏ ip_address). אם לא מציינים ערך, כל סוגי הישויות נכללים. ערך ברירת המחדל הוא file.
Max Hours Backwards	חובה. מספר השעות לפני עכשיו לאחזור התראות. אפשר להשתמש בפרמטר הזה כדי להגדיר את הערך של המחבר בפעם הראשונה שמפעילים אותו, או כערך ברירת מחדל אם חותמת הזמן של המחבר פגה. ערך ברירת המחדל הוא 1.
Max Notifications To Fetch	חובה. מספר ההתראות לעיבוד בכל איטרציה של המחבר. ערך ברירת המחדל הוא 40.
Disable Overflow	זה שינוי אופציונלי. אם האפשרות הזו נבחרה, המחבר מתעלם ממנגנון הגלישה של Google SecOps. ההגדרה הזו מופעלת כברירת מחדל.
Use dynamic list as a blocklist	חובה. אם האפשרות הזו נבחרה, המחבר משתמש ברשימה הדינמית כרשימת חסימה. האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL	חובה. אם נבחר, האינטגרציה מאמתת את אישור ה-SSL בעת התחברות לשרת Google Threat Intelligence. ההגדרה הזו מופעלת כברירת מחדל.
Proxy Server Address	זה שינוי אופציונלי. הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	זה שינוי אופציונלי. שם המשתמש של ה-proxy לאימות.
Proxy Password	זה שינוי אופציונלי. סיסמת ה-proxy לאימות.

כללים של Connectors

המחבר Google Threat Intelligence - Livehunt תומך בשרתי proxy.

אירועים של מחברים

דוגמה לאירוע Google Threat Intelligence - Livehunt Connector:

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED —>
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.